eBPF 런타임 보안 — Tetragon, Falco, 그리고 BPF LSM

공격 체인과 방어 계층
            빌드 타임                      런타임
+---------------------------+ +------------------------------------+
| 이미지 스캔, SBOM, 서명     | | 여기서부터는 런타임 보안의 영역      |
+---------------------------+ +------------------------------------+
                                  |
  취약점 악용 / 악성 의존성 발동   |
        v                         v
  [초기 침투] --> [정찰] --> [권한 상승] --> [지속화] --> [목표 행동]
   웹셸 실행      ls, id     컨테이너       크론 등록     데이터 유출
   리버스 셸     /etc 열람    이스케이프     백도어        암호화폐 채굴
        ^             ^            ^             ^             ^
        |             |            |             |             |
   exec 이벤트   파일 접근     커널 시스콜    파일 쓰기      네트워크
   탐지 가능     탐지 가능     탐지/차단      탐지 가능      탐지 가능

+--------------------------------------------------------------+
|                        Falco 아키텍처                          |
|                                                              |
|  이벤트 소스                                                  |
|   ├── 시스템 콜: 최신 eBPF 프로브 (CO-RE, 기본값)              |
|   │              구형: 커널 모듈 / 레거시 eBPF                 |
|   └── 플러그인: k8s audit log, 클라우드 로그 등                |
|        |                                                     |
|        v                                                     |
|  libs (libscap/libsinsp): 이벤트 수집, 컨테이너 메타데이터 보강 |
|        |                                                     |
|        v                                                     |
|  룰 엔진: YAML 룰과 조건식 매칭                                |
|        |                                                     |
|        v                                                     |
|  출력: stdout / gRPC / 파일 --> Falcosidekick                 |
|                                  ├── Slack / PagerDuty       |
|                                  ├── Elasticsearch / Loki    |
|                                  └── SIEM / 웹훅              |
+--------------------------------------------------------------+

- macro: container
  condition: (container.id != host)

- macro: spawned_process
  condition: (evt.type in (execve, execveat) and evt.dir = <)

- list: shell_binaries
  items: [bash, sh, zsh, dash, ksh]

- rule: Shell Spawned in Container
  desc: A shell was spawned inside a container, possible interactive access
  condition: >
    spawned_process and container
    and proc.name in (shell_binaries)
  output: >
    Shell spawned in container
    (user=%user.name container=%container.name image=%container.image.repository
     parent=%proc.pname cmdline=%proc.cmdline)
  priority: WARNING
  tags: [container, shell, mitre_execution]

- list: sensitive_files
  items: [/etc/shadow, /etc/sudoers, /root/.ssh/authorized_keys]

- rule: Sensitive File Opened for Reading
  desc: Detect attempts to read sensitive files by non-trusted programs
  condition: >
    evt.type in (open, openat, openat2) and evt.dir = <
    and fd.name in (sensitive_files)
    and not proc.name in (sshd, systemd, sudo)
  output: >
    Sensitive file opened (file=%fd.name user=%user.name
    proc=%proc.name cmdline=%proc.cmdline container=%container.name)
  priority: CRITICAL
  tags: [filesystem, secrets, mitre_credential_access]

- rule: Unexpected Outbound Connection from Web Container
  desc: Web tier should only talk to the app tier and DNS
  condition: >
    evt.type = connect and evt.dir = <
    and container.image.repository = "myorg/web-frontend"
    and fd.type = ipv4
    and not fd.sip in ("10.0.20.0/24")
    and not fd.sport = 53
  output: >
    Unexpected outbound connection (dest=%fd.rip:%fd.rport
    container=%container.name image=%container.image.repository)
  priority: NOTICE
  tags: [network, mitre_exfiltration]

+---------------------------------------------------------------+
|                     Tetragon 아키텍처                           |
|                                                               |
|  TracingPolicy CRD (YAML, 클러스터 리소스)                      |
|        |  Tetragon 오퍼레이터/에이전트가 해석                    |
|        v                                                      |
|  노드별 Tetragon 에이전트 (데몬셋)                              |
|        |  정책을 eBPF 프로그램으로 컴파일/로드                   |
|        v                                                      |
|  커널: kprobe / tracepoint / LSM 훅에 부착                     |
|        ├── 매칭 이벤트 --> ringbuf --> 에이전트 --> JSON/gRPC   |
|        └── matchActions: Sigkill / Override (커널 내 즉시 실행) |
+---------------------------------------------------------------+

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: deny-package-managers
spec:
  kprobes:
    - call: "sys_execve"
      syscall: true
      args:
        - index: 0
          type: "string"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/usr/bin/apt"
                - "/usr/bin/apk"
                - "/usr/bin/yum"
                - "/usr/bin/dnf"
          matchActions:
            - action: Sigkill

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: protect-ssh-authorized-keys
spec:
  lsmhooks:
    - hook: "file_open"
      args:
        - index: 0
          type: "file"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Postfix"
              values:
                - ".ssh/authorized_keys"
          matchActions:
            - action: Override
              argError: -1

cat /sys/kernel/security/lsm
# 예: lockdown,capability,landlock,yama,apparmor,bpf

// SPDX-License-Identifier: GPL-2.0
#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

#define EPERM 1

/* bprm_check_security: 프로그램 실행 직전에 호출되는 LSM 훅 */
SEC("lsm/bprm_check_security")
int BPF_PROG(deny_tmp_exec, struct linux_binprm *bprm)
{
    const char *path = bprm->filename;
    char buf[16];

    bpf_probe_read_kernel_str(buf, sizeof(buf), path);

    /* /tmp/ 아래의 바이너리 실행을 거부 */
    if (buf[0] == '/' && buf[1] == 't' && buf[2] == 'm' &&
        buf[3] == 'p' && buf[4] == '/')
        return -EPERM;

    return 0;
}

char LICENSE[] SEC("license") = "GPL";

helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
  --namespace falco --create-namespace \
  --set driver.kind=modern_ebpf \
  --set falcosidekick.enabled=true \
  --set falcosidekick.config.slack.webhookurl=https://hooks.slack.com/services/XXX

[노드] Falco/Tetragon (데몬셋)
   |  JSON 이벤트 (stdout 또는 gRPC)
   v
[수집] Falcosidekick / Fluent Bit / Vector
   |  필터링, 라우팅, 버퍼링
   v
[저장/분석] Elasticsearch / Loki / S3  --->  SIEM (Splunk 등)
   |                                          상관 분석, 보존 정책
   v
[대응] Slack, PagerDuty 알림  /  SOAR 자동 대응 (Pod 격리 등)

# Tetragon 이벤트 실시간 확인 (tetra CLI)
kubectl exec -ti -n kube-system ds/tetragon -c tetragon -- \
  tetra getevents -o compact

# 1. 시스콜 집약 워크로드의 처리량 비교 (에이전트 on/off)
#    예: 파일 IO 벤치마크
fio --name=randrw --rw=randrw --size=1g --runtime=60 --time_based

# 2. 네트워크 집약 워크로드의 p99 비교
wrk -t8 -c256 -d60s http://service.example/api

# 3. 에이전트 자체의 리소스 사용
kubectl top pod -n falco
kubectl top pod -n kube-system -l app.kubernetes.io/name=tetragon

# 4. 이벤트 드롭 여부 (Falco 내부 메트릭)
#    falco_metrics 활성화 후 n_drops 지표 확인