Observabilidad de Linux con BPF

Capítulo 8. Seguridad, capacidades y Seccomp del núcleo Linux

Este trabajo se ha traducido utilizando IA. Agradecemos tus opiniones y comentarios: [e-mail]

BPF es una forma potente de ampliar el kernel sin comprometer la estabilidad, la seguridad y la velocidad. Por este motivo, los desarrolladores del núcleo pensaron que habría sido bueno utilizar su versatilidad para mejorar el aislamiento de procesos en Seccomp mediante la implementación de filtros Seccomp respaldados por programas BPF, también conocidos como Seccomp BPF. En este capítulo examinamos qué es Seccomp y cómo se utiliza. Luego aprenderás a escribir filtros Seccomp utilizando programas BPF. Después explorarás los ganchos BPF incorporados que tiene el núcleo para los módulos de seguridad de Linux.

Los Módulos de Seguridad Linux (LSM) son un marco que proporciona un conjunto de funciones que pueden utilizarse para implementar distintos modelos de seguridad de forma estandarizada. Un LSM puede utilizarse directamente en el árbol de código fuente del núcleo, como Apparmor, SELinux y Tomoyo.

Empezaremos hablando de las capacidades de Linux.

Capacidades

La cuestión con las capacidades de Linux es que necesitas proporcionar a tu proceso no privilegiado el permiso para realizar una tarea específica, pero no quieres dar privilegios suid al binario ni convertir de otro modo al proceso en privilegiado, así que reduces la superficie de ataque dándole simplemente al proceso la capacidad específica para ...