eBPF Security & Runtime Auditing(Низькорівневий моніторинг агентів через eBPF)

1. Огляд концепції та системна проблема

Автономні агенти з доступом до терміналу мають надто багато способів обійти звичайні обмеження додатків:

• Агент запускає скомпільований бінарний файл, який у фоні намагається відкрити сокет і злити секрети на сторонній IP-адрес.
• Агент створює підпроцес, який намагається підвищити привілеї через відому локальну вразливість (Local Privilege Escalation).
• Класичний антивірус або сканер логів дізнається про інцидент через кілька хвилин або годин — коли сервер уже скомпрометовано.

eBPF (Extended Berkeley Packet Filter) — це революційна підсистема ядра Linux, яка дозволяє безпечно запускати призначені для користувача програми всередині ядра без модифікації його вихідного коду, перетворюючи ядро ОС на розумного охоронця.

2. Архітектурна таксономія та ментальна модель

┌─────────────────────────────────────────────────────────────┐
│                 EBPF RUNTIME INTERCEPTION                   │
├─────────────────────────────────────────────────────────────┤
│ 1. USERSPACE (Autonomous Agent Execution):                  │
│    Agent Container ➔ Executes command `curl evil.com`        │
├─────────────────────────────────────────────────────────────┤
│                          │                                  │
│                          ▼ System Call (`sys_enter_connect`)│
├─────────────────────────────────────────────────────────────┤
│ 2. LINUX KERNEL SPACE (eBPF Hook Layer):                    │
│    ┌─────────────────────────────────────────────────────┐  │
│    │ eBPF Program (Tetragon / Falco):                    │  │
│    │ • Inspect: Destination IP = 185.220.101.4           │  │
│    │ • Rule: Target IP is NOT in allowed egress list!    │  │
│    │ • ACTION: Send SIGKILL to PID 4092 instantly!       │  │
│    └─────────────────────────────────────────────────────┘  │
│    ➔ Syscall dropped! Process killed in <1 microsecond.     │
├─────────────────────────────────────────────────────────────┤
│ 3. TELEMETRY ALERT: Event emitted to OpenTelemetry / Slack  │
└─────────────────────────────────────────────────────────────┘

3. Практичні інженерні сценарії в продакшені

01. Миттєве блокування витоку системних файлів

Політика безпеки забороняє будь-яким процесам агента відкривати файли в каталогах /etc, ~/.ssh та ~/.aws. Щойно агент намагається викликати openat('/etc/shadow'), eBPF блокує виклик і сповіщає службу безпеки.

02. Виявлення аномальних мережевих сканувань

Якщо зламаний агент починає пінгувати внутрішню мережу хоста або шукати відкриті порти сусідніх контейнерів (Port Scanning), eBPF миттєво фіксує аномальну активність на рівні мережевого стека Linux.

4. Підводні камені, типові помилки та безпека

• Вимоги до версії ядра Linux: Повноцінна підтримка сучасних можливостей eBPF (BTRF, CO-RE) вимагає свіжого ядра Linux (версія 5.15 або 6.x+). На старих дистрибутивах CentOS або Debian запуск може бути обмеженим.
• Складність написання власних програм: Написання сирого eBPF-коду на мові C вимагає глибокого розуміння верифікатора ядра. Рекомендується використовувати готові системи на базі декларативних YAML-політик (Tetragon або Falco).

5. Стратегічний висновок для інженера 2026 року

eBPF перетворив безпеку серверів із пасивного аналізу минулих подій на проактивне перехоплення в режимі реального часу. Для інженерів, які розгортають автономних агентів із доступом до терміналу, eBPF є найвищим рівнем апаратного контролю над діями моделі.