تعمّق في مراقبة وقت التشغيل باستخدام eBPF
بناء مجسّات نواة آمنة للقراءة فقط من أجل أمن الحاويات.
ما الذي يقدّمه eBPF فعليًا؟
يشغّل eBPF برامج صغيرة متحققًا منها داخل نواة Linux دون وحدة نواة أو تعديلها. قبل التحميل، يرفض المتحقق داخل النواة ما قد يدخل حلقة لا تنتهي أو يقرأ خارج الحدود أو يصل إلى ذاكرة غير مسموحة. هذه الخاصية تجعل ربط الكود بمسارات متكررة مثل حد استدعاءات النظام آمنًا.
ECRSM مراقب تعليمي لوقت التشغيل، للقراءة فقط، مبني على هذا الحد: مجسّات eBPF في النواة، ووكيل Go، ولوحة React. إنه بيئة تعليمية اصطناعية وليس EDR للإنتاج؛ الغرض هو توضيح الرؤية على مستوى النواة.
نقاط الربط
يرتبط ECRSM بنقاط tracepoint في النواة بدلًا من kprobes، لأن تلك النقاط تحافظ على ABI مستقر بين إصدارات النواة:
| Tracepoint | الإشارة |
|---|---|
execve | تنفيذ العمليات؛ النافذة الرئيسية لرصد قنوات تحكم طرفية عكسية (reverse shells) والملفات التنفيذية المشبوهة |
connect | الاتصالات الصادرة وإشارات C2 الدورية ووجهات تسريب البيانات |
ptrace | حقن العمليات وإرفاق أدوات التنقيح |
mmap | تعيينات الذاكرة التنفيذية، كمؤشر على تجهيز شيفرة shellcode |
مسار البيانات
- مساحة النواة، ينشط برنامج C eBPF عند كل tracepoint وينسخ البيانات الوصفية فقط، مثل PID وUID و
commوأحجام argv وعنوان الوجهة، إلى مخزن حلقي. لا حمولات ولا أسرار. - مساحة المستخدم، يفرغ وكيل Go المخزن الحلقي ويثري الأحداث ببيانات الحاويات وKubernetes مثل pod وnamespace وimage، ثم يقيّم قواعد خفيفة.
- اللوحة، تُبث الأحداث إلى واجهة React عبر WebSockets، فيتحول استدعاء نظام في النواة إلى صف على الشاشة في الوقت الفعلي.
يتم النشر باستخدام Kubernetes DaemonSet عبر حزمة Helm (Helm chart)، بحيث يعمل مجس واحد فقط لكل عقدة.
السلامة أساس التصميم كله
قد تؤدي الكتابة في النواة إلى تعطيل الجهاز. لا يفعل ECRSM ذلك مطلقًا:
- فحص للقراءة فقط: تراقب نقاط tracepoint دون تعديل وسائط استدعاءات النظام أو بيانات الحزم.
- بيانات وصفية فقط: لا تغادر النواة بايتات الحمولة أو متغيرات البيئة أو محتويات الملفات.
- أقل الصلاحيات: يعمل الوكيل بـ
CAP_BPF/CAP_SYS_ADMINدون صلاحيات إضافية. - محاكاة اصطناعية: الهجمات المعروضة، مثل قنوات تحكم طرفية عكسية (reverse shells) وحقن العمليات والتنفيذ المشبوه، سيناريوهات آمنة مكتوبة للتعلم دون اختراق حقيقي.
حدود الاستخدام
ECRSM منصة تعلم. لا يقدم توقيعات كشف ولا يحظر شيئًا ولا يدّعي كشف مهاجم مُصِرّ. قيمته تعليمية: يحوّل فكرة مراقبة النواة المجردة إلى أحداث يمكن مشاهدتها على بنية تحتية يمكن إزالتها بعد التجربة.