Tetragon

Définition

Tetragon est un composant de sécurité runtime eBPF développé par Isovalent (créateurs de Cilium) qui offre des capacités de sécurité observabilité et d'enforcement directement au niveau du kernel Linux, sans nécessiter de modification des applications ou d'agents dans les conteneurs. Disponible en open source depuis 2022, Tetragon se distingue de Falco par ses capacités d'enforcement en temps réel : il peut non seulement détecter des comportements malveillants mais aussi les bloquer ou les interrompre (kill du processus, rejet de connexions réseau). Tetragon fonctionne via des programmes eBPF injectés dans le kernel Linux pour instrumenter les appels système, les chemins d'exécution de processus, les connexions réseau, et d'autres événements kernel. Ces programmes s'exécutent dans un sandbox sécurisé au sein du kernel, avec des garanties formelles de sécurité (vérification du bytecode eBPF) et un overhead minimal (typiquement <2% de CPU en charge normale). La fonctionnalité distinctive de Tetragon est le TracingPolicy, un CRD Kubernetes qui définit des politiques de sécurité exprimées en termes d'événements kernel. Une TracingPolicy peut : capturer les appels système avec leurs arguments (pour l'observabilité), déclencher des alertes (pour la détection), ou déclencher des actions (pour l'enforcement). Les actions disponibles incluent SIGKILL (terminer le processus), Override (modifier la valeur de retour d'un appel système), et Throttle (limiter les appels système d'un processus). Tetragon s'intègre nativement dans les clusters Kubernetes (déployé comme DaemonSet) et exporte ses événements en format Protobuf vers gRPC, avec des sorties JSON pour intégration dans les SIEM (Elasticsearch, Splunk, Loki). La CLI tetra permet d'observer les événements en temps réel ou via des filtres. Des cas d'usage typiques de Tetragon incluent la détection et le blocage des container escapes (accès au système de fichiers de l'hôte), la détection des connexions réseau non autorisées (exfiltration de données), le monitoring des accès aux fichiers de secrets Kubernetes, et la détection des privilege escalations via des appels système suspects (ptrace, setuid).