Bombini și Oburix: două instrumente eBPF care merită evaluate în laborator

Două proiecte open-source oferă MSP-urilor o modalitate de a adăuga vizibilitate la nivel de kernel flotelor Linux: Bombini, un agent de monitorizare bazat pe eBPF scris în Rust folosind biblioteca Aya, și Oburix, un instrument ușor de detecție a endpoint-urilor bazat pe eBPF, cu reguli definite în YAML. Niciunul nu este un înlocuitor direct pentru un EDR comercial, dar ambele merită o evaluare în laborator.

Ce face fiecare

Bombini se atașează la hook-urile Linux Security Module (LSM) și transformă evenimentele kernelului — execuția proceselor, operațiunile pe fișiere, conexiunile de rețea, tentativele de escaladare a privilegiilor — în ieșire JSON structurată pe care o poate consuma un SIEM sau o conductă de loguri. Este construit integral în Rust. Oburix adoptă o abordare ușoară: urmărește execuția proceselor, conexiunile de rețea și activitatea sistemului de fișiere și potrivește acea telemetrie cu reguli de detecție scrise în YAML, vizând o amprentă cu overhead redus, potrivită pentru integrarea cu SIEM sau XDR.

Cum să le evaluați în siguranță

• Fixați și testați compatibilitatea cu kernelul înainte de orice implementare mai largă — instrumentele eBPF sunt sensibile la versiunea și configurarea kernelului.
• Rulați mai întâi într-un mediu de laborator, nu pe gazde de producție.
• Mapați detecțiile fiecărui instrument la conducta existentă de SIEM sau alertare, în loc să le rulați ca o consolă de sine stătătoare.
• Documentați o cale de revenire în cazul în care agentul însuși cauzează probleme de performanță sau stabilitate.

Concluzia practică este să tratați oricare dintre ele ca pe o sursă de telemetrie defensivă de pilotat alături de instrumentele existente, nu ca pe un produs de securitate pe care să îl activați pe întreaga flotă.

Surse: GitHub — bombinisecurity/bombini, GitHub — Oburix.