Tetragon tar eBPF-baserad runtime-säkerhet in i kärnan för molnnativa flottor

Tetragon, ett delprojekt till Cilium och ett projekt inom Cloud Native Computing Foundation, ger Kubernetes-medvetna team runtime-observabilitet och valfri policyupprätthållande i kärnan byggt på eBPF. För MSP:er som kör blandade kundflottor tillför det ett detekterings- och kontrollager som ligger under det som containerskannrar och admission controllers kan se.

Upprätthållande som körs direkt i kärnan

Till skillnad från verktyg som skickar varje händelse till användarutrymmet innan de bestämmer vad som ska göras, filtrerar och upprätthåller Tetragon policy direkt inuti det eBPF-program som observerar systemanropet. Det stänger fönstret mellan detektion och åtgärd som verktyg enbart i användarutrymmet lämnar öppet, och håller overhead låg nog för produktionsbruk. Projektet kan spåra processkörning, filåtkomst och nätverksaktivitet och sedan koppla varje händelse till den pod och container som orsakade den, utan en sidecar per arbetsbelastning.

Var den passar vid sidan av befintliga kontroller

Tetragon ersätter inte skanning av containeravbilder eller CI-grindar; det täcker det som händer efter att en arbetsbelastning redan körs. En praktisk utrullning börjar smått: inventera vilka namnrymder som redan har en TracingPolicy tillämpad och utöka sedan täckningen till kritiska kundarbetsbelastningar först. Policyer hör hemma i versionshanteringen som all annan konfiguration, så ändringar genomgår samma granskning som kod.

• Börja med policyer som endast larmar i känsliga namnrymder innan blockerande upprätthållande aktiveras.
• Bevaka oväntad processkörning och åtkomst till känsliga filer som de första detekteringsreglerna.
• Vidarebefordra Tetragon-händelser till den SIEM som redan används för övrig larmning i flottan.
• Förvara policydefinitioner i git så att ändringar granskas som kod.

Ett komplement för hemlighetshantering

Tetragon övervakar arbetsbelastningar som körs; det kontrollerar inte det som redan har checkats in i ett repo. TruffleHog, ett mycket använt verktyg med öppen källkod för hemlighetsskanning, fyller den luckan genom att hitta och verifiera autentiseringsuppgifter i kod innan de når produktion. Genom att köra det i CI vid varje pull request och verifiera fynd före varje rotation hålls de två verktygen fokuserade på olika stadier av samma problem.

Ingetdera verktyget ersätter det andra. Genom att kombinera runtime-upprätthållande med hemlighetsskanning före commit får MSP:er täckning i båda ändarna av pipelinen utan att lägga till attackdetaljer i kundinriktad dokumentation.

Källor: Tetragon-dokumentation, GitHub — cilium/tetragon.