Telemetría eBPF

Un programa eBPF es código pequeño que el núcleo acepta solo después de comprobarlo con un verificador, que rechaza lo que pueda colgar el sistema o leer memoria que no debe. Una vez aceptado, se engancha a un punto concreto (la ejecución de un proceso, el envío de un paquete, la apertura de un archivo) y manda lo que observa a un agente, a través de estructuras compartidas con espacio de usuario. Por eso el agente es una pieza más del sistema: necesita privilegios elevados y su compatibilidad depende de la versión del núcleo.

Un agente puede perder cobertura sin avisar: si el verificador rechaza una sonda al cargarla, por incompatibilidad con el núcleo del servidor, el agente puede seguir en marcha con las demás y el panel sigue verde. Quien diseña detecciones necesita saber qué sondas están realmente cargadas antes de depender de sus eventos.

Abre sondas_del_agente y revisa la columna estado.

Un proceso en un contenedor es un proceso más del anfitrión: el núcleo lo ve igual. La auditoría clásica registra ejecuciones y conexiones, pero no dice, por sí sola, en qué contenedor ocurrió. Los agentes eBPF suelen enriquecer cada evento con ese dato. En la tabla comparacion_con_auditd el equipo anotó esa diferencia para este servidor.

En eventos_del_agente, a las 14:02 se lanzó un intérprete de órdenes.

El núcleo entrega los eventos al agente por un búfer de tamaño limitado. Si el agente no lo vacía a tiempo, los eventos nuevos se pierden y se cuentan. La pérdida es mayor en las sondas de más volumen, como la de apertura de archivos. Un contador distinto de cero no es una avería: es una medida de lo que no se puede afirmar.

Suma los eventos perdidos de todas las sondas en estadisticas_del_agente.

El agente corre con privilegios altos y decide qué se registra: quien pueda cambiar su política o detenerlo puede dejar al servidor ciego. Lo mismo ocurre con el archivo de reglas de auditoría. Es una pieza de control detectivo y, como tal, hay que detectar su apagado, sus cambios de política y sus pérdidas.