eBPF Security

Définition

eBPF (Extended Berkeley Packet Filter) est une technologie du noyau Linux permettant d'exécuter des programmes sandboxés dans l'espace noyau sans modifier le code source du kernel ou charger des modules noyau. En sécurité cloud et Kubernetes, eBPF révolutionne la détection des menaces et le contrôle réseau en offrant une observabilité profonde et une application des politiques à faible overhead. eBPF permet d'attacher des programmes à des points d'accrochage (hooks) dans le kernel Linux : syscalls (kprobes/tracepoints), fonctions kernel (kprobes), interfaces réseau (XDP/TC), et événements LSM (Linux Security Module). Ces programmes collectent des métriques, filtrent des paquets réseau, ou enforceent des politiques de sécurité en temps réel, avec une performance quasi-native car ils s'exécutent directement dans l'espace noyau. En sécurité Kubernetes, eBPF est utilisé pour : la détection comportementale runtime (Falco avec driver eBPF, Tetragon), le networking haute performance avec politiques de sécurité L3/L4/L7 (Cilium), le chiffrement transparent du trafic réseau inter-pods (Cilium WireGuard), et le profilage système pour créer des baselines comportementales. Tetragon (Isovalent/Cilium) est un framework de sécurité eBPF spécifiquement conçu pour Kubernetes, capable de détecter et bloquer en temps réel des comportements malveillants au niveau syscall : exécutions de binaires non autorisés, connexions réseau vers des C2, modifications de fichiers sensibles, et tentatives d'escalade de privilèges. Contrairement à Falco (qui détecte mais ne bloque pas par défaut), Tetragon peut terminer des processus ou fermer des connexions réseau en temps réel. Cilium utilise eBPF pour remplacer kube-proxy dans les clusters Kubernetes, offrant une performance réseau 50% supérieure et des NetworkPolicies L7 (HTTP, Kafka, DNS) impossibles avec les NetworkPolicies standard Kubernetes.