Détection d’exploits du noyau Linux avec eBPF

Magazine
Marque
MISC
Numéro
137
Mois de parution
janvier 2025
Spécialité(s)


Résumé

Cela fait bientôt plus de 10 ans qu’Android (un système d’exploitation fondé sur Linux) domine le marché du téléphone portable [1]. En plus de cela, Linux fait fonctionner environ 85 % des sites internet répertoriés par W3Techs [2] (un service indépendant de recensement des technologies du Web). Il est donc naturel que ce système d’exploitation soit devenu une cible de choix ; en témoigne l’explosion de publications de vulnérabilités sur Linux ces dernières années [3]. Dans cet article, nous allons nous intéresser à l’utilisation d’eBPF pour lutter contre les exploits sous Linux, montrant en quoi cette nouvelle technologie peut aider à protéger le noyau.


Le noyau Linux est sans cesse la cible d'attaques de plus en plus sophistiquées [4]. La fréquence à laquelle de nouvelles vulnérabilités sont découvertes [3] met en évidence la nécessité de mettre en place des solutions de sécurité proactives et efficaces. Si les mises à jour régulières du noyau sont essentielles, elles sont difficiles à déployer à grande échelle, et ne suffisent pas à garantir une protection complète, notamment face aux menaces dites « zero-day » (c’est-à-dire des vulnérabilités inconnues des développeurs du noyau).

Ces dernières années, de nombreuses techniques ont été développées pour renforcer la sécurité sous Linux. Parmi elles, eBPF, un sous-système de Linux permettant d’instrumenter le noyau, s'est imposé comme une technologie prometteuse, offrant de nouvelles possibilités pour la détection et la prévention des attaques en espace utilisateur [5]. Cependant, l'utilisation d'eBPF pour protéger le noyau soulève de...

Cet article est réservé aux abonnés. Il vous reste 96% à découvrir.
S'abonner à Connect
  • Accédez à tous les contenus de Connect en illimité
  • Découvrez des listes de lecture et des contenus Premium
  • Consultez les nouveaux articles en avant-première
Je m'abonne
Références

[1] Mobile Operating System Market Share Worldwide, https://gs.statcounter.com/os-market-share/mobile/worldwide/#monthly-201401-202404

[2] Usage statistics and market shares of operating systems for websites : https://w3techs.com/technologies/overview/operating_system

[3] Statistiques sur les vulnérabilités du noyau Linux de 2014 à 2024 : https://www.cvedetails.com/vendor/33/Linux.html

[4] Flipping Pages: An analysis of a new Linux vulnerability in nf_tables and hardened exploitation techniques : https://pwning.tech/nftables/

[5] Lorenzo Fontana, David Calavera. Linux Observability with BPF, novembre 2019

[6] Kernel address space layout randomization, https://lwn.net/Articles/569635/

[7] x86 NX support, https://lwn.net/Articles/87814/

[8] Supervisor mode access prevention, https://lwn.net/Articles/517475/

[9] The current state of kernel page-table isolation, https://lwn.net/Articles/741878/

[10] Spectre et Meltdown, https://meltdownattack.com/

[11] Linux Kernel Runtime Guard, https://lkrg.org/

[12] Control-flow integrity for the kernel, https://lwn.net/Articles/810077/

[13] Intégrité du flux de contrôle du noyau sur Android,
https://source.android.com/docs/security/test/kcfi?hl=fr

[14] Ajout de kCFI dans la configuration de sécurité renforcée du noyau, https://lore.kernel.org/lkml/202405111234.6F2AB1F@keescook/

[15] Sécurité à l’exécution sous Linux, https://connect.ed-diamond.com/misc/misc-117/securite-a-l-execution-sous-linux

[16] Code source de Tracee, https://github.com/aquasecurity/tracee

[17] Code source de Tetragon, https://github.com/cilium/tetragon

[18] Code source de l’agent de Sécurité de Datadog, https://github.com/DataDog/datadog-agent/tree/main/pkg/security

[19] Détection de l’altération de la table des appels systèmes dans KRIe, https://github.com/Gui774ume/krie/blob/695f81a553029f776a38d11d78e3755a943ecff1/ebpf/krie/krie/syscall_check.h#L70

[20] Détection de l’altération des paramètres du noyau dans KRIe, https://github.com/Gui774ume/krie/blob/695f81a553029f776a38d11d78e3755a943ecff1/ebpf/krie/krie/kernel_parameter.h#L38

[21] Learning Linux Kernel Exploitation, https://lkmidas.github.io/posts/20210123-linux-kernel-pwn-part-1/

[22] Kernel exploit practice, https://github.com/pr0cf5/kernel-exploit-practice/tree/master

[23] Patch du noyau 5.3 responsable de l’ajout de « pinned » bits sur le registre CR4, https://github.com/torvalds/linux/commit/873d50d58f67ef15d2777b5e7f7a5268bb1fbae2

[24] Linux Kernel 5.3 changelog, https://cdn.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.3

[25] The Ubuntu lifecycle and release cadence,
https://ubuntu.com/about/release-cycle#ubuntu-kernel-release-cycle

[26] Module vulnérable d’exemple pour une attaque ROP, https://github.com/Gui774ume/krie/blob/9e18daa31b65e1338d2cfc26326a15ca1ebe77a2/example/module/vuln_device/vuln_device.c#L83

[27] Code source de ROPgadget, https://github.com/JonathanSalwan/ROPgadget

[28] Tetragone: a lesson in security fondamentals, https://grsecurity.net/tetragone_a_lesson_in_security_fundamentals



Article rédigé par

Par le(s) même(s) auteur(s)

Surveillance et sécurisation des sessions SSH

Magazine
Marque
MISC
HS n°
Numéro
26
Mois de parution
octobre 2022
Spécialité(s)
Résumé

Selon le Data Breach Investigations Report de Verizon, plus de 50 % des intrusions qui ont eu lieu en 2021 ont pour origine une fuite d’identifiants de sécurité. Même en appliquant les meilleures recommandations de sécurité, un accès SSH sera toujours un risque de sécurité pour une infrastructure. Cet article entend démontrer pourquoi les contrôles d’accès par défaut de Linux ne sont pas suffisants pour mettre en place un accès SSH granulaire. EBPF sera exploré comme une potentielle solution pour surveiller et protéger un accès SSH.

Une nouvelle génération de rootkits sous Linux

Magazine
Marque
MISC
Numéro
123
Mois de parution
septembre 2022
Spécialité(s)
Résumé

En quelques années, eBPF (Extended Berkeley Packet Filter) est devenu un des sous-systèmes les plus actifs du noyau Linux. Grâce à ses nombreuses promesses de sûreté de fonctionnement et d’observabilité, eBPF a beaucoup gagné en popularité auprès des outils de surveillance réseau et système. Malheureusement, cette nouvelle technologie a involontairement introduit un risque majeur pour Linux : une considérable simplification du développement des rootkits.

Sécurité à l’exécution sous Linux

Magazine
Marque
MISC
Numéro
117
Mois de parution
septembre 2021
Spécialité(s)
Résumé

Depuis l’arrivée des architectures en microservices, les développeurs adoptent de nouvelles technologies qui permettent aux infrastructures de se développer à une vitesse sans précédent. Malheureusement, une infrastructure en constante évolution est très difficile à surveiller et les outils de sécurité à l’exécution sont donc devenus fondamentaux pour protéger une entreprise. Comment le noyau Linux a-t-il répondu à ce besoin ?

Les derniers articles Premiums

Les derniers articles Premium

PostgreSQL au centre de votre SI avec PostgREST

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Dans un système d’information, il devient de plus en plus important d’avoir la possibilité d’échanger des données entre applications. Ce passage au stade de l’interopérabilité est généralement confié à des services web autorisant la mise en œuvre d’un couplage faible entre composants. C’est justement ce que permet de faire PostgREST pour les bases de données PostgreSQL.

La place de l’Intelligence Artificielle dans les entreprises

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

L’intelligence artificielle est en train de redéfinir le paysage professionnel. De l’automatisation des tâches répétitives à la cybersécurité, en passant par l’analyse des données, l’IA s’immisce dans tous les aspects de l’entreprise moderne. Toutefois, cette révolution technologique soulève des questions éthiques et sociétales, notamment sur l’avenir des emplois. Cet article se penche sur l’évolution de l’IA, ses applications variées, et les enjeux qu’elle engendre dans le monde du travail.

Petit guide d’outils open source pour le télétravail

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Ah le Covid ! Si en cette période de nombreux cas resurgissent, ce n’est rien comparé aux vagues que nous avons connues en 2020 et 2021. Ce fléau a contraint une large partie de la population à faire ce que tout le monde connaît sous le nom de télétravail. Nous avons dû changer nos habitudes et avons dû apprendre à utiliser de nombreux outils collaboratifs, de visioconférence, etc., dont tout le monde n’était pas habitué. Dans cet article, nous passons en revue quelques outils open source utiles pour le travail à la maison. En effet, pour les adeptes du costume en haut et du pyjama en bas, la communauté open source s’est démenée pour proposer des alternatives aux outils propriétaires et payants.

Sécurisez vos applications web : comment Symfony vous protège des menaces courantes

Magazine
Marque
Contenu Premium
Spécialité(s)
Résumé

Les frameworks tels que Symfony ont bouleversé le développement web en apportant une structure solide et des outils performants. Malgré ces qualités, nous pouvons découvrir d’innombrables vulnérabilités. Cet article met le doigt sur les failles de sécurité les plus fréquentes qui affectent même les environnements les plus robustes. De l’injection de requêtes à distance à l’exécution de scripts malveillants, découvrez comment ces failles peuvent mettre en péril vos applications et, surtout, comment vous en prémunir.

Les listes de lecture

11 article(s) - ajoutée le 01/07/2020
Clé de voûte d'une infrastructure Windows, Active Directory est l'une des cibles les plus appréciées des attaquants. Les articles regroupés dans cette liste vous permettront de découvrir l'état de la menace, les attaques et, bien sûr, les contre-mesures.
8 article(s) - ajoutée le 13/10/2020
Découvrez les méthodologies d'analyse de la sécurité des terminaux mobiles au travers d'exemples concrets sur Android et iOS.
10 article(s) - ajoutée le 13/10/2020
Vous retrouverez ici un ensemble d'articles sur les usages contemporains de la cryptographie (whitebox, courbes elliptiques, embarqué, post-quantique), qu'il s'agisse de rechercher des vulnérabilités ou simplement comprendre les fondamentaux du domaine.
Voir les 68 listes de lecture

Abonnez-vous maintenant

et profitez de tous les contenus en illimité

Je découvre les offres

Déjà abonné ? Connectez-vous