Bombini och Oburix: två små eBPF-verktyg värda en labbutvärdering

Två små projekt med öppen källkod ger MSP:er ett kostnadseffektivt sätt att lägga till kärnnivåsynlighet i Linux-flottor: Bombini, en eBPF-baserad övervakningsagent skriven i Rust med Aya-biblioteket, och Oburix, ett lättare eBPF-baserat verktyg för slutpunktsdetektion med YAML-definierade regler. Ingetdera är en direkt ersättning för en kommersiell EDR, men båda är värda en labbutvärdering.

Vad var och en gör

Bombini ansluter till Linux Security Module-hookar (LSM) och omvandlar kärnhändelser — processkörning, filoperationer, nätverksanslutningar, privilegieeskaleringsförsök — till strukturerad JSON-utdata som en SIEM- eller loggpipeline kan konsumera. Det är helt byggt i Rust utan beroende av libbpf eller bcc, och använder BTF/CO-RE för portabilitet över kärnversioner, även om vissa LSM-hookar måste aktiveras explicit vid uppstart. Oburix tar en lättare approach: det övervakar processkörning, nätverksanslutningar och filsystemsaktivitet, och matchar den telemetrin mot detektionsregler skrivna i YAML, med målet att ha ett lågt overhead-avtryck som passar för SIEM- eller XDR-integration.

Så utvärderar du dem säkert

• Fäst och testa kärnkompatibilitet före någon bredare utrullning — eBPF-verktyg är känsliga för kärnversion och konfiguration.
• Kör i en labbmiljö först, inte mot produktionsvärdar.
• Kartlägg varje verktygs detektioner till din befintliga SIEM- eller larmpipeline i stället för att köra det som en fristående konsol.
• Dokumentera en återställningsväg ifall agenten själv orsakar prestanda- eller stabilitetsproblem.

Båda projekten är små med GitHub-mått mätt — blygsamma antal stjärnor och bidragsgivare jämfört med etablerade verktyg som Falco eller Tracee — vilket är värt att väga in i varje driftsättningsbeslut: mindre projekt innebär snabbare iteration men också mindre stridstestning i stor skala. Den praktiska slutsatsen är att behandla endera som en defensiv telemetrikälla att pilottesta vid sidan av befintliga verktyg, inte som en certifierad säkerhetsprodukt att slå på över en hel flotta.

Källor: GitHub — bombinisecurity/bombini, GitHub — Oburix.