A Study of Kernel Telemetry Options for Security-Oriented Provenance
Cet article analyse les approches de télémétrie du noyau, identifie l'eBPF comme l'option la plus prometteuse à travers des micro-benchmarks, et évalue huit systèmes de provenance ainsi que cinq agents de capture pour révéler que les outils actuels souffrent d'implémentations hétérogènes et ne parviennent pas à garantir l'intégrité et la disponibilité requises pour les cas d'usage orientés vers la sécurité.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez votre ordinateur comme une ville trépidante et hautement sécurisée. Chaque fois qu'une application fait quelque chose — ouvrir un fichier, se connecter à Internet, ou lancer un nouveau programme — c'est comme si un citoyen faisait une requête à l'Hôtel de Ville. Dans le monde de la cybersécurité, nous devons tenir un journal parfait et incassable de qui a fait quoi, quand, et comment. Ce journal s'appelle la provenance. Ce n'est pas seulement une liste d'événements ; c'est une carte de cause à effet, montrant comment une action a mené à une autre. Si un pirate s'introduit, les enquêteurs ont besoin de cette carte pour retracer ses pas, comprendre comment il est entré, et l'empêcher de revenir.
Mais voici la partie délicate : tenir ce journal est difficile. L'« Hôtel de Ville » d'un ordinateur est le noyau (kernel), le cœur profond et intérieur où tout se passe. Pour écrire le journal, vous avez besoin d'un système de télémétrie — un garde de sécurité super observateur qui surveille le noyau sans ralentir la ville et sans se faire duper par les méchants. Pendant des années, les experts en sécurité se sont disputés sur la meilleure façon de construire ce garde. Certains gardes se tiennent à l'extérieur du bâtiment (l'espace utilisateur/user space), tandis que d'autres travaillent à l'intérieur des murs (l'espace noyau/kernel space). La grande question est : quel garde est assez rapide pour suivre le rythme, assez intelligent pour tout voir, et assez robuste pour rester honnête même lorsqu'un pirate tente de le corrompre ou de le duper ?
Ce document est comme une histoire de détective où les auteurs partent tester les différents types de gardes de sécurité pour voir lequel fonctionne réellement pour construire une carte de provenance fiable. Ils ne se sont pas contentés de deviner ; ils ont mis en place un laboratoire, réalisé des milliers de tests, et mesuré exactement à quel point chaque garde ralentissait la ville et combien d'événements il manquait.
L'histoire commence par l'examen des différentes manières de capturer ces événements. Les auteurs ont découvert que les gardes de la vieille école, comme ceux qui se tiennent à l'extérieur du bâtiment ou ceux qui utilisent des outils personnalisés et lourds, étaient soit trop lents, soit trop aveugles, soit trop facilement dupés. Ils ont écarté de nombreuses méthodes populaires, montrant qu'elles manquent souvent des détails cruciaux ou peuvent être altérées par un attaquant astucieux. Le document met le projecteur sur un garde plus récent et plus prometteur appelé eBPF (extended Berkeley Packet Filter). Considérez l'eBPF comme une caméra de sécurité programmable et surpuissante qui vit directement à l'intérieur des murs de la ville. Elle est rapide, sûre, et peut être programmée pour surveiller exactement ce dont vous avez besoin.
Cependant, les auteurs ont découvert que posséder simplement une caméra eBPF ne suffit pas ; il faut savoir comment l'utiliser. Ils ont testé quatre « modes » différents pour ces caméras. Un mode, appelé LSM, s'est avéré être la star du spectacle. Pourquoi ? Parce que c'est le seul qui peut vérifier une requête après qu'elle a été entièrement traitée et décider si elle doit être autorisée ou bloquée, le tout en une seule étape. Les autres modes devaient vérifier la requête deux fois (une fois à son arrivée, une fois à son départ), ce qui doublait leur travail et ralentissait tout. Le document montre qu'utiliser le mode LSM est comme avoir un garde qui prend la décision finale instantanément, plutôt que de courir faire et défaire des allers-retours vers un superviseur.
Les chercheurs ont également testé le filtrage du bruit. Dans une ville animée, vous ne voulez pas enregistrer chaque éternuement ; vous voulez seulement enregistrer les actions de personnes spécifiques, comme celles d'un bâtiment spécifique (un conteneur). Ils ont trouvé que la meilleure façon de faire cela est de dire au garde de ne surveiller que ce bâtiment spécifique avant même que l'événement ne se produise. Si vous dites au garde de surveiller tout le monde pour ensuite jeter les données non pertinentes plus tard, la ville s'arrête de fonctionner. La méthode de « pré-filtrage », que le garde LSM peut effectuer naturellement, a permis de maintenir la ville en mouvement tout en capturant toujours les méchants.
Enfin, les auteurs ont examiné les outils que les gens utilisent réellement aujourd'hui pour construire ces cartes de provenance. Ils ont testé huit systèmes différents et cinq « agents de capture » (outils de collecte de données). Les résultats ont été un choc. Beaucoup d'outils populaires manquaient de pans entiers de l'histoire. Certains perdaient plus de 90 % des événements qu'ils étaient censés enregistrer, ce qui signifie que les cartes qu'ils construisaient étaient pleines de trous. D'autres étaient si lents qu'ils rendaient l'ordinateur inutilisable. Le seul outil qui parvenait à tout enregistrer sans ralentir ne construisait même pas une carte ; il se contentait de recracher un flux de données brutes.
Le document conclut que, bien que nous ayons la technologie pour construire un journal de sécurité parfait, la plupart des outils actuels ne sont pas prêts pour la tâche. Ils sont soit trop lents, soit trop fuyants, soit trop fragiles. Les auteurs suggèrent que l'avenir réside dans l'utilisation du mode LSM de l'eBPF avec un filtrage intelligent avant l'événement. C'est la seule combinaison qui promet de nous donner un registre complet, honnête et rapide de ce qui se passe dans nos villes numériques, ce qui est essentiel si nous voulons un jour attraper les cambrioleurs numériques en plein acte.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.