CloudNativeSecurityCon 2023：eBPF在威胁检测中的应用

在2023年于西雅图举行的CloudNativeSecurityCon上，AWS工程师Jeremy Cowan和Wasiq Muhammad介绍了如何使用eBPF识别可疑行为，并分享了eBPF的用例以及AWS在威胁检测和保护中的应用。

eBPF的挑战与优势

Cowan首先强调了信息安全从业者在威胁检测中面临的挑战，特别是监控运行时事件对系统稳定性或性能的影响，以及如何从噪音中分离出有效信号。他介绍了eBPF（扩展的伯克利包过滤器），并解释了其在网络、安全和可观测性用例中的多功能性。eBPF的优势在于其高性能和灵活性，但也存在一些缺点，如需要较新的内核版本。

AWS中的eBPF应用

Cowan还提到，eBPF被用于AWS的多个产品中，例如Lambda、VPC CNI和GuardDuty。这些产品利用eBPF进行威胁检测和保护，展示了eBPF在实际生产环境中的强大能力。

系统调用追踪与容器监控

Muhammad详细介绍了如何使用eBPF进行系统调用追踪，并捕获系统调用参数和进程的数据。eBPF能够提供丰富的容器和进程上下文信息，满足客户对容器级监控和威胁检测的需求。例如，eBPF可以检测与容器创建、文件系统访问、网络通信以及容器间交互相关的事件。

后端处理与机器学习

Muhammad指出，AWS决定在后端处理事件，而不是在主机上进行处理。这种方法提供了更高的灵活性，可以在未来应用威胁情报和机器学习技术对数据进行分析。

实际案例：加密挖矿检测

Muhammad通过一个实际案例展示了eBPF在检测加密挖矿行为中的应用。在该案例中，加密挖矿程序被下载到容器中并执行，连接到挖矿池。通过eBPF的监控和检测，能够有效防止此类威胁。

eBPF的未来展望

Cowan总结了eBPF在威胁检测中的优势，并指出结合云和人工智能/机器学习技术，eBPF能够帮助从海量数据中找到关键威胁信号。eBPF作为一种在操作系统内核中安全运行沙盒应用程序的机制，无需修改内核源代码，具有广泛的应用前景。

资源获取

此次分论坛的录像可以在CNCF的YouTube频道上观看，演示文稿可在活动网页上获取。