Bombini e Oburix: duas pequenas ferramentas eBPF que merecem uma avaliação em laboratório

Dois pequenos projetos de código aberto oferecem aos MSPs uma forma económica de acrescentar visibilidade ao nível do kernel a frotas Linux: Bombini, um agente de monitorização baseado em eBPF escrito em Rust com a biblioteca Aya, e Oburix, uma ferramenta de deteção de endpoints baseada em eBPF mais leve e com regras definidas em YAML. Nenhum deles substitui diretamente um EDR comercial, mas ambos merecem uma avaliação em laboratório.

O que faz cada um

Bombini liga-se a hooks do Linux Security Module (LSM) e converte eventos do kernel — execução de processos, operações em ficheiros, ligações de rede, tentativas de escalada de privilégios — em saída JSON estruturada que um SIEM ou pipeline de registos pode consumir. É totalmente escrito em Rust, sem dependência de libbpf ou bcc, e utiliza BTF/CO-RE para portabilidade entre versões do kernel, embora alguns hooks LSM tenham de ser explicitamente ativados no arranque. Oburix adota uma abordagem mais leve: observa a execução de processos, as ligações de rede e a atividade do sistema de ficheiros e compara essa telemetria com regras de deteção escritas em YAML, visando uma pegada de baixa sobrecarga adequada à integração com SIEM ou XDR.

Como avaliá-los com segurança

• Fixe e teste a compatibilidade do kernel antes de qualquer implementação mais alargada — as ferramentas eBPF são sensíveis à versão e configuração do kernel.
• Execute primeiro num ambiente de laboratório, não em hosts de produção.
• Mapeie as deteções de cada ferramenta para o seu SIEM ou pipeline de alertas existente, em vez de a executar como uma consola autónoma.
• Documente um caminho de reversão caso o próprio agente cause problemas de desempenho ou estabilidade.

Ambos os projetos são pequenos para os padrões do GitHub — contagens modestas de estrelas e contribuidores, em comparação com ferramentas estabelecidas como Falco ou Tracee —, o que deve ser tido em conta em qualquer decisão de implementação: projetos mais pequenos significam iteração mais rápida, mas também menos validação em larga escala. A conclusão prática é tratar qualquer um deles como uma fonte de telemetria defensiva a testar em paralelo com as ferramentas existentes, e não como um produto de segurança certificado para ativar em toda a frota.

Fontes: GitHub — bombinisecurity/bombini, GitHub — Oburix.