Bombini i Oburix: dwa małe narzędzia eBPF warte oceny w laboratorium

Dwa małe projekty open source dają dostawcom usług zarządzanych tani sposób na dodanie widoczności na poziomie jądra do flot linuksowych: Bombini, agent monitorujący oparty na eBPF napisany w Rust z wykorzystaniem biblioteki Aya, oraz Oburix, lżejsze narzędzie do wykrywania zagrożeń na punktach końcowych oparte na eBPF z regułami definiowanymi w YAML. Żadne z nich nie jest bezpośrednim zamiennikiem komercyjnego EDR, ale oba są warte oceny w laboratorium.

Co robi każde z nich

Bombini podpina się pod haki Linux Security Module (LSM) i zamienia zdarzenia jądra — wykonywanie procesów, operacje na plikach, połączenia sieciowe, próby eskalacji uprawnień — w ustrukturyzowany wynik JSON, który może być konsumowany przez SIEM lub potok logów. Jest zbudowany w całości w Rust, bez zależności od libbpf ani bcc, i wykorzystuje BTF/CO-RE do przenośności między wersjami jądra, choć niektóre haki LSM muszą być jawnie włączone podczas rozruchu. Oburix przyjmuje lżejsze podejście: obserwuje wykonywanie procesów, połączenia sieciowe i aktywność systemu plików, a następnie dopasowuje tę telemetrię do reguł detekcji zapisanych w YAML, dążąc do niskiego obciążenia zasobów odpowiedniego do integracji z SIEM lub XDR.

Jak bezpiecznie je oceniać

• Przypnij i przetestuj zgodność z jądrem przed szerszym wdrożeniem — narzędzia eBPF są wrażliwe na wersję jądra i konfigurację.
• Najpierw uruchamiaj w środowisku laboratoryjnym, a nie na hostach produkcyjnych.
• Mapuj detekcje każdego narzędzia do istniejącego potoku SIEM lub alertów, zamiast uruchamiać je jako samodzielną konsolę.
• Udokumentuj ścieżkę wycofania na wypadek, gdyby sam agent powodował problemy z wydajnością lub stabilnością.

Oba projekty są małe jak na standardy GitHuba — skromna liczba gwiazdek i kontrybutorów w porównaniu z ugruntowanymi narzędziami, takimi jak Falco czy Tracee — co warto uwzględnić w każdej decyzji o wdrożeniu: mniejsze projekty oznaczają szybszą iterację, ale także mniejsze przetestowanie w boju na dużą skalę. Praktyczny wniosek jest taki, aby traktować każde z nich jako źródło telemetrii obronnej do pilotażu obok istniejących narzędzi, a nie jako certyfikowany produkt bezpieczeństwa do włączenia w całej flocie.

Źródła: GitHub — bombinisecurity/bombini, GitHub — Oburix.