筑牢云安全防线:《eBPF云原生安全》实战指南

IT阅读排行榜 2024-09-19 16:45

eBPF技术已经成为云原生社区近年来备受关注的技术话题之一。在云原生领域,越来越多的项目和产品开始使用eBPF技术来构建其核心能力,涉及可观测性、网络和安全等关键领域。


《eBPF云原生安全:原理与实践》内容涵盖eBPF的工作原理、eBPF在云原生安全领域的应用、知名eBPF云原生安全项目、使用eBPF技术开发安全相关功能等。



扫码了解 ↑


视频介绍






内容简介




这是一本系统讲解如何使用eBPF技术构建云原生安全防线的著作,是一本面向eBPF技术爱好者和云安全领域从业者的实战宝典,从原理与实践角度详述了eBPF技术在云原生安全领域正在发生的关键作用,是作者多年构筑云原生安全纵深防御经验的总结。


本书详细阐述了eBPF技术的核心原理以及在云原生安全领域的应用价值,并结合大量的代码案例分析,深入探讨了在典型的云原生安全需求场景下使用eBPF技术可以帮助实现的安全功能和实践原理,同时也讲述了可能引入的安全风险,帮助读者从零基础快速了解eBPF技术,开始eBPF安全编程。


通过阅读本书,你将了解:

  • 云原生安全面临的主要挑战,发展现状和理论基础;

  • eBPF技术的基本原理和云原生安全领域的典型应用;

  • 基于eBPF技术的云原生安全核心开源项目的安装、使用、基础架构和实现原理;

  • 如何使用eBPF技术实现典型的云原生安全需求及实现原理;

  • 如何将eBPF安全事件关联进程、容器和Pod等上下文信息;

  • 如何使用eBPF技术审计复杂的云原生攻击手段;

  • 恶意eBPF程序的典型实现方式以及如何防护和探测此类恶意程序。



目录



上拉下滑查看目录 ↓

Contents目  录

前 言

第一部分 eBPF助力云原生安全

第1章 云原生安全概述  3

1.1 云原生安全的挑战  3

1.1.1 云原生平台基础设施的安全

风险  4

1.1.2 DevOps软件供应链的安全

风险  4

1.1.3 云原生应用范式的安全风险  5

1.2 云原生安全的演进  5

1.3 云原生安全的理论基础  11

1.3.1 威胁建模  11

1.3.2 坚守安全准则  14

1.3.3 安全观测和事件响应  21

1.4 云原生安全的方法论  21

1.4.1 CNCF云原生安全架构  22

1.4.2 云原生应用保护平台  31

1.5 本章小结  35

第2章 初识eBPF  36

2.1 eBPF历史  36

2.2 eBPF的关键特性和应用场景  38

2.2.1 Linux内核  38

2.2.2 eBPF的关键特性  39

2.2.3 eBPF的应用场景  41

2.3 eBPF的架构  44

2.4 本章小结  47

第3章 eBPF技术原理详解  48

3.1 eBPF“Hello World”程序  48

3.2 eBPF技术原理  53

3.2.1 eBPF Map数据结构  53

3.2.2 eBPF虚拟机  56

3.2.3 eBPF验证器  60

3.2.4 bpf()系统调用  61

3.2.5 eBPF程序和附着类型  63

3.3 eBPF程序的开发模式  66

3.3.1 BCC模式  66

3.3.2 CO-RE+ libbpf模式  68

3.4 本章小结  75

第4章 eBPF技术在云原生安全领域

的应用  76

4.1 针对云原生应用的攻击  76

4.2 eBPF和云原生安全的契合点  78

4.2.1 容器中的基础隔离  78

4.2.2 传统安全架构  79

4.2.3 eBPF提升云原生应用运行时

安全  80

4.2.4 eBPF伴随云原生应用生命

周期  81

4.3 eBPF云原生安全开源项目  83

4.3.1 Falco  84

4.3.2 Tracee  85

4.3.3 Tetragon  86

4.4 双刃剑  87

4.5 本章小结  90

第二部分 云原生安全项目详解

第5章 云原生安全项目Falco详解  93

5.1 项目介绍  93

5.1.1 功能  93

5.1.2 使用场景  95

5.2 安装  95

5.2.1 使用包管理工具  95

5.2.2 下载二进制包  97

5.2.3 Kubernetes环境  98

5.3 使用示例  99

5.3.1 规则引擎  99

5.3.2 告警输出  104

5.3.3 事件源  104

5.4 架构和实现原理  105

5.4.1 架构  105

5.4.2 驱动  105

5.4.3 用户态模块  111

5.5 本章小结  113

第6章 云原生安全项目Tracee

详解  114

6.1 项目介绍  114

6.2 安装  115

6.3 使用示例  116

6.3.1 事件追踪  116

6.3.2 制品捕获  122

6.3.3 风险探测  124

6.3.4 外部集成  127

6.4 架构和实现原理  129

6.4.1 架构  129

6.4.2 tracee-ebpf实现原理  130

6.5 本章小结  141

第7章 云原生安全项目Tetragon

详解  142

7.1 项目介绍  142

7.2 安装  143

7.3 使用示例  144

7.3.1 事件观测  144

7.3.2 风险拦截  149

7.4 架构和实现原理  154

7.4.1 架构  154

7.4.2 事件观测  156

7.4.3 风险拦截  165

7.5 本章小结  166

第三部分 eBPF安全技术实战

第8章 使用eBPF技术审计和拦截

命令执行操作  169

8.1 审计命令执行操作  169

8.1.1 基于eBPF Kprobe和Kretprobe

实现  170

8.1.2 基于eBPF Fentry和Fexit

实现  173

8.1.3 基于eBPF Ksyscall和Kretsyscall

实现  174

8.1.4 基于eBPF Tracepoint实现  175

8.2 拦截命令执行操作  178

8.2.1 基于bpf_send_signal实现  178

8.2.2 基于bpf_override_return实现  179

8.3 本章小结  182

第9章 使用eBPF技术审计和拦截

文件读写操作  183

9.1 审计文件读写操作  183

9.1.1 基于eBPF Kprobe和Kretprobe

实现  184

9.1.2 基于eBPF Tracepoint实现  185

9.1.3 基于eBPF LSM实现  187

9.2 拦截文件读写操作  189

9.2.1 基于bpf_send_signal实现  190

9.2.2 基于bpf_override_return实现  191

9.2.3 基于eBPF LSM实现  191

9.3 本章小结  192

第10章 使用eBPF技术审计和拦截

权限提升操作  193

10.1 审计权限提升操作  193

10.1.1 基于eBPF LSM实现  194

10.1.2 基于eBPF Kprobe实现  195

10.2 拦截权限提升操作  196

10.3 本章小结  197

第11章 使用eBPF技术审计和拦截

网络流量  198

11.1 审计网络流量  198

11.1.1 基于eBPF套接字过滤器实现  198

11.1.2 基于eBPF TC实现  204

11.1.3 基于eBPF XDP实现  207

11.1.4 基于Kprobe实现  207

11.2 拦截网络流量  209

11.2.1 基于eBPF TC实现  209

11.2.2 基于eBPF XDP实现  210

11.3 本章小结  211

第12章 为事件关联上下文信息  212

12.1 进程信息  212

12.1.1 进程操作事件  212

12.1.2 网络事件  216

12.2 容器和Pod信息  221

12.2.1 进程操作事件  221

12.2.2 网络事件  225

12.3 本章小结  226

第四部分 eBPF安全进阶

第13章 使用eBPF技术审计复杂的

攻击手段  229

13.1 审计使用无文件攻击技术实现的

命令执行操作  229

13.2 审计反弹Shell操作  232

13.3 本章小结  236

第14章 使用eBPF技术探测恶意

eBPF程序  237

14.1 恶意eBPF程序  237

14.1.1 常规程序  237

14.1.2 网络程序  250

14.2 防护恶意eBPF程序  260

14.3 探测和审计恶意eBPF程序  261

14.3.1 文件分析  261

14.3.2 bpftool  262

14.3.3 内核探测  265

14.4 本章小结  268



了解更多







  • 本文来源:原创,图片来源:原创

  • 责任编辑:王莹,部门领导:宁姗

  • 发布人:白钰

IT阅读排行榜 技术圈的风向标,有趣,有料,有货,有品又有用
评论
  • 概述 通过前面的研究学习,已经可以在CycloneVGX器件中成功实现完整的TDC(或者说完整的TDL,即延时线),测试结果也比较满足,解决了超大BIN尺寸以及大量0尺寸BIN的问题,但是还是存在一些之前系列器件还未遇到的问题,这些问题将在本文中进行详细描述介绍。 在五代Cyclone器件内部系统时钟受限的情况下,意味着大量逻辑资源将被浪费在于实现较大长度的TDL上面。是否可以找到方法可以对此前TDL的长度进行优化呢?本文还将探讨这个问题。TDC前段BIN颗粒堵塞问题分析 将延时链在逻辑中实现后
    coyoo 2024-12-10 13:28 64浏览
  • 我的一台很多年前人家不要了的九十年代SONY台式组合音响,接手时只有CD功能不行了,因为不需要,也就没修,只使用收音机、磁带机和外接信号功能就够了。最近五年在外地,就断电闲置,没使用了。今年9月回到家里,就一个劲儿地忙着收拾家当,忙了一个多月,太多事啦!修了电气,清理了闲置不用了的电器和电子,就是一个劲儿地扔扔扔!几十年的“工匠式”收留收藏,只能断舍离,拆解不过来的了。一天,忽然感觉室内有股臭味,用鼻子的嗅觉功能朝着臭味重的方向寻找,觉得应该就是这台组合音响?怎么会呢?这无机物的东西不会腐臭吧?
    自做自受 2024-12-10 16:34 79浏览
  • 开发板在默认情况下,OpenHarmony系统开机后 30 秒会自动息屏,自动息屏会让不少用户感到麻烦,触觉智能教大家两招轻松取消自动息屏。使用触觉智能Purple Pi OH鸿蒙开发板演示,搭载了瑞芯微RK3566四核处理器,Laval鸿蒙社区推荐开发板,已适配全新OpenHarmony5.0 Release系统,SDK源码全开放!SDK源码中修改修改以下文件参数:base/powermgr/power_manager/services/native/profile/power_mode_co
    Industio_触觉智能 2024-12-09 11:39 108浏览
  • 习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习笔记&记录学习习笔记&记学习学习笔记&记录学习学习笔记&记录学习习笔记&记录学习学习笔记&记录学习学习笔记记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记录学习学习笔记&记
    youyeye 2024-12-10 16:13 68浏览
  • 全球知名半导体制造商ROHM Co., Ltd.(以下简称“罗姆”)宣布与Taiwan Semiconductor Manufacturing Company Limited(以下简称“台积公司”)就车载氮化镓功率器件的开发和量产事宜建立战略合作伙伴关系。通过该合作关系,双方将致力于将罗姆的氮化镓器件开发技术与台积公司业界先进的GaN-on-Silicon工艺技术优势结合起来,满足市场对高耐压和高频特性优异的功率元器件日益增长的需求。氮化镓功率器件目前主要被用于AC适配器和服务器电源等消费电子和
    电子资讯报 2024-12-10 17:09 59浏览
  •         在有电流流过的导线周围会感生出磁场,再用霍尔器件检测由电流感生的磁场,即可测出产生这个磁场的电流的量值。由此就可以构成霍尔电流、电压传感器。因为霍尔器件的输出电压与加在它上面的磁感应强度以及流过其中的工作电流的乘积成比例,是一个具有乘法器功能的器件,并且可与各种逻辑电路直接接口,还可以直接驱动各种性质的负载。因为霍尔器件的应用原理简单,信号处理方便,器件本身又具有一系列的du特优点,所以在变频器中也发挥了非常重要的作用。  &nb
    锦正茂科技 2024-12-10 12:57 52浏览
  • 肖特基具有很多的应用场景, 可以做同步整流,防止电流倒灌和电源反接等,但是随着电源电流的增大,肖特基导通正向压降0.3~0.7v的劣势也越发明显,产生了很多的热,对于工程师的散热设计是个考验,增加了工程师的设计难度和产品成本,目前一种新的理想二极管及其控制器,目前正在得到越来越广泛的应用- BMS,无人机,PLC,安防,家电,电动工具,汽车等都在快速普及理想二极管有三种架构,内置电荷泵的类似无锡明芯微MX5050T这种,驱动能力会弱点,静态功耗200uA,外置电荷泵MX74700T的这种驱动能力
    王萌 2024-12-10 08:51 79浏览
  • 智能汽车可替换LED前照灯控制运行的原理涉及多个方面,包括自适应前照灯系统(AFS)的工作原理、传感器的应用、步进电机的控制以及模糊控制策略等。当下时代的智能汽车灯光控制系统通过车载网关控制单元集中控制,表现特殊点的有特斯拉,仅通过前车身控制器,整个系统就包括了灯光旋转开关、车灯变光开关、左LED前照灯总成、右LED前照灯总成、转向柱电子控制单元、CAN数据总线接口、组合仪表控制单元、车载网关控制单元等器件。变光开关、转向开关和辅助操作系统一般连为一体,开关之间通过内部线束和转向柱装置连接为多,
    lauguo2013 2024-12-10 15:53 52浏览
  •         霍尔传感器是根据霍尔效应制作的一种磁场传感器。霍尔效应是磁电效应的一种,这一现象是霍尔(A.H.Hall,1855—1938)于1879年在研究金属的导电机构时发现的。后来发现半导体、导电流体等也有这种效应,而半导体的霍尔效应比金属强得多,利用这现象制成的各种霍尔元件,广泛地应用于工业自动化技术、检测技术及信息处理等方面。霍尔效应是研究半导体材料性能的基本方法。通过霍尔效应实验测定的霍尔系数,能够判断半导体材料的导电类型、载流子浓度及载流子
    锦正茂科技 2024-12-10 11:07 51浏览
  • 【萤火工场CEM5826-M11测评】OLED显示雷达数据本文结合之前关于串口打印雷达监测数据的研究,进一步扩展至 OLED 屏幕显示。该项目整体分为两部分: 一、框架显示; 二、数据采集与填充显示。为了减小 MCU 负担,采用 局部刷新 的方案。1. 显示框架所需库函数 Wire.h 、Adafruit_GFX.h 、Adafruit_SSD1306.h . 代码#include #include #include #include "logo_128x64.h"#include "logo_
    无垠的广袤 2024-12-10 14:03 51浏览
  • 在驾驶培训与考试的严谨流程中,EST580驾培驾考系统扮演着至关重要的数据角色。它不仅集成了转速监控、车速管理、转向角度测量、转向灯光控制以及手刹与安全带状态检测等多项功能,还通过高精度的OBD数据采集器实时捕捉车辆运行状态,确保学员在模拟及实际驾驶中的每一步操作都精准无误。EST580驾培驾考转速车速转向角转向灯光手刹安全带OBD数据采集器系统的重要性及其功能:1、提高评判效率:通过原车CAN协议兼容,不同车型通过刷写固件覆盖,不仅提高了考试的数字化、自动化程度,还减少了人为干预的安装需要,从
    lauguo2013 2024-12-09 16:51 99浏览
  • 本文介绍Linux系统(Ubuntu/Debian通用)挂载exfat格式U盘的方法,触觉智能RK3562开发板演示,搭载4核A53处理器,主频高达2.0GHz;内置独立1Tops算力NPU,可应用于物联网网关、平板电脑、智能家居、教育电子、工业显示与控制等行业。修改对应的内核配置文件# 进入sdk目录cdrk3562_linux# 编辑内核配置文件vi./kernel-5.10/arch/arm64/configs/rockchip_linux_defconfig注:不清楚内核使用哪个defc
    Industio_触觉智能 2024-12-10 09:44 78浏览
我要评论
0
点击右上角,分享到朋友圈 我知道啦
请使用浏览器分享功能 我知道啦