eBPF-based Security Observability and Runtime Enforcement от создателей CNI Cilium. Это rule-based решение типа Falco, Tracee. При этом то, за чем следим описывается в отдельном Custom Resource - TracingPolicy.Авторы как-то сделали явный акцент на обнаружении и предотвращение побегов из контейнеров и эксплуатации уязвимостей ядра.
И сразу несколько
Linux-исследователей взялись за оценку подобного подхода и продемонстрировали обходы:- Bypassing eBPF-based Security Enforcement Tools
- Tetragone: A Lesson in Security Fundamentals
- Tetragon: case study of security product's self-protection
Тул на самом деле интересный, правда требует тонкой (хирургической) настройки на уровне каждого
syscall с его аргументами. Если вы пишете на eBPF (как мы в нашем решении), то там есть на что посмотреть в исходном коде - правда есть и вот такие вставки на assembler с исповедью разработчика)Поиграться с ним можно в этой лабе.
P.S. К сожалению, часто при описании тулы, упоминаются фичи платной версии.