مراقب أمن التشغيل السحابي باستخدام eBPF
ECRSM مراقب تعليمي لأمن التشغيل السحابي مبني على eBPF، يقدّم بنية رصد اصطناعية للقراءة فقط تجمع eBPF للنواة ووكيل Go ولوحة React.
٠١ / نظرة عامة
- ٠١eBPF (C)
- ٠٢Go (الوكيل)
- ٠٣React (لوحة التحكم)
- ٠٤Kubernetes (Helm)
المشكلة
فهم أمن التشغيل على مستوى النواة معقّد. يوفّر ECRSM منصة تعليمية آمنة لتعلّم المراقبة القائمة على eBPF.
نظرة عامة على الحل
- تنفيذ خطّافات eBPF لنقاط تتبّع آمنة لاستدعاءات النظام.
- بناء وكيل Go لجمع البيانات الوصفية وإثرائها.
- إنشاء لوحة React فورية لعرض البيانات.
- تصميم محاكاة هجمات اصطناعية آمنة.
٠٢ / الأدلة
الإثبات والتحقق
- كشف قنوات تحكم طرفية عكسية (reverse shells) وحقن العمليات والتنفيذ المشبوه.
- نقل بيانات منخفض الكلفة عبر perf buffer.
- إثراء بيانات الحاويات وK8s الوصفية.
- قابل للتحقق عبر سكربتات هجوم اصطناعية.
٠٣ / المنهجية
البناء
مكدس التقنيات
- eBPF (C)
- Go (الوكيل)
- React (لوحة التحكم)
- Kubernetes (Helm)
- نقاط تتبّع النواة: execve وconnect وptrace وmmap.
- وكيل Go للإثراء والقواعد.
- لوحة WebSocket حية.
- نشر Kubernetes DaemonSet.
الأمان
- فحص للقراءة فقط دون كتابة في النواة.
- بيانات وصفية فقط دون حمولات أو أسرار.
- أقل صلاحيات؛ قدرات BPF/SYS_ADMIN فقط.
- محاكاة اصطناعية آمنة.