eBPF Observability, Linux Telemetry και Detection Engineering — DedSec Project
eBPF Observability, Linux Telemetry και Detection Engineering Ελληνική έκδοση — Μάθημα 096. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην αναζήτηση…
Ελληνική έκδοση — Μάθημα 096. Διατηρούνται οι διεθνείς τεχνικοί όροι όπου είναι ακριβέστεροι και ευκολότεροι στην αναζήτηση.
Στόχος του μαθήματος
Να κατανοήσεις σε βάθος το eBPF Observability, Linux Telemetry και Detection Engineering, να αναγνωρίζεις trust boundaries και failure states και να μπορείς να αποδείξεις ένα συμπέρασμα με ασφαλές, επαναλήψιμο evidence.
Βαθιές τεχνικές έννοιες
1. Program and map model
eBPF programs εκτελούνται σε defined hooks και χρησιμοποιούν maps για state/communication. Security review χρειάζεται program type, attach point, map ownership και lifecycle.
2. Verifier and privilege
Kernel verifier περιορίζει unsafe program behavior αλλά privilege/policy για loading/attaching παραμένει κρίσιμο. Unprivileged availability διαφέρει ανά platform/configuration.
3. Tracepoints and probes
Tracepoints δίνουν πιο σταθερά semantics από ad-hoc probes, ενώ kprobes/uprobes έχουν version/symbol assumptions. Detection πρέπει να γνωρίζει πόσο stable είναι η source.
4. Network hooks
XDP/tc/socket hooks βλέπουν traffic σε διαφορετικό σημείο. Κατέγραψε pre/post-NAT, namespace/interface context και packet drops ώστε telemetry να μην παρερμηνεύεται.
5. Telemetry design
Event schema πρέπει να κρατά actor/process, resource, operation, result και correlation με bounded cardinality. Περισσότερα events δεν σημαίνουν καλύτερη detection αν λείπει context.
6. Tamper and blind spots
Sensor μέσα στο ίδιο host μοιράζεται κάποιο trust με host/kernel. Document τι μπορεί να χάσει σε overload, namespace, encrypted layer ή privileged compromise και χρησιμοποίησε independent logs όπου χρειάζεται.
7. Performance
High-rate probes μπορούν να προσθέσουν CPU/memory/IO pressure ή dropped events. Measure overhead και loss rate και βάλε sampling/bounds.
8. Detection lifecycle
Version rule/program, test με benign fixtures, deploy σταδιακά, monitor data quality και επανέλεγξε μετά kernel/app changes. Detection είναι maintained software.
Καθοδηγούμενο εργαστήριο
- Write a detection hypothesis for unexpected interactive shells in a server container and specify which kernel/process fields would prove or refute it—without collecting real user content — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Compare audit logs, process accounting, and eBPF telemetry for the same harmless process-start event in a lab — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.
- Design a rollback plan for an observability agent that begins consuming excessive CPU or producing unbounded event volume — εκτέλεσέ το μόνο στο isolated/owned lab και κατέγραψε before/after αποτέλεσμα.