文章较长,可直接看文末视频。5月份Isovalent发布了基于eBPF技术的运行时实时防御产品Tetragon,引起业内广泛关注,实时阻断能力也受到很大争议,并被传统安全厂商EXP绕过挑战。今天我们一起来看下阻断能力的技术原理。
golang
新型eBPF后门boopkit的原理分析与演示
前段时间的Bvp47木马利用BPF技术敲门,想必你已经精通了吧?笔者曾担忧在eBPF加持下,用在后门场景会更加恐怖。这不GitHub上开源了一个Boopkit,今天笔者跟大家一起来了解一下它的技术原理,使用了哪些eBPF程序功能。它是如何实现任意开启的TCP端口服务,远程唤醒后门,并生成反弹shell的。
eCapture:无需CA证书抓https网络明文通讯
eCapture是一款基于eBPF技术实现的用户态数据捕获工具。不需要CA证书,即可捕获https/tls的通讯明文。eCapture系统用户态程序使用Golang语言开发,具有良好的系统兼容性,无依赖快速部署,更适合云原生场景。内核态代码使用C编写,使用clang/llvm编译,生产bpf字节码后,采用go-bindata转化为golang语法文件,之后采用ehids/ebpfmanager类库,调用bpf syscall进行加载、HOOK、map读取。
Linux中基于eBPF的恶意利用与检测机制
内核态eBPF程序实现容器逃逸与隐藏账号rootkit
本文是在kernel space内核态,hook内核态函数,更改内核态返回用户态缓冲区数据,欺骗用户态进程,实现容器逃逸与rootkit。用户态进程拿到被篡改的数据,从而被骗通过认证。在此过程,不改变任何文件、进程、网络行为,不产生日志。 常规HIDS、HIPS产品无法感知。
datadog的eBPF安全检测机制分析
datadog的system-probe模块使用了eBPF技术研发,实现了网络管理、运行时安全、系统状态感知等几个功能,支持运维管理、安全检测两个场景。其中核心模块在网络与运行时安全两个场景。故本文重点分析了这两个场景的技术实现与业务特性。
[译]使用eBPF per-CPU Cgroup本地存储进行低功耗统计
本文使用eBPF per-cpu的map类型,以及cilium的golang eBPF类库实现了对ingress以及egress网络流量的大小统计,以一个最简单demo,实现更精细、高效的监控统计。在容器化下场景下,用更少的资源损耗,完成精准、实时的统计,更能符合场景需求。
How I investigated memory leaks in Go using pprof on a large codebase
保障IDC安全:分布式HIDS集群架构设计
近年来,互联网上安全事件频发,企业信息安全越来越受到重视,而IDC服务器安全又是纵深防御体系中的重要一环。保障IDC安全,常用的是基于主机型入侵检测系统Host-based Intrusion Detection System,即HIDS。在HIDS面对几十万台甚至上百万台规模的IDC环境时,系统架构该如何设计呢?复杂的服务器环境,网络环境,巨大的数据量给我们带来了哪些技术挑战呢?
etcd clientv3的lease keepalive租约频繁续期bug 排查小记
在使用 coreos etcd的 lease 租约特性过程中,遇到一次集群负载极高的现象,表现是leader 节点大量的TIME-WAIT状态TCP 连接,系统内存逐渐上升,CPU 居高不下的问题,本文记录了我排查这个 bug 的经历,最终定位到是 etcd client v3包里的lease keepalive函数的一处 bug,这个 bug 存在与clientv3的所有版本上,如果你也用了相同的版本跟用法,可以关注一下…