근묵자흑

Liz Rice의 Learning eBPF 10-11장을 다룹니다. Pod가 설정 파일을 읽지 못하는 상황을 생각해 봅니다. 애플리케이션 로그에는 경로나 오류 원인이 없을 수 있습니다. 프로세스의 파일 열기 요청을 관찰하면 조사 범위를 좁힐 수 있습니다. 이 글에서는 openat()의 진입과 반환을 연결하는 추적기를 작성합니다. 이어 XDP 입력 검사, verifier의 거부, CO-RE와 프로그램 해제를 각각 확인합니다. 커널은 파일·메모리·네트워크 같은 시스템 자원을 관리합니다. 애플리케이션은 사용자 공간에서 실행합니다. 애플리케이션은 시스템 콜로 커널에 작업을 요청합니다. eBPF 프로그램을 필요한 이벤트 지점에 연결하면 그 지점을 지나는 작업을 관찰할 수 있습니다.용어이 글에서의 의미hook프로..

O'Reilly, Liz Rice, Learning eBPF (2023) 9장 "eBPF for Security" 스터디 관찰 도구는 시스템에서 일어난 일을 기록합니다. 보안 도구는 그 기록을 정책과 비교해 허용할 일인지, 조사할 일인지, 즉시 막을 일인지 판단해야 합니다.예를 들어 프로세스가 자기 작업 디렉터리에 로그를 쓰는 일은 정상일 수 있습니다. 같은 프로세스가 /etc/passwd를 수정하거나, 예상하지 못한 권한 상승을 시도하면 보안 이벤트가 됩니다. 이벤트 하나만으로는 판단하기 어렵기 때문에 프로세스, 사용자, 컨테이너, 파일, 네트워크 대상, 부모 프로세스 같은 컨텍스트가 함께 필요합니다. 1. 용어용어의미이 장에서의 역할syscall사용자 공간 프로그램이 커널 기능을 요청하는 인터페이스s..

O'Reilly, Liz Rice, Learning eBPF (2023) 8장 "eBPF for Networking" 스터디 네트워크 장애를 조사할 때 ping 실패만으로 서버 상태를 판단하기는 어렵습니다. ICMP는 차단되어도 TCP 서비스는 정상일 수 있고, 같은 목적지라도 인터페이스와 프로토콜에 따라 다른 정책을 거칩니다. 요청의 성공 여부와 함께 어느 처리 지점까지 도달했는지 확인해야 원인을 좁힐 수 있습니다. Learning eBPF 8장은 네트워크 경로에 eBPF 프로그램을 연결해 패킷을 관찰하고, 차단하고, 전달하는 방법을 다룹니다. 이 글에서는 XDP와 TC의 동작을 실험 결과로 살펴본 뒤, TLS 관찰과 Cilium의 Kubernetes 정책으로 범위를 넓힙니다. 각 기능이 실행되는 위치..

앞선 eBPF 스터디에서는 작은 프로그램을 Linux 커널에 올리고, 특정 동작이 일어날 때 실행한 뒤, 수집한 정보를 일반 프로그램으로 전달하는 과정을 살펴봤다. 이번에는 그 구성이 실제 보안 도구인 Falco에서 어떻게 사용되는지 확인했습니다. 기존에 작성해 둔 원본 falco 룰을 가져와, 직접 실행할 학습용 룰을 cylance-study-rules.yaml로 작성했습니다. 이 파일의 탐지 조건이 어디에서 실행되는지, eBPF가 수집한 정보가 어떻게 경보로 바뀌는지를 따라갔다. 이어서 플러그인으로 다른 종류의 정보를 연결하고, Kubernetes에 Helm으로 룰을 배포하는 과정을 블로그로 작성했습니다.1. Falco에서 eBPF는 무엇을 맡을까요?먼저 커널과 사용자 공간을 나누어 보면 이해하기 쉽..

O'Reilly, Liz Rice, Learning eBPF (2023) 7장 "eBPF Program and Attachment Types" 스터디 eBPF 프로그램은 커널 안에서 실행된다는 공통점이 있지만, 모두 같은 입력과 같은 권한을 갖는 것은 아닙니다. 프로세스 실행을 관찰하는 프로그램과 네트워크 패킷을 처리하는 프로그램은 서로 다른 자료를 받고, 호출할 수 있는 함수와 반환값의 의미도 다릅니다. 이 차이를 정하는 첫 번째 기준이 프로그램 타입(program type)입니다. 프로그램을 실제 이벤트 지점에 연결할 때는 연결 타입(attach type)과 연결 대상도 함께 필요합니다. 이 글에서 context는 프로그램이 실행될 때 커널이 전달하는 실행 문맥 자료, helper는 BPF 프로그램이..

O'Reilly, Liz Rice, Learning eBPF (2023) 6장 "The eBPF Verifier" 스터디 eBPF를 처음 만지면 C 코드는 멀쩡해 보이는데 로드 단계에서 Permission denied만 떨어지는 경우가 많습니다. 권한을 확인해도 문제가 없고, 컴파일도 잘 끝났는데 프로그램은 커널에 들어가지 않습니다. 이때 실제로 봐야 하는 것이 verifier 로그입니다. verifier는 BPF_PROG_LOAD 때 프로그램을 미리 따라가며 포인터, 메모리 범위, helper 인자, 반환 경로를 확인합니다. 커널이 안전하다고 판단할 근거가 부족하면 실행 전에 로드를 막습니다. 소스가 맞아 보이는 것과 verifier가 안전성을 증명할 수 있는 것은 조금 다른 문제입니다.1. 검증기는 ..