Telemetría en sistemas Linux con auditd y eBPF

Abre sensores_linux_ebpf_auditd.txt en la consola del laboratorio con el entorno rt-telemetria-edr-guia.

El demonio de auditoría en Linux interactúa directamente con el subsistema de auditoría del kernel para registrar eventos críticos como la ejecución de nuevos binarios a través de la llamada execve, la inyección o depuración de procesos mediante ptrace, o la modificación de archivos de configuración sensibles.

Revisa el apartado 2 en sensores_linux_ebpf_auditd.txt.

Las soluciones de seguridad más modernas en Linux ya no dependen exclusivamente de auditd, sino que emplean una tecnología que permite inyectar programas verificados directamente en los puntos de rastreo del kernel, capturando la actividad con un impacto despreciable en el rendimiento.

Herramientas modernas de detección en tiempo real para entornos Linux y contenedores (como Falco o Tetragon) leen los flujos de eventos procedentes de estas sondas del kernel y aplican reglas semánticas instantáneas.

Si un proceso que normalmente corre como servidor web genera una shell interactiva o intenta leer archivos de credenciales, el motor emite una alerta estructurada antes de que el comando termine su ejecución.