Monitor de seguridad de ejecución en la nube con eBPF
ECRSM es un monitor educativo de seguridad de ejecución en la nube basado en eBPF. Combina eBPF del kernel, un agente Go y un panel React en un conjunto sintético de solo lectura.
01 / Resumen
- 01eBPF (C)
- 02Go (agente)
- 03React (panel)
- 04Kubernetes (Helm)
Problema
La seguridad de ejecución a nivel de kernel es compleja. ECRSM ofrece una plataforma educativa segura para aprender monitorización eBPF.
Resumen de la solución
- Hooks eBPF para puntos seguros de trazado de llamadas al sistema.
- Agente Go para recoger y enriquecer metadatos.
- Panel React en tiempo real para visualizar los datos.
- Simulaciones sintéticas seguras de ataques.
02 / Evidencia
Pruebas y verificación
- Detecta shells inversas, inyección de procesos y ejecuciones sospechosas.
- Transmisión por perf buffer de baja sobrecarga.
- Enriquecimiento de metadatos de contenedores y K8s.
- Verificable con scripts de ataque sintéticos.
03 / Métodos
Construcción
Tecnologías
- eBPF (C)
- Go (agente)
- React (panel)
- Kubernetes (Helm)
- Puntos de trazado: execve, connect, ptrace y mmap.
- Agente Go para enriquecimiento y reglas.
- Panel WebSocket en vivo.
- Despliegue Kubernetes DaemonSet.
Seguro
- Inspección de solo lectura, sin escrituras al kernel.
- Solo metadatos, sin contenido ni secretos.
- Mínimo privilegio: solo capacidades BPF/SYS_ADMIN.
- Simulaciones sintéticas seguras.