Telemetría a nivel de kernel (eBPF) en términos de lectura

2 tareas · 40 min · Principiante

0 de 2 · 0%

eBPF (Extended Berkeley Packet Filter) permite ejecutar programas en el espacio del kernel de Linux sin alterar el código fuente ni cargar módulos inestables. Herramientas como Tetragon o Cilium aprovechan kprobes, tracepoints y LSM (Linux Security Modules) para recopilar telemetría de red, cambios de namespaces y ejecuciones de binarios con mínimo overhead y resistencia a la manipulación en espacio de usuario.

Responde para continuar

¿Por qué la telemetría recolectada mediante hooks eBPF/LSM es más resistente a la evasión que envoltorios LD_PRELOAD en espacio de usuario?

Sustituye completamente la necesidad de almacenamiento en disco en los endpoints No requiere permisos de superusuario para inspeccionar la memoria física del equipo Opera en el espacio de kernel interceptando directamente llamadas y transiciones de contexto del sistema Modifica permanentemente los binarios del sistema para incorporar firmas digitales

Ver pista de ayuda

Considera la jerarquía de privilegios entre user space y kernel space.

Localiza en la tabla de eventos de auditoría del kernel el nombre de la llamada al sistema que fue denegada al intentar acceder al archivo de contraseñas.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué syscall figura denegada (success = no) en la tabla audit_events?

Ver pista de ayuda

Observa el registro donde el campo success es 'no'.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Auditoría del Kernel de Linux · auditd y journald

auditd Daemon / journalctl Telemetry Engine

Tablas

audit_events

id
type
syscall
exe
comm
key
success
auid
uid

journal_auth

timestamp
unit
user
action
tty
status
host

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Sondas dinámicas y programas eBPF para observabilidad de seguridad

2 Syscall interceptada en audit_events Lab

Whoami-Labs Pro utiliza cookies