Bombini und Oburix: zwei kleine eBPF-Tools für den Labortest

Zwei kleine Open-Source-Projekte bieten MSPs eine kostengünstige Möglichkeit, Linux-Flotten um Sichtbarkeit auf Kernel-Ebene zu erweitern: Bombini, ein eBPF-basierter Monitoring-Agent in Rust mit der Aya-Bibliothek, und Oburix, ein leichteres eBPF-basiertes Endpoint-Detection-Tool mit YAML-definierten Regeln. Keines ist ein Drop-in-Ersatz für eine kommerzielle EDR-Lösung, aber beide sind eine Laborevaluierung wert.

Was die beiden jeweils leisten

Bombini hängt sich an Linux-Security-Module-Hooks (LSM) und wandelt Kernel-Ereignisse – Prozessausführung, Dateioperationen, Netzwerkverbindungen, Privilegien-Eskalationsversuche – in strukturierte JSON-Ausgabe um, die eine SIEM- oder Log-Pipeline verarbeiten kann. Es ist vollständig in Rust implementiert, ohne Abhängigkeit von libbpf oder bcc, und nutzt BTF/CO-RE für Portabilität über Kernel-Versionen hinweg, wobei einige LSM-Hooks beim Booten explizit aktiviert werden müssen. Oburix verfolgt einen leichteren Ansatz: Es beobachtet Prozessausführung, Netzwerkverbindungen und Dateisystemaktivität und gleicht diese Telemetrie mit in YAML geschriebenen Erkennungsregeln ab, mit dem Ziel eines ressourcenschonenden Footprints für die SIEM- oder XDR-Integration.

Sichere Evaluierung

• Kernel-Kompatibilität vor einem breiteren Rollout festlegen und testen – eBPF-Tooling reagiert empfindlich auf Kernel-Version und -Konfiguration.
• Zuerst in einer Laborumgebung ausführen, nicht auf Produktions-Hosts.
• Die Erkennungen jedes Tools in die bestehende SIEM- oder Alerting-Pipeline einbinden, statt es als eigenständige Konsole zu betreiben.
• Einen Rollback-Pfad dokumentieren, falls der Agent selbst Leistungs- oder Stabilitätsprobleme verursacht.

Beide Projekte sind nach GitHub-Maßstäben klein – bescheidene Stern- und Mitwirkendenzahlen im Vergleich zu etablierten Tools wie Falco oder Tracee –, was bei jeder Deployment-Entscheidung berücksichtigt werden sollte: Kleinere Projekte bedeuten schnellere Iteration, aber auch weniger Bewährung unter realen Bedingungen im großen Maßstab. Die praktische Konsequenz ist, beide als defensive Telemetriequelle zu behandeln, die parallel zu bestehenden Tools pilotiert wird, und nicht als zertifiziertes Sicherheitsprodukt, das flottenweit eingeschaltet wird.

Quellen: GitHub — bombinisecurity/bombini, GitHub — Oburix.