Cilium Tetragon ile Çalışma Zamanı Çekirdek Sistem Çağrısı Denetimi

Kullanıcı Alanı Güvenliğinin Kör Noktaları

Geleneksel çalışma zamanı güvenlik araçları Linux günlüklerini tarar, auditd akışlarını ayrıştırır veya kullanıcı alanı süreç ağaçlarını kontrol eder. Bu yaklaşımlar yüksek gecikme sürelerine (saniyeler veya dakikalar) sahiptir ve çekirdek seviyesindeki sızıntılar veya log temizleme saldırıları karşısında etkisiz kalır.

eBPF ile Çekirdek İçi Güvenlik Zorlama

Cilium Tetragon, doğrudan Linux çekirdek sistem çağrılarına (syscalls) ve LSM (Linux Security Module) kancalarına bağlanır. Güvenlik politikalarını sistem çağrısı henüz tamamlanmadan çekirdek içinde değerlendirir. Kural dışı bir eylem algılandığında, Tetragon milisaniyenin altında çekirdek seviyesinde SIGKILL üreterek saldırganın sürecini anında öldürür.

Savunma Senaryoları

1. Konteyner Kaçışını Engelleme: Süreçlerin sys_setns çağrısı yaparak ana makine isim alanına atlamasını bloke edin.
2. Ters Kabuk (Reverse Shell) Yok Etme: Web sunucularının (nginx, nodejs) alt süreç olarak /bin/sh veya /bin/bash çalıştırmasını engelleyin ve süreci anında sonlandırın.
3. Yetki Yükseltme Engelleme: Yetkisiz kullanıcıların UID 0 (root) yetkisine geçiş girişimlerini yakalayın.

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: block-reverse-shell-in-web
  namespace: production
spec:
  kprobes:
    - call: "sys_execve"
      syscall: true
      args:
        - index: 0
          type: "string"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/bin/sh"
                - "/bin/bash"
                - "/usr/bin/python"
          matchNamespaces:
            - "production"
          matchActions:
            - action: Sigkill