Bombini en Oburix: twee eBPF-tools die een labevaluatie waard zijn

Twee open-sourceprojecten geven MSP's een manier om kernel-niveau zichtbaarheid toe te voegen aan Linux-vloten: Bombini, een op eBPF gebaseerde monitoringagent geschreven in Rust met de Aya-bibliotheek, en Oburix, een op eBPF gebaseerde endpointdetectietool met YAML-gedefinieerde regels. Geen van beide is een directe vervanging voor een commerciële EDR, maar beide zijn een labevaluatie waard.

Wat elk doet

Bombini koppelt aan Linux Security Module (LSM)-hooks en zet kernelgebeurtenissen — procesuitvoering, bestandsbewerkingen, netwerkverbindingen, privilege-escalatiepogingen — om in gestructureerde JSON-uitvoer die een SIEM- of logpijplijn kan verwerken. Het is volledig in Rust gebouwd met de Aya-bibliotheek. Oburix observeert procesuitvoering, netwerkverbindingen en bestandssysteemactiviteit, en matcht die telemetrie tegen detectieregels geschreven in YAML, met als doel een lage overhead die geschikt is voor SIEM- of XDR-integratie.

Hoe ze veilig te evalueren

• Pin en test kernelcompatibiliteit vóór een bredere uitrol — eBPF-tooling is gevoelig voor kernelversie en configuratie.
• Draai eerst in een labomgeving, niet tegen productiehosts.
• Koppel de detecties van elke tool aan uw bestaande SIEM- of alertingpijplijn in plaats van ze als een standalone console te draaien.
• Documenteer een terugdraaipad voor het geval de agent zelf prestatie- of stabiliteitsproblemen veroorzaakt.

De praktische conclusie is om beide te behandelen als een defensieve telemetriebron om naast bestaande tooling te piloten, niet als een gecertificeerd beveiligingsproduct om over een hele vloot in te schakelen.

Bronnen: GitHub — bombinisecurity/bombini, GitHub — Oburix.