A Study of Kernel Telemetry Options for Security-Oriented Provenance
Diese Arbeit analysiert Ansätze zur Kernel-Telemetrie, identifiziert eBPF durch Mikro-Benchmarks als die vielversprechendste Option und evaluiert acht Provenienzsysteme sowie fünf Capture-Agenten, um aufzuzeigen, dass aktuelle Werkzeuge unter heterogenen Implementierungen leiden und es versäumen, die für sicherheitsorientierte Anwendungsfälle erforderliche Integrität und Verfügbarkeit zu garantieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich Ihren Computer wie eine geschäftige, hochgesicherte Stadt vor. Jedes Mal, wenn eine App etwas tut – eine Datei öffnet, eine Verbindung zum Internet aufbaut oder ein neues Programm startet – ist das wie ein Bürger, der im Rathaus einen Antrag stellt. In der Welt der Cybersicherheit müssen wir ein perfektes, unzerbrechliches Tagebuch darüber führen, wer was, wann und wie getan hat. Dieses Tagebuch nennt man Provenienz. Es ist nicht nur eine Liste von Ereignissen; es ist eine Karte von Ursache und Wirkung, die zeigt, wie eine Aktion zur nächsten führte. Wenn sich ein Hacker einschleicht, müssen Ermittler diese Karte haben, um seine Schritte zurückzuverfolgen, herauszufinden, wie er hineingekommen ist, und ihn zu stoppen, damit er nicht wiederkommt.
Aber hier liegt der Knackpunkt: Dieses Tagebuch zu führen, ist schwierig. Das „Rathaus“ eines Computers ist der Kernel, der tiefe, innere Kern, in dem alles passiert. Um das Tagebuch zu schreiben, benötigen Sie ein Telemetry-System – einen super-aufmerksamen Sicherheitswachmann, der den Kernel beobachtet, ohne die Stadt zu verlangsamen oder von den Bösewichten überlistet zu werden. Jahrelang haben Experten für Cybersicherheit darüber gestritten, was der beste Weg ist, um diesen Wachmann zu bauen. Manche Wachmänner stehen außerhalb des Gebäudes (User Space), andere arbeiten innerhalb der Mauern (Kernel Space). Die große Frage ist: Welcher Wachmann ist schnell genug, um Schritt zu halten, klug genug, um alles zu sehen, und zäh genug, um ehrlich zu bleiben, selbst wenn ein Hacker versucht, ihn zu bestechen oder zu täuschen?
Dieses Paper ist wie eine Detektivgeschichte, in der die Autoren verschiedene Arten von Sicherheitswachmännern testen, um zu sehen, welcher tatsächlich funktioniert, um eine zuverlässige Provenienz-Karte zu erstellen. Sie haben nicht nur geraten; sie haben ein Labor aufgebaut, tausende von Tests durchgeführt und genau gemessen, wie sehr jeder Wachmann die Stadt verlangsamte und wie viele Ereignisse sie verpasst haben.
Die Geschichte beginnt mit dem Blick auf die verschiedenen Wege, diese Ereignisse zu erfassen. Die Autoren fanden heraus, dass die Old-School-Wachmänner, wie jene, die außerhalb des Gebäudes stehen, oder jene, die schwere, maßgeschneiderte Werkzeuge benutzen, entweder zu langsam, zu blind oder zu leicht zu täuschen waren. Sie schlossen viele populäre Methoden aus und zeigten, dass diese oft entscheidende Details übersehen oder manipuliert werden können. Das Paper lenkt das Rampenlicht auf einen neueren, vielversprechenderen Wachmann namens eBPF (extended Berkeley Packet Filter). Denken Sie bei eBPF an eine super-mächtige, programmierbare Sicherheitskamera, die direkt innerhalb der Stadtmauern lebt. Sie ist schnell, sicher und kann so programmiert werden, dass sie genau das beobachtet, was Sie brauchen.
Die Autoren entdeckten jedoch, dass es nicht ausreicht, nur eine eBPB-Kamera zu besitzen; man muss wissen, wie man sie benutzt. Sie testeten vier verschiedene „Modi“ für diese Kameras. Ein Modus, genannt LSM, erwies sich als der Star der Show. Warum? Weil es der einzige ist, der eine Anfrage nachdem sie vollständig verarbeitet wurde, prüfen und entscheiden kann, ob sie erlaubt oder blockiert werden soll – und das alles in einem einzigen Schritt. Andere Modi mussten die Anfrage zweimal prüfen (einmal als sie ankam, einmal als sie ging), was ihre Arbeit verdoppelte und alles verlangsamte. Das Paper zeigt, dass die Verwendung des LSM-Modus wie ein Wachmann ist, der die endgültige Entscheidung sofort trifft, anstatt ständig zum Vorgesetzten hin- und herzulaufen.
Die Forscher testeten auch, wie man das Rauschen filtert. In einer geschäftigen Stadt wollen Sie nicht jedes einzelne Niesen aufzeichnen; Sie wollen nur die Handlungen bestimmter Personen aufzeichnen, wie etwa derjenigen in einem bestimmten Gebäude (einem Container). Sie fanden heraus, dass der beste Weg darin besteht, den Wachmann anzuweisen, nur dieses spezifische Gebäude zu beobachten, bevor das Ereignis überhaupt eintritt. Wenn man den Wachmann anweist, jeden zu beobachten und die irrelevanten Daten erst später wegzuwerfen, kommt die Stadt zum Stillstand. Die „Pre-Filtering“-Methode, die der LSM-Wächter natürlich beherrscht, hielt die Stadt am Laufen, während sie dennoch die Bösewichte überführte.
Schließlich betrachteten die Autoren die tatsächlichen Werkzeuge, die die Menschen heute verwenden, um diese Provenienz-Karten zu erstellen. Sie testeten acht verschiedene Systeme und fünf „Capture Agents“ (Werkzeuge zur Datenerfassung). Die Ergebnisse waren ein Schock. Viele der populären Werkzeuge fehlten riesige Teile der Geschichte. Einige ließen über 90 % der Ereignisse, die sie eigentlich aufzeichnen sollten, einfach fallen, was bedeutete, dass die von ihnen erstellten Karten voller Lücken waren. Andere waren so langsam, dass sie den Computer unbrauchbar machten. Das einzige Werkzeug, das in der Lage war, alles aufzuzeichnen, ohne die Geschwindigkeit zu drosseln, baute gar keine Karte auf, sondern gab lediglich einen rohen Datenstrom aus.
Das Paper kommt zu dem Schluss, dass wir zwar die Technologie haben, um ein perfektes Sicherheits-Tagebuch zu erstellen, aber die meisten der aktuellen Werkzeuge noch nicht bereit für die Aufgabe sind. Sie sind entweder zu langsam, zu lückenhaft oder zu fragil. Die Autoren schlagen vor, dass die Zukunft in der Verwendung des LSM-Modus von eBPF mit intelligentem Pre-Event-Filtering liegt. Dies ist die einzige Kombination, die verspricht, uns ein vollständiges, ehrliches und schnelles Protokoll dessen zu liefern, was in unseren digitalen Städten geschieht – was essenziell ist, wenn wir jemals die digitalen Einbrecher auf frischer Tat ertappen wollen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.