Bombini y Oburix: dos pequeñas herramientas eBPF que merecen una evaluación en laboratorio

Dos pequeños proyectos de código abierto ofrecen a los MSP una forma económica de añadir visibilidad a nivel de kernel a sus flotas Linux: Bombini, un agente de monitorización basado en eBPF escrito en Rust con la biblioteca Aya, y Oburix, una herramienta de detección de endpoints más ligera basada en eBPF con reglas definidas en YAML. Ninguno es un sustituto directo de un EDR comercial, pero ambos merecen una evaluación en laboratorio.

Qué hace cada uno

Bombini se conecta a los hooks del Linux Security Module (LSM) y convierte los eventos del kernel —ejecución de procesos, operaciones de archivos, conexiones de red, intentos de escalada de privilegios— en salida JSON estructurada que puede consumir un SIEM o una canalización de logs. Está construido completamente en Rust sin dependencias de libbpf o bcc, y utiliza BTF/CO-RE para portabilidad entre versiones de kernel, aunque algunos hooks LSM deben habilitarse explícitamente en el arranque. Oburix adopta un enfoque más ligero: supervisa la ejecución de procesos, las conexiones de red y la actividad del sistema de archivos, y compara esa telemetría con reglas de detección escritas en YAML, buscando una huella de bajo consumo adecuada para la integración con SIEM o XDR.

Cómo evaluarlos de forma segura

• Fije y pruebe la compatibilidad del kernel antes de cualquier despliegue más amplio: las herramientas eBPF son sensibles a la versión y configuración del kernel.
• Ejecútelos primero en un entorno de laboratorio, no en hosts de producción.
• Asigne las detecciones de cada herramienta a su SIEM o canal de alertas existente en lugar de ejecutarlo como consola independiente.
• Documente una ruta de reversión en caso de que el agente cause problemas de rendimiento o estabilidad.

Ambos proyectos son pequeños según los estándares de GitHub —números modestos de estrellas y colaboradores en comparación con herramientas consolidadas como Falco o Tracee—, lo que conviene tener en cuenta en cualquier decisión de despliegue: los proyectos más pequeños implican iteración más rápida, pero también menos pruebas en escala real. La conclusión práctica es tratar cualquiera de ellos como fuente de telemetría defensiva para pilotar junto con las herramientas existentes, no como un producto de seguridad certificado para activar en toda una flota.

Fuentes: GitHub — bombinisecurity/bombini, GitHub — Oburix.