Bombini e Oburix: due piccoli strumenti eBPF da valutare in laboratorio

Due piccoli progetti open source offrono agli MSP un modo a basso costo per aggiungere visibilità a livello di kernel alle flotte Linux: Bombini, un agente di monitoraggio basato su eBPF scritto in Rust con la libreria Aya, e Oburix, uno strumento di rilevamento degli endpoint basato su eBPF più leggero e con regole definite in YAML. Nessuno dei due è un sostituto immediato di un EDR commerciale, ma entrambi meritano una valutazione in laboratorio.

Cosa fa ciascuno

Bombini si aggancia agli hook del Linux Security Module (LSM) e trasforma gli eventi del kernel — esecuzione di processi, operazioni sui file, connessioni di rete, tentativi di escalation dei privilegi — in output JSON strutturato che una SIEM o una pipeline di log può consumare. È costruito interamente in Rust senza dipendenza da libbpf o bcc e utilizza BTF/CO-RE per la portabilità tra versioni del kernel, anche se alcuni hook LSM devono essere abilitati esplicitamente all'avvio. Oburix adotta un approccio più leggero: osserva l'esecuzione dei processi, le connessioni di rete e l'attività del filesystem e confronta quella telemetria con regole di rilevamento scritte in YAML, puntando a un'impronta a basso overhead adatta all'integrazione con SIEM o XDR.

Come valutarli in sicurezza

• Fissa e testa la compatibilità del kernel prima di qualsiasi implementazione più ampia: gli strumenti eBPF sono sensibili alla versione e alla configurazione del kernel.
• Esegui prima in un ambiente di laboratorio, non su host di produzione.
• Collega i rilevamenti di ciascuno strumento alla tua pipeline SIEM o di alerting esistente invece di eseguirlo come console autonoma.
• Documenta un percorso di rollback nel caso in cui l'agente stesso causi problemi di prestazioni o stabilità.

Entrambi i progetti sono piccoli per gli standard di GitHub — conteggi di stelle e contributori modesti rispetto a strumenti consolidati come Falco o Tracee — e questo va considerato in qualsiasi decisione di implementazione: progetti più piccoli significano iterazione più rapida ma anche meno test su larga scala. Il punto pratico è trattare entrambi come una fonte di telemetria difensiva da sperimentare accanto agli strumenti esistenti, non come un prodotto di sicurezza certificato da attivare su un'intera flotta.

Fonti: GitHub — bombinisecurity/bombini, GitHub — Oburix.