Tetragon brengt eBPF-runtimebeveiliging in-kernel voor cloud-native vloten

Tetragon, een subproject van Cilium en een project van de Cloud Native Computing Foundation, biedt Kubernetes-bewuste teams runtime-observatie en optionele in-kernel beleidshandhaving op basis van eBPF. Voor managed service providers die gemengde klantomgevingen beheren, voegt het een detectie- en controlelaag toe die zich onder het zicht van containerscanners en admission controllers bevindt.

Handhaving die binnen de kernel draait

Anders dan tools die elke gebeurtenis eerst naar userspace sturen voordat ze beslissen wat te doen, filtert en handhaaft Tetragon beleid direct in het eBPF-programma dat de syscall observeert. Daarmee wordt het venster tussen detectie en actie gesloten dat tools die alleen in userspace werken openlaten, en blijft de overhead laag genoeg voor productiegebruik. Het project kan procesexecutie, bestandstoegang en netwerkactiviteit volgen en elke gebeurtenis vervolgens koppelen aan de pod en container die deze heeft veroorzaakt, zonder een sidecar per workload.

Waar het past naast bestaande controles

Tetragon vervangt geen image scanning of CI-gates; het dekt wat er gebeurt nadat een workload al draait. Een praktische uitrol begint klein: breng in kaart welke namespaces al een TracingPolicy hebben, en breid de dekking daarna eerst uit naar kritieke klantworkloads. Beleidsregels horen net als elke andere configuratie in versiebeheer, zodat wijzigingen dezelfde review doorlopen als code.

• Begin met alleen-waarschuwingsbeleid op gevoelige namespaces voordat u blokkerende handhaving inschakelt.
• Let op onverwachte procesexecutie en toegang tot gevoelige bestanden als eerste detectieregels.
• Stuur Tetragon-gebeurtenissen door naar de SIEM die al wordt gebruikt voor andere fleetwaarschuwingen.
• Bewaar beleidsdefinities in git, zodat wijzigingen als code worden beoordeeld.

Een aanvulling voor geheimbeheer

Tetragon bewaakt draaiende workloads; het controleert niet wat al in een repository is vastgelegd. TruffleHog, een veelgebruikte open-source tool voor het scannen van secrets, vult dat gat door inloggegevens in code te vinden en te verifiëren voordat ze productie bereiken. Door het in CI op elke pull request uit te voeren en bevindingen vóór elke rotatie te verifiëren, blijven de twee tools gericht op verschillende fasen van hetzelfde probleem.

Geen van beide tools vervangt de andere. Door runtime-handhaving te combineren met secret-scanning vóór commit krijgen MSP's dekking aan beide uiteinden van de pijplijn, zonder aanvalsdetails toe te voegen aan klantgerichte documentatie.

Bronnen: Tetragon-documentatie, GitHub — cilium/tetragon.