2.首届eBPF大会交流-李强&张绪峰_final.pptx

《2.首届eBPF大会交流-李强&张绪峰_final.pptx》由会员分享，可在线阅读，更多相关《2.首届eBPF大会交流-李强&张绪峰_final.pptx（22页珍藏版）》请在三个皮匠报告上搜索。

1、首届中国首届中国eBPFeBPF研讨会研讨会eBPF在安全领域的应用李强&张绪峰，蚂蚁集团2022年10月自我介绍自我介绍l 李强李强蚂蚁集团，安全工程师蚂蚁集团，安全工程师底层安全，内核、虚拟化、容器安全底层安全，内核、虚拟化、容器安全l 张绪峰张绪峰蚂蚁集团，研发工程师蚂蚁集团，研发工程师内核、容器、可信计算内核、容器、可信计算首届中国首届中国eBPFeBPF研讨会研讨会目录目录l 云原生时代系统安全面临的问题云原生时代系统安全面临的问题l eBPFeBPF用于系统安全领域用于系统安全领域l BPFShieldBPFShield系统介绍系统介绍首届中国首届中国eBPFeBPF研讨会研讨会P

2、art 1:Part 1:云原生时代系统安全面临的问题云原生时代系统安全面临的问题首届中国首届中国eBPFeBPF研讨会研讨会01云原生安全：云原生安全：runtimeruntime安全安全首届中国首届中国eBPFeBPF研讨会研讨会l 网络安全：网络安全：kuberneteskubernetes有标准，典型实现有标准，典型实现CiliumCiliuml 系统安全：尚无标准，实现有系统安全：尚无标准，实现有sysdigsysdig,TetragonTetragon等等01典型的典型的runtimeruntime系统安全系统安全首届中国首届中国eBPFeBPF研讨会研讨会l 系统行为观测系统行为

3、观测l 漏洞检测与拦截漏洞检测与拦截l 容器逃逸检测与拦截容器逃逸检测与拦截l 恶意软件检测与拦截恶意软件检测与拦截01系统行为观测系统行为观测首届中国首届中国eBPFeBPF研讨会研讨会l 问题：如何确定内核安全加固项问题：如何确定内核安全加固项l 背景：大规模集群上运行各种各样业务，很难统一确定加固项背景：大规模集群上运行各种各样业务，很难统一确定加固项l 例子例子 LinuxLinux各种内核安全加固项各种内核安全加固项 l 需求：需要能够对集群上的节点方便的插桩收集数据需求：需要能够对集群上的节点方便的插桩收集数据01漏洞利用检测与拦截漏洞利用检测与拦截首届中国首届中国eBPFeBPF

4、研讨会研讨会l 问题：问题：LinuxLinux系统漏洞频发系统漏洞频发l 背景：生产环境内核的升级和补丁都不容易背景：生产环境内核的升级和补丁都不容易l 影响影响 系统漏洞越来越多，特别是内核漏洞系统漏洞越来越多，特别是内核漏洞 LinuxLinux漏洞防御方案发展缓慢漏洞防御方案发展缓慢 在容器化场景下影响更大在容器化场景下影响更大l 需求：能够快速的针对漏洞进行系统止血工作需求：能够快速的针对漏洞进行系统止血工作01容器逃逸检测与拦截容器逃逸检测与拦截首届中国首届中国eBPFeBPF研讨会研讨会l 问题：容器逃逸是云原生安全最大风险之一问题：容器逃逸是云原生安全最大风险之一l 背景：容器

5、逃逸比较常见，风险很大背景：容器逃逸比较常见，风险很大l 例子例子 UserUser modemode helperhelper逃逸逃逸 特权权限配置不当特权权限配置不当 系统漏洞系统漏洞l 需求：能够高效的检测或者拦截各类容器逃逸漏洞需求：能够高效的检测或者拦截各类容器逃逸漏洞01LinuxLinux恶意软件恶意软件首届中国首届中国eBPFeBPF研讨会研讨会l 问题：问题：LinuxLinux恶意软件越来越使用高级技术恶意软件越来越使用高级技术l 背景：恶意软件会使用各种高级技术逃避传统软件检测背景：恶意软件会使用各种高级技术逃避传统软件检测l 例子例子 无文件攻击：无文件攻击：memfd

6、_creatememfd_create bpfbpf：加载：加载bpfbpf程序程序 rootkit:rootkit:加载内核模块等加载内核模块等l 需求：能够快速检测各种恶意软件需求：能够快速检测各种恶意软件01Part 2:Part 2:eBPFeBPF用于系统安全领域用于系统安全领域首届中国首届中国eBPFeBPF研讨会研讨会02系统行为观测系统行为观测首届中国首届中国eBPFeBPF研讨会研讨会l 需求：需要能够对集群上的节点方便的插桩收集数据需求：需要能够对集群上的节点方便的插桩收集数据l eBPFeBPF：能够方便的在内核多个地方进行插桩：能够方便的在内核多个地方进行插桩做加固决定