eBPF Безопасность и Аудит Времени Выполнения

1. Обзор концепции и системная проблема

Автономные агенты с доступом к терминалу имеют слишком много способов обойти обычные ограничения приложений:

• Агент запускает скомпилированный бинарный файл, который в фоновом режиме пытается открыть сокет и слить секреты на сторонний IP-адрес.
• Агент создает подпроцесс, который пытается повысить привилегии через известную локальную уязвимость (Local Privilege Escalation).
• Классический антивирус или сканер логов узнает о инциденте через несколько минут или часов — когда сервер уже скомпрометирован.

eBPF (Extended Berkeley Packet Filter) — это революционная подсистема ядра Linux, которая позволяет безопасно запускать пользовательские программы внутри ядра без модификации его исходного кода, превращая ядро ОС в умного охранника.

2. Архитектурная таксономия и ментальная модель

┌─────────────────────────────────────────────────────────────┐
│                 EBPF RUNTIME INTERCEPTION                   │
├─────────────────────────────────────────────────────────────┤
│ 1. USERSPACE (Исполнение автономного агента):               │
│    Agent Container ➔ Выполняет команду `curl evil.com`      │
├─────────────────────────────────────────────────────────────┤
│                          │                                  │
│                          ▼ Системный вызов (`sys_enter_connect`)│
├─────────────────────────────────────────────────────────────┤
│ 2. LINUX KERNEL SPACE (Уровень eBPF Hook):                  │
│    ┌─────────────────────────────────────────────────────┐  │
│    │ eBPF Программа (Tetragon / Falco):                  │  │
│    │ • Проверка: Целевой IP = 185.220.101.4              │  │
│    │ • Правило: Целевой IP не в разрешенном списке!      │  │
│    │ • ДЕЙСТВИЕ: Мгновенно отправить SIGKILL PID 4092!   │  │
│    └─────────────────────────────────────────────────────┘  │
│    ➔ Системный вызов отклонен! Процесс убит за <1 микросекунду. │
├─────────────────────────────────────────────────────────────┤
│ 3. TELEMETRY ALERT: Событие отправлено в OpenTelemetry / Slack│
└─────────────────────────────────────────────────────────────┘

3. Практические инженерные сценарии в продакшене

01. Мгновенная блокировка утечки системных файлов

Политика безопасности запрещает любым процессам агента открывать файлы в каталогах /etc, ~/.ssh и ~/.aws. Как только агент пытается вызвать openat('/etc/shadow'), eBPF блокирует вызов и уведомляет службу безопасности.

02. Обнаружение аномальных сетевых сканирований

Если скомпрометированный агент начинает пинговать внутреннюю сеть хоста или искать открытые порты соседних контейнеров (Port Scanning), eBPF мгновенно фиксирует аномальную активность на уровне сетевого стека Linux.

4. Подводные камни, типовые ошибки и безопасность

• Требования к версии ядра Linux: Полноценная поддержка современных возможностей eBPF (BTRF, CO-RE) требует свежего ядра Linux (версия 5.15 или 6.x+). На старых дистрибутивах CentOS или Debian запуск может быть ограниченным.
• Сложность написания собственных программ: Написание сырого eBPF-кода на языке C требует глубокого понимания верификатора ядра. Рекомендуется использовать готовые системы на базе декларативных YAML-политик (Tetragon или Falco).

5. Стратегический вывод для инженера 2026 года

eBPF преобразовал безопасность серверов из пассивного анализа прошлых событий в проактивное перехватывание в режиме реального времени. Для инженеров, разворачивающих автономных агентов с доступом к терминалу, eBPF является высшим уровнем аппаратного контроля над действиями модели.