eBPFランタイムセキュリティ — Tetragon、Falco、そしてBPF LSM

攻撃チェーンと防御レイヤ
            ビルドタイム                  ランタイム
+---------------------------+ +------------------------------------+
| イメージスキャン、SBOM、署名 | | ここからはランタイムセキュリティの領域 |
+---------------------------+ +------------------------------------+
                                  |
  脆弱性悪用 / 悪性依存の発動      |
        v                         v
  [初期侵入] --> [偵察] --> [権限昇格] --> [永続化] --> [目的の実行]
   Webシェル      ls, id    コンテナ       cron登録      データ流出
   リバースシェル /etc閲覧   エスケープ     バックドア    暗号通貨マイニング
        ^             ^            ^             ^             ^
        |             |            |             |             |
   execイベント  ファイルアクセス カーネルシスコール ファイル書込  ネットワーク
   検知可能      検知可能      検知/ブロック    検知可能       検知可能

+--------------------------------------------------------------+
|                      Falcoアーキテクチャ                       |
|                                                              |
|  イベントソース                                               |
|   ├── システムコール: 最新eBPFプローブ (CO-RE、デフォルト)     |
|   │              旧式: カーネルモジュール / レガシーeBPF       |
|   └── プラグイン: k8s audit log、クラウドログなど             |
|        |                                                     |
|        v                                                     |
|  libs (libscap/libsinsp): イベント収集、コンテナメタデータ付加 |
|        |                                                     |
|        v                                                     |
|  ルールエンジン: YAMLルールと条件式のマッチング                |
|        |                                                     |
|        v                                                     |
|  出力: stdout / gRPC / ファイル --> Falcosidekick             |
|                                  ├── Slack / PagerDuty       |
|                                  ├── Elasticsearch / Loki    |
|                                  └── SIEM / Webhook          |
+--------------------------------------------------------------+

- macro: container
  condition: (container.id != host)

- macro: spawned_process
  condition: (evt.type in (execve, execveat) and evt.dir = <)

- list: shell_binaries
  items: [bash, sh, zsh, dash, ksh]

- rule: Shell Spawned in Container
  desc: A shell was spawned inside a container, possible interactive access
  condition: >
    spawned_process and container
    and proc.name in (shell_binaries)
  output: >
    Shell spawned in container
    (user=%user.name container=%container.name image=%container.image.repository
     parent=%proc.pname cmdline=%proc.cmdline)
  priority: WARNING
  tags: [container, shell, mitre_execution]

- list: sensitive_files
  items: [/etc/shadow, /etc/sudoers, /root/.ssh/authorized_keys]

- rule: Sensitive File Opened for Reading
  desc: Detect attempts to read sensitive files by non-trusted programs
  condition: >
    evt.type in (open, openat, openat2) and evt.dir = <
    and fd.name in (sensitive_files)
    and not proc.name in (sshd, systemd, sudo)
  output: >
    Sensitive file opened (file=%fd.name user=%user.name
    proc=%proc.name cmdline=%proc.cmdline container=%container.name)
  priority: CRITICAL
  tags: [filesystem, secrets, mitre_credential_access]

- rule: Unexpected Outbound Connection from Web Container
  desc: Web tier should only talk to the app tier and DNS
  condition: >
    evt.type = connect and evt.dir = <
    and container.image.repository = "myorg/web-frontend"
    and fd.type = ipv4
    and not fd.sip in ("10.0.20.0/24")
    and not fd.sport = 53
  output: >
    Unexpected outbound connection (dest=%fd.rip:%fd.rport
    container=%container.name image=%container.image.repository)
  priority: NOTICE
  tags: [network, mitre_exfiltration]

+---------------------------------------------------------------+
|                     Tetragonアーキテクチャ                      |
|                                                               |
|  TracingPolicy CRD (YAML、クラスタリソース)                    |
|        |  Tetragonオペレーター/エージェントが解釈               |
|        v                                                      |
|  ノードごとのTetragonエージェント (DaemonSet)                  |
|        |  ポリシーをeBPFプログラムにコンパイル/ロード           |
|        v                                                      |
|  カーネル: kprobe / tracepoint / LSMフックにアタッチ           |
|        ├── マッチしたイベント --> ringbuf --> エージェント      |
|        │                                  --> JSON/gRPC       |
|        └── matchActions: Sigkill / Override (カーネル内で即実行)|
+---------------------------------------------------------------+

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: deny-package-managers
spec:
  kprobes:
    - call: "sys_execve"
      syscall: true
      args:
        - index: 0
          type: "string"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/usr/bin/apt"
                - "/usr/bin/apk"
                - "/usr/bin/yum"
                - "/usr/bin/dnf"
          matchActions:
            - action: Sigkill

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: protect-ssh-authorized-keys
spec:
  lsmhooks:
    - hook: "file_open"
      args:
        - index: 0
          type: "file"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Postfix"
              values:
                - ".ssh/authorized_keys"
          matchActions:
            - action: Override
              argError: -1

cat /sys/kernel/security/lsm
# 例: lockdown,capability,landlock,yama,apparmor,bpf

// SPDX-License-Identifier: GPL-2.0
#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

#define EPERM 1

/* bprm_check_security: プログラム実行直前に呼ばれるLSMフック */
SEC("lsm/bprm_check_security")
int BPF_PROG(deny_tmp_exec, struct linux_binprm *bprm)
{
    const char *path = bprm->filename;
    char buf[16];

    bpf_probe_read_kernel_str(buf, sizeof(buf), path);

    /* /tmp/ 配下のバイナリ実行を拒否 */
    if (buf[0] == '/' && buf[1] == 't' && buf[2] == 'm' &&
        buf[3] == 'p' && buf[4] == '/')
        return -EPERM;

    return 0;
}

char LICENSE[] SEC("license") = "GPL";

helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
  --namespace falco --create-namespace \
  --set driver.kind=modern_ebpf \
  --set falcosidekick.enabled=true \
  --set falcosidekick.config.slack.webhookurl=https://hooks.slack.com/services/XXX

[ノード] Falco/Tetragon (DaemonSet)
   |  JSONイベント (stdoutまたはgRPC)
   v
[収集] Falcosidekick / Fluent Bit / Vector
   |  フィルタリング、ルーティング、バッファリング
   v
[保存/分析] Elasticsearch / Loki / S3  --->  SIEM (Splunkなど)
   |                                          相関分析、保存ポリシー
   v
[対応] Slack、PagerDuty通知  /  SOAR自動対応 (Pod隔離など)

# Tetragonイベントのリアルタイム確認 (tetra CLI)
kubectl exec -ti -n kube-system ds/tetragon -c tetragon -- \
  tetra getevents -o compact

# 1. シスコール集約型ワークロードのスループット比較 (エージェントon/off)
#    例: ファイルIOベンチマーク
fio --name=randrw --rw=randrw --size=1g --runtime=60 --time_based

# 2. ネットワーク集約型ワークロードのp99比較
wrk -t8 -c256 -d60s http://service.example/api

# 3. エージェント自体のリソース使用
kubectl top pod -n falco
kubectl top pod -n kube-system -l app.kubernetes.io/name=tetragon

# 4. イベントドロップの有無 (Falco内部メトリクス)
#    falco_metricsを有効化してn_drops指標を確認