Observabilité Linux avec BPF

Chapitre 8. La sécurité du noyau Linux, ses capacités et Seccomp.

Cet ouvrage a été traduit à l'aide de l'IA. Tes réactions et tes commentaires sont les bienvenus : [e-mail]

Le BPF est un moyen puissant d'étendre le noyau sans compromettre la stabilité, la sécurité et la vitesse. Pour cette raison, les développeurs du noyau ont pensé qu'il aurait été bon d'utiliser sa polyvalence pour améliorer l'isolation des processus dans Seccomp en implémentant des filtres Seccomp soutenus par des programmes BPF, également connus sous le nom de Seccomp BPF. Dans ce chapitre, nous examinons ce qu'est Seccomp et comment il est utilisé. Tu apprendras ensuite à écrire des filtres Seccomp à l'aide de programmes BPF. Après cela, tu explores les crochets BPF intégrés que le noyau possède pour les modules de sécurité Linux.

Les modules de sécurité Linux (LSM) sont un cadre de travail fournissant un ensemble de fonctions qui peuvent être utilisées pour mettre en œuvre différents modèles de sécurité de manière standardisée. Un LSM peut être utilisé directement dans l'arbre des sources du noyau, comme Apparmor, SELinux et Tomoyo.

Nous commençons par discuter des capacités de Linux.

Capacités

Le problème avec les capacités Linux, c'est que tu dois donner à ton processus non privilégié la permission d'effectuer une tâche spécifique, mais tu ne veux pas donner les privilèges suid au binaire ou rendre le processus privilégié d'une autre manière, alors tu réduis la surface d'attaque ...