Security_for_introducing_eBPF

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. セキュリティ対策への取り組み ⚫ eBPF の本番環境における運用の課題として、セキュリティ対策が挙げられてきている。 ⚫ See eBPF_technologies_with_container - Speaker Deck ⚫ eBPF Foundation も、組織内で eBPF を安全かつ確実に活用するための 2 つのレポートを提供(2024/11) ⚫ eBPF Security Threat Model by ControlPlane ⚫ eBPF Verifier Code Audit by NCC Group ✓eBPF Verifier のソースコードのセキュリティレビューを実施 ⚫ eBPF を導入するシステムで脅威分析してみよう!

Slide 7

Slide 7 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. 脅威分析とは ⚫ 脅威分析は、システムにおいてセキュリティ問題の原因となりうる脅威を分析し、必要な対策を明確にする。 →対象のシステムを深く理解する必要がある。 ⚫ eBPF を導入するシステムに対して脅威分析をしよう! ⚫ 信頼境界はどこ？ ⚫ 〇〇ヘルパー関数から□ □(資産)にアクセスできる？ ⚫ 攻撃手段の bpf_override_return って何？ ⚫ 必要な Linux Capabilities って CAP_BPF だけで大丈夫？ → eBPF に関連する知見がないと、脅威分析出来ない。

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. 「eBPF Security Threat Model」概要 ⚫ エンタープライズ企業が eBPF を安全に導入するためのガイダンスを提供 ⚫ eBPF が導入される基本的なアーキテクチャに対して脅威分析を行い、特定されたセキュリティ上の懸念に対処するための推奨事項まで提示する実用的なガイダンス ⚫ このガイダンスを参考にして脅威分析すればよさそう!

Slide 12

Slide 12 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. 「eBPF Security Threat Model」要約 ⚫ 最新のセキュリティパッチを適用 ⚫ eBPF プログラムをロードするユーザプロセスに最小権限の原則 (例: 必要な Linux Capabilities だけを付与)を適用 ⚫ CNCF のソフトウェアサプライチェーンベストプラクティスも活用し、サプライチェーンのセキュリティを強化 ⚫ unpriviledged eBPF の機能は無効化 ⚫ このホワイトペーパーを参考にしつつ、組織のシステムに合わせて脅威モデルを作成し、危険を監視すること

Slide 13

Slide 13 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. 「eBPF Security Threat Model」所感 ⚫ Linux Capabilities から、サプライチェーンのセキュリティまで大事なポイントがまとまっている。 ⚫ 脅威分析の例がわかりやすい。 ⚫ 一方、 eBPF の専門知識をより深めていかないと、自前のシステムの脅威分析をするのは難しい。 → 本日は Linux Capabilities を説明

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. Linux Capabilities ⚫ Linux Capabilities とは ⚫ スーパーユーザーに結びつけられてきた権限を複数のグループに分割し、このグループをケーパビリティと呼んでいる。 ⚫ 各々独立に有効・無効を設定できる。 ⚫ 最小権限の原則から、なるべく多くのケーパビリティを割り当てたくないが、そもそも、どのケーパビリティが必要であるかわからないことが多い。 ⚫ 本日はよくある疑問や誤解を3つ紹介

Slide 16

Slide 16 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. CAP_BPF と CAP_PERFMON あたりがあれば OK? ⚫ CAP_BPF と CAP_PERFMON だけでは不十分 ⚫ 使うヘルパー関数や kfunc 等で必要なケーパビリティは異なる。 ⚫ 著名な OSS は必要なケーパビリティリストをドキュメントに記載 ⚫ bpfman : Linux Capabilities - bpfman ⚫ Grafana Beyla : Deploy Beyla in Kubernetes | Grafana Beyla documentation From eBPF Security Threat Model

Slide 17

Slide 17 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. 洗い出したケーパビリティリストのメンテナンスは不要？ ⚫ メンテナンスは必要 ⚫ kfunc の実装がカーネルバージョン毎に異なる。 ⚫ crash_kexec (kfunc)のドキュメントでは、将来的に CAP_SYS_BOOT 以外のケーパビリティが必要とされる可能性があることを記述している。 ⚫ さらに、ケーパビリティ自体の実装が変化することもある。 ⚫ Linux kernel 5.19 以降で CAP_BPF 設定時の挙動が変化し、マップの作成とプログラムのロード等の一部の処理にのみ CAP_BPF が必要となった。

Slide 18

Slide 18 text

Copyright © 2024 TOYOTA MOTOR CORPORATION All rights reserved. eBPF プログラムに必要な権限をどこで確認しているの? ⚫ eBPF のプログラムをロードする際に、カーネルの静的解析中にチェックされている。 ⚫ もし権限が不足していると、 bpf システムコールからエラーが返ってくる。 ⚫ verifier のソースコードを確認すると、権限チェックしていることがわかる。 ⚫ヘルパー関数 : check_helper_call ⚫kfunc : check_kfunc_call

Slide 19

Slide 19 text