پایشگر امنیت اجرای ابری با eBPF
ECRSM پایشگر آموزشی امنیت اجرای ابری مبتنی بر eBPF است؛ پشته‌ای مصنوعی و فقط‌خواندنی برای مشاهدهٔ اجرا، با eBPF هسته، عامل Go و داشبورد React.
۰۱ / نمای کلی
- ۰۱eBPF (C)
- ۰۲Go (عامل)
- ۰۳React (داشبورد)
- ۰۴Kubernetes (Helm)
مسئله
درک امنیت زمان اجرا در سطح هسته دشوار است. ECRSM محیط آموزشی امنی برای یادگیری پایش با eBPF فراهم می‌کند.
نمای کلی راهکار
- قلاب‌های eBPF برای نقاط ردیابی امن فراخوانی سیستم پیاده شدند.
- عامل Go برای گردآوری و غنی‌سازی فراداده ساخته شد.
- داشبورد بلادرنگ React برای نمایش داده ساخته شد.
- شبیه‌سازی‌های مصنوعی و امن حمله طراحی شدند.
۰۲ / شواهد
شواهد و راستی‌آزمایی
- تشخیص پوستهٔ معکوس، تزریق فرایند و اجراهای مشکوک.
- انتقال داده با perf buffer کم‌سربار.
- غنی‌سازی فرادادهٔ کانتینر و K8s.
- قابل‌راستی‌آزمایی با اسکریپت‌های حملهٔ مصنوعی.
۰۳ / روش‌ها
پیاده‌سازی
پشته فناوری
- eBPF (C)
- Go (عامل)
- React (داشبورد)
- Kubernetes (Helm)
- نقاط ردیابی هسته: execve، connect، ptrace و mmap.
- عامل Go برای غنی‌سازی و قواعد.
- داشبورد زندهٔ WebSocket.
- استقرار Kubernetes DaemonSet.
امنیت
- بررسی فقط‌خواندنی؛ بدون نوشتن در هسته.
- فقط فراداده؛ بدون محتوای بسته یا اسرار.
- حداقل دسترسی؛ فقط قابلیت‌های BPF/SYS_ADMIN.
- شبیه‌سازی‌های مصنوعی امن.