Contents 目　　錄
前　言
第一部分　eBPF助力云原生安全
第1章　云原生安全概述　3
1.1　云原生安全的挑戰(zhàn)　3
1.1.1　云原生平臺基礎(chǔ)設(shè)施的安全風(fēng)險　4
1.1.2　DevOps軟件供應(yīng)鏈的安全風(fēng)險　4
1.1.3　云原生應(yīng)用范式的安全風(fēng)險　5
1.2　云原生安全的演進(jìn)　5
1.3　云原生安全的理論基礎(chǔ)　11
1.3.1　威脅建�！�11
1.3.2　堅(jiān)守安全準(zhǔn)則　14
1.3.3　安全觀測和事件響應(yīng)　21
1.4　云原生安全的方法論　21
1.4.1　CNCF云原生安全架構(gòu)　22
1.4.2　云原生應(yīng)用保護(hù)平臺　31
1.5　本章小結(jié)　35
第2章　初識eBPF　36
2.1　eBPF歷史　36
2.2　eBPF的關(guān)鍵特性和應(yīng)用場景　38
2.2.1　Linux內(nèi)核　38
2.2.2　eBPF的關(guān)鍵特性　39
2.2.3　eBPF的應(yīng)用場景　41
2.3　eBPF的架構(gòu)　44
2.4　本章小結(jié)　47
第3章　eBPF技術(shù)原理詳解　48
3.1　eBPFHello World程序　48
3.2　eBPF技術(shù)原理　53
3.2.1　eBPF Map數(shù)據(jù)結(jié)構(gòu)　53
3.2.2　eBPF虛擬機(jī)　56
3.2.3　eBPF驗(yàn)證器　60
3.2.4　bpf()系統(tǒng)調(diào)用　61
3.2.5　eBPF程序和附著類型　63
3.3　eBPF程序的開發(fā)模式　66
3.3.1　BCC模式　66
3.3.2　CO-RE libbpf模式　68
3.4　本章小結(jié)　75
第4章　eBPF技術(shù)在云原生安全領(lǐng)域的應(yīng)用　76
4.1　針對云原生應(yīng)用的攻擊　76
4.2　eBPF和云原生安全的契合點(diǎn)　78
4.2.1　容器中的基礎(chǔ)隔離　78
4.2.2　傳統(tǒng)安全架構(gòu)　79
4.2.3　eBPF提升云原生應(yīng)用運(yùn)行時安全　80
4.2.4　eBPF伴隨云原生應(yīng)用生命周期　81
4.3　eBPF云原生安全開源項(xiàng)目　83
4.3.1　Falco　84
4.3.2　Tracee　85
4.3.3　Tetragon　86
4.4　雙刃劍　87
4.5　本章小結(jié)　90
第二部分　云原生安全項(xiàng)目詳解
第5章　云原生安全項(xiàng)目Falco詳解　93
5.1　項(xiàng)目介紹　93
5.1.1　功能　93
5.1.2　使用場景　95
5.2　安裝　95
5.2.1　使用包管理工具　95
5.2.2　下載二進(jìn)制包　97
5.2.3　Kubernetes環(huán)境　98
5.3　使用示例　99
5.3.1　規(guī)則引擎　99
5.3.2　告警輸出　104
5.3.3　事件源　104
5.4　架構(gòu)和實(shí)現(xiàn)原理　105
5.4.1　架構(gòu)　105
5.4.2　驅(qū)動　105
5.4.3　用戶態(tài)模塊　111
5.5　本章小結(jié)　113
第6章　云原生安全項(xiàng)目Tracee詳解　114
6.1　項(xiàng)目介紹　114
6.2　安裝　115
6.3　使用示例　116
6.3.1　事件追蹤　116
6.3.2　制品捕獲　122
6.3.3　風(fēng)險探測　124
6.3.4　外部集成　127
6.4　架構(gòu)和實(shí)現(xiàn)原理　129
6.4.1　架構(gòu)　129
6.4.2　tracee-ebpf實(shí)現(xiàn)原理　130
6.5　本章小結(jié)　141
第7章　云原生安全項(xiàng)目Tetragon詳解　142
7.1　項(xiàng)目介紹　142
7.2　安裝　143
7.3　使用示例　144
7.3.1　事件觀測　144
7.3.2　風(fēng)險攔截　149
7.4　架構(gòu)和實(shí)現(xiàn)原理　154
7.4.1　架構(gòu)　154
7.4.2　事件觀測　156
7.4.3　風(fēng)險攔截　165
7.5　本章小結(jié)　166
第三部分　eBPF安全技術(shù)實(shí)戰(zhàn)
第8章　使用eBPF技術(shù)審計(jì)和攔截命令執(zhí)行操作　169
8.1　審計(jì)命令執(zhí)行操作　169
8.1.1　基于eBPF Kprobe和Kretprobe實(shí)現(xiàn)　170
8.1.2　基于eBPF Fentry和Fexit實(shí)現(xiàn)　173
8.1.3　基于eBPF Ksyscall和Kretsyscall實(shí)現(xiàn)　174
8.1.4　基于eBPF Tracepoint實(shí)現(xiàn)　175
8.2　攔截命令執(zhí)行操作　178
8.2.1　基于bpf_send_signal實(shí)現(xiàn)　178
8.2.2　基于bpf_override_return實(shí)現(xiàn)　179
8.3　本章小結(jié)　182
第9章　使用eBPF技術(shù)審計(jì)和攔截文件讀寫操作　183
9.1　審計(jì)文件讀寫操作　183
9.1.1　基于eBPF Kprobe和Kretprobe實(shí)現(xiàn)　184
9.1.2　基于eBPF Tracepoint實(shí)現(xiàn)　185
9.1.3　基于eBPF LSM實(shí)現(xiàn)　187
9.2　攔截文件讀寫操作　189
9.2.1　基于bpf_send_signal實(shí)現(xiàn)　190
9.2.2　基于bpf_override_return實(shí)現(xiàn)　191
9.2.3　基于eBPF LSM實(shí)現(xiàn)　191
9.3　本章小結(jié)　192
第10章　使用eBPF技術(shù)審計(jì)和攔截權(quán)限提升操作　193
10.1　審計(jì)權(quán)限提升操作　193
10.1.1　基于eBPF LSM實(shí)現(xiàn)　194
10.1.2　基于eBPF Kprobe實(shí)現(xiàn)　195
10.2　攔截權(quán)限提升操作　196
10.3　本章小結(jié)　197
第11章　使用eBPF技術(shù)審計(jì)和攔截網(wǎng)絡(luò)流量　198
11.1　審計(jì)網(wǎng)絡(luò)流量　198
11.1.1　基于eBPF套接字過濾器實(shí)現(xiàn)　198
11.1.2　基于eBPF TC實(shí)現(xiàn)　204
11.1.3　基于eBPF XDP實(shí)現(xiàn)　207
11.1.4　基于Kprobe實(shí)現(xiàn)　207
11.2　攔截網(wǎng)絡(luò)流量　209
11.2.1　基于eBPF TC實(shí)現(xiàn)　209
11.2.2　基于eBPF XDP實(shí)現(xiàn)　210
11.3　本章小結(jié)　211
第12章　為事件關(guān)聯(lián)上下文信息　212
12.1　進(jìn)程信息　212
12.1.1　進(jìn)程操作事件　212
12.1.2　網(wǎng)絡(luò)事件　216
12.2　容器和Pod信息　221
12.2.1　進(jìn)程操作事件　221
12.2.2　網(wǎng)絡(luò)事件　225
12.3　本章小結(jié)　226
第四部分　eBPF安全進(jìn)階
第13章　使用eBPF技術(shù)審計(jì)復(fù)雜的攻擊手段　229
13.1　審計(jì)使用無文件攻擊技術(shù)實(shí)現(xiàn)的命令執(zhí)行操作　229
13.2　審計(jì)反彈Shell操作　232
13.3　本章小結(jié)　236
第14章　使用eBPF技術(shù)探測惡意eBPF程序　237
14.1　惡意eBPF程序　237
14.1.1　常規(guī)程序　237
14.1.2　網(wǎng)絡(luò)程序　250
14.2　防護(hù)惡意eBPF程序　260
14.3　探測和審計(jì)惡意eBPF程序 261

14.3.1 文件分析 261

14.3.2 bpftool 262

14.3.3 內(nèi)核探測 265

14.4 本章小結(jié) 268