A Study of Kernel Telemetry Options for Security-Oriented Provenance
Questo articolo analizza gli approcci di telemetria del kernel, identifica eBPF come l'opzione più promettente attraverso micro-benchmark, e valuta otto sistemi di provenienza e cinque agenti di cattura per rivelare che gli strumenti attuali soffrono di implementazioni eterogenee e non riescono a garantire l'integrità e la disponibilità richieste per casi d'uso orientati alla sicurezza.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina il tuo computer come una città frenetica e ad alta sicurezza. Ogni volta che un'app fa qualcosa — aprire un file, connettersi a internet o avviare un nuovo programma — è come un cittadino che presenta una richiesta al Municipio. Nel mondo della cybersecurity, abbiamo bisogno di un diario perfetto e indistruttibile di chi ha fatto cosa, quando e come. Questo diario si chiama provenance (provenienza). Non è solo un elenco di eventi; è una mappa di causa ed effetto, che mostra come un'azione abbia portato a un'altra. Se un hacker si intrufola, gli investigatori hanno bisogno di questa mappa per ricostruire i loro passi, capire come sono entrati e impedire loro di tornare.
Ma ecco la parte complicata: tenere questo diario è difficile. Il "Municipio" di un computer è il kernel, il nucleo profondo e interno dove tutto accade. Per scrivere il diario, serve un sistema di telemetria — una guardia giurata super osservatrice che controlli il kernel senza rallentare la città o farsi ingannare dai cattivi. Per anni, gli esperti di sicurezza hanno discusso sul modo migliore per costruire questa guardia. Alcune guardie stanno fuori dall'edificio (spazio utente), mentre altre lavorano dentro le mura (spazio kernel). La grande domanda è: quale guardia è abbastanza veloce da stare al passo, abbastanza intelligente da vedere tutto e abbastanza forte da rimanere onesta anche quando un hacker cerca di corromperla o ingannarla?
Questo articolo è come un romanzo investigativo dove gli autori vanno a testare i diversi tipi di guardie per vedere quale funzioni davvero per costruire una mappa di provenienza affidabile. Non si sono limitati a indovinare; hanno allestito un laboratorio, hanno eseguito miglia di test e hanno misurato esattamente quanto ogni guardia rallentasse la città e quanti eventi avesse perso.
La storia inizia esaminando i diversi modi per catturare questi eventi. Gli autori hanno scoperto che le guardie della vecchia scuola, come quelle che stanno fuori dall'edificio o quelle che usano strumenti pesanti e personalizzati, erano troppo lente, troppo cieche o troppo facilmente manipolabili. Hanno scartato molti metodi popolari, dimostrando che spesso mancano di dettagli cruciali o possono essere manomessi da un attaccante astuto. L'articolo punta il riflettore su una guardia più recente e promettente chiamata eBPF (extended Berkeley Packet Filter). Pensa all'eBPF come a una telecamera di sicurezza programmabile e super potente che vive proprio dentro le mura della città. È veloce, sicura e può essere programmata per osservare esattamente ciò di cui hai bisogno.
Tuttavia, gli autori hanno scoperto che avere solo una telecamera eBPF non è sufficiente; bisogna sapere come usarla. Hanno testato quattro diversi "modi" per queste telecamere. Un modo, chiamato LSM, si è rivelato la stella dello spettacolo. Perché? Perché è l'unico in grado di controllare una richiesta dopo che è stata completamente elaborata e decidere se debba essere permessa o bloccata, tutto in un unico passaggio. Altri modi dovevano controllare la richiesta due volte (una quando arrivava, una quando partiva), il che raddoppiava il loro lavoro e rallentava tutto. L'articolo mostra che usare la modalità LSM è come avere una guardia che prende la decisione finale istantaneamente, invece di correre avanti e indietro da un supervisore.
I ricercatori hanno anche testato come filtrare il rumore. In una città frenetica, non vuoi registrare ogni singolo starnuto; vuoi registrare solo le azioni di persone specifiche, come quelle in un edificio particolare (un container). Hanno scoperto che il modo migliore per farlo è dire alla guardia di osservare solo quell'edificio specifico prima che l'evento accada. Se dici alla guardia di osservare tutti e poi scarti i dati irrilevanti in seguito, la città si blocca. Il metodo del "pre-filtraggio", che la guardia LSM può fare naturalmente, ha mantenuto la città in movimento fluido pur continuando a catturare i cattivi.
Infine, gli autori hanno esaminato gli strumenti che le persone usano oggi per costruire queste mappe di provenienza. Hanno testato otto sistemi diversi e cinque "agenti di cattura" (strumenti che raccolgono i dati). I risultati sono stati uno shock. Molti degli strumenti popolari perdevano enormi parti della storia. Alcuni scartavano oltre il 90% degli eventi che avrebbero dovuto registrare, il che significa che le mappe che costruivano erano piene di buchi. Altri erano così lenti da rendere il computer inutilizzabile. L'unico strumento che riusciva a registrare tutto senza rallentare non costruiva nemmeno una mappa; espelleva solo un flusso di dati grezzi.
L'articolo conclude che, sebbene abbiamo la tecnologia per costruire un diario di sicurezza perfetto, la maggior parte degli strumenti attuali non è pronta per il compito. Sono troppo lenti, troppo "bucati" o troppo fragili. Gli autori suggeriscono che il futuro risiede nell'uso della modalità LSM di eBPF con un filtraggio intelligente pre-evento. È l'unica combinazione che promette di darci un registro completo, onesto e veloce di ciò che accade nelle nostre città digitali, essenziale se vogliamo mai catturare i ladri digitali in flagrante.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.