A Study of Kernel Telemetry Options for Security-Oriented Provenance
Este artigo analisa abordagens de telemetria de kernel, identifica o eBPF como a opção mais promissora por meio de micro-benchmarks e avalia oito sistemas de proveniência e cinco agentes de captura para revelar que as ferramentas atuais sofrem com implementações heterogêneas e falham em garantir a integridade e a disponibilidade exigidas para casos de uso orientados à segurança.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine o seu computador como uma cidade movimentada e de alta segurança. Cada vez que um aplicativo faz algo — abrir um arquivo, conectar-se à internet ou iniciar um novo programa — é como se um cidadão fizesse um pedido na Prefeitura. No mundo da cibersegurança, precisamos manter um diário perfeito e inquebrável de quem fez o quê, quando e como. Esse diário é chamado de proveniência. Não é apenas uma lista de eventos; é um mapa de causa e efeito, mostrando como uma ação levou a outra. Se um hacker se infiltrar, os investigadores precisam deste mapa para refazer seus passos, descobrir como eles entraram e impedi-los de voltar.
Mas aqui está a parte complicada: manter este diário é difícil. A "Prefeitura" de um computador é o kernel, o núcleo profundo e interno onde tudo acontece. Para escrever o diário, você precisa de um sistema de telemetria — um guarda de segurança superobservador que vigia o kernel sem deixar a cidade lenta ou ser enganado pelos vilões. Durante anos, especialistas em segurança têm discutido sobre a melhor maneira de construir esse guarda. Alguns guardas ficam do lado de fora do edifício (espaço do usuário/user space), enquanto outros trabalham dentro das paredes (espaço do kernel/kernel space). A grande questão é: qual guarda é rápido o suficiente para acompanhar o ritmo, inteligente o suficiente para ver tudo e forte o suficiente para permanecer honesto mesmo quando um hacker tenta suborná-lo ou enganá-lo?
Este artigo é como uma história de detetive onde os autores saem para testar os diferentes tipos de guardas de segurança para ver qual deles realmente funciona para construir um mapa de proveniência confiável. Eles não apenas adivinharam; eles montaram um laboratório, realizaram milhares de testes e mediram exatamente o quanto cada guarda atrasou a cidade e quantos eventos eles perderam.
A história começa olhando para as diferentes maneiras de capturar esses eventos. Os autores descobriram que os guardas da velha guarda, como aqueles que ficam do lado de fora do edifício ou aqueles que usam ferramentas pesadas e personalizadas, eram ou muito lentos, ou cegos demais, ou facilmente enganados. Eles descartaram muitos métodos populares, mostrando que eles frequentemente perdem detalhes cruciais ou podem ser adulterados por um atacante astuto. O artigo coloca um holofote em um guarda mais novo e promissor chamado eBPF (Extended Berkeley Packet Filter). Pense no eBPF como uma câmera de segurança programável e superpoderosa que vive dentro das paredes da cidade. É rápido, seguro e pode ser programado para observar exatamente o que você precisa.
No entanto, os autores descobriram que ter apenas uma câmera eBPF não é suficiente; você precisa saber como usá-la. Eles testaram quatro "modos" diferentes para essas câmeras. Um modo, chamado LSM, revelou-se a estrela do show. Por quê? Porque é o único que pode verificar um pedido após ele ter sido totalmente processado e decidir se deve ser permitido ou bloqueado, tudo em um único passo. Outros modos tinham que verificar o pedido duas vezes (uma vez quando ele chegava, outra quando ele saía), o que dobrava o trabalho e retardava tudo. O artigo mostra que usar o modo LSM é como ter um guarda que toma a decisão final instantaneamente, em vez de correr de volta para um supervisor.
Os pesquisadores também testaram como filtrar o ruído. Em uma cidade movimentada, você não quer registrar cada espirro; você só quer registrar as ações de pessoas específicas, como as de um edifício específico (um contêiner). Eles descobriram que a melhor maneira de fazer isso é dizer ao guarda para observar apenas aquele edifício específico antes do evento acontecer. Se você disser ao guarda para observar todo mundo e depois descartar os dados irrelevantes mais tarde, a cidade para de funcionar. O método de "pré-filtragem", que o guarda LSM pode fazer naturalmente, manteve a cidade funcionando suavemente, enquanto ainda capturava os vilões.
Finalmente, os autores olharam para as ferramentas reais que as pessoas estão usando hoje para construir esses mapas de proveniência. Eles testaram oito sistemas diferentes e cinco "agentes de captura" (ferramentas que coletam os dados). Os resultados foram um choque. Muitas das ferramentas populares estavam perdendo enormes partes da história. Algumas descartavam mais de 90% dos eventos que deveriam registrar, o que significa que os mapas que construíam eram cheios de buracos. Outras eram tão lentas que tornavam o computador inutilizável. A única ferramenta que conseguiu registrar tudo sem diminuir o desempenho nem sequer construiu um mapa; ela apenas cuspiu um fluxo bruto de dados.
O artigo conclui que, embora tenhamos a tecnologia para construir um diário de segurança perfeito, a maioria das ferramentas atuais não está pronta para o trabalho. Elas são ou muito lentas, ou muito vazadas, ou muito frágeis. Os autores sugerem que o futuro reside no uso do modo LSM do eBPF com uma filtragem inteligente pré-evento. É a única combinação que promete nos dar um registro completo, honesto e rápido do que acontece em nossas cidades digitais, o que é essencial se quisermos algum dia pegar os ladrões digitais em flagrante.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.