Elkeid – Bytedance Cloud Workload Protection Platform

Englisch | 简体中文

Elkeid ist eine Open-Source-Lösung, die die Sicherheitsanforderungen verschiedener Workloads wie Hosts, Container und K8s sowie serverlose Umgebungen erfüllen kann. Sie basiert auf den internen Best Practices von ByteDance.

Mit der geschäftlichen Entwicklung von Unternehmen wird die Situation von Multi-Cloud, Cloud-Native und der Koexistenz mehrerer Workloads immer deutlicher. Wir hoffen, dass es eine Reihe von Lösungen geben kann, die die Sicherheitsanforderungen unter verschiedenen Workloads erfüllen, daher wurde Elkeid geboren.

Einführung

Elkeid verfügt über die folgenden Schlüsselfunktionen:

• Elkeid besitzt nicht nur die traditionelle HIDS (Host Intrusion Detection System)-Fähigkeit zur Erkennung von Eindringlingen auf Host-Ebene und zur Identifizierung bösartiger Dateien, sondern kann auch bösartige Verhaltensweisen in Containern gut identifizieren. Der Host kann die Anti-Eindringlings-Sicherheitsanforderungen des Hosts und des darauf befindlichen Containers erfüllen, und die leistungsstarke Datenerfassungsfähigkeit auf Kernel-Ebene von Elkeid kann den Wunsch der meisten Sicherheitsanalysten nach Daten auf Host-Ebene befriedigen.

• Für die laufenden Geschäftsanwendungen verfügt Elkeid über die RASP-Fähigkeit und kann zum Schutz vor Eindringlingen in den Geschäftsprozess injiziert werden. Die Betriebs- und Wartungsmitarbeiter müssen keinen weiteren Agenten installieren, und die Anwendung muss nicht neu gestartet werden.

• Für K8s selbst unterstützt Elkeid die Erfassung von K8s-Audit-Logs, um Eindringlingserkennung und Risikoidentifikation für das K8s-System durchzuführen.

• Die Regel-Engine von Elkeid, Elkeid HUB, kann auch gut mit externen Mehrfachsystemen verknüpft werden.

Elkeid integriert diese Fähigkeiten in eine Plattform, um die komplexen Sicherheitsanforderungen verschiedener Workloads zu erfüllen und gleichzeitig eine Multi-Komponenten-Fähigkeitsassoziation zu erreichen. Noch bemerkenswerter ist, dass jede Komponente massive Datenmengen und jahrelange Kampftests von ByteDance durchlaufen hat.

Beschreibung der Elkeid Community Edition

Es ist zu beachten, dass es Unterschiede zwischen der Elkeid-Open-Source-Version und der Vollversion gibt. Die aktuellen Open-Source-Fähigkeiten umfassen hauptsächlich:

• Alle Gerätefähigkeiten, d.h. Datenerfassung/Asset-Erfassung/partielle Erfassung auf dem Gerät, Datenerfassung im Kernel-Modus, RASP-Sonden-Teile usw., und sind identisch mit der internen Version von ByteDance;
• Alle Backend-Fähigkeiten, nämlich Agent Center, Service Discovery usw., sind identisch mit der internen Version von ByteDance;
• Bereitstellung einer Community-Edition der Regel-Engine, nämlich Elkeid HUB, und deren Verwendung als Beispiel mit einer geringen Anzahl von Strategien;
• Bereitstellung der Community-Version von Elkeid Console und einigen unterstützenden Fähigkeiten.

Daher sind vollständige Anti-Eindringlings- und Risikowahrnehmungsfähigkeiten sowie die Erstellung von Richtlinien auf Basis von Elkeid HUB und die sekundäre Verarbeitung der von Elkeid gesammelten Daten erforderlich.

Elkeid-Architektur

Elkeid Host-Fähigkeiten

• Elkeid Agent Linux-Benutzerraum-Agent, verantwortlich für die Verwaltung verschiedener Plugins und die Kommunikation mit Elkeid Server.
• Elkeid Driver Treiber zur Datenerfassung im Linux-Kernel, Unterstützung von Container-Laufzeitumgebungen, Kommunikation mit dem Elkeid Driver Plugin.
• Elkeid RASP Unterstützt CPython-, Golang-, JVM-, NodeJS- und PHP-Laufzeit-Sonden, unterstützt dynamische Injektion in die Laufzeitumgebung.
• Elkeid Agent Plugin Liste
  • Driver Plugin: Verantwortlich für die Verwaltung von Elkeid Driver und die Verarbeitung der Treiberdaten.
  • Collector Plugin: Verantwortlich für die Erfassung von Asset-/Log-Informationen auf dem Linux-System, z. B. Benutzerliste, Crontab, Paketinformationen usw.
  • Journal Watcher: Verantwortlich für die Überwachung von systemd-Protokollen, unterstützt derzeit die Erfassung und Meldung von SSH-bezogenen Logs.
  • Scanner Plugin: Verantwortlich für die statische Erkennung bösartiger Dateien auf dem Host, unterstützt derzeit YARA.
  • RASP Plugin: Verantwortlich für die Verwaltung von RASP-Komponenten und die Verarbeitung von Daten aus RASP.
  • Baseline Plugin: Verantwortlich für die Erkennung von Basislinienrisiken basierend auf Baseline-Prüfrichtlinien.
• Elkeid-Datenformat
• Elkeid-Datennutzungs-Tutorial

Elkeid Backend-Fähigkeiten

• Elkeid AgentCenter Verantwortlich für die Kommunikation mit dem Agent, die Sammlung von Agent-Daten, deren einfache Verarbeitung und die Zusammenfassung in MQ; auch verantwortlich für die Verwaltung des Agent, einschließlich Agent-Upgrade, Konfigurationsänderung, Aufgabenverteilung usw.
• Elkeid ServiceDiscovery Jede Komponente im Hintergrund muss sich regelmäßig bei dieser Komponente registrieren und Dienstinformationen synchronisieren, um sicherzustellen, dass die Instanzen in den einzelnen Dienstmodulen füreinander sichtbar sind und die direkte Kommunikation erleichtern.
• Elkeid Manager Verantwortlich für die Verwaltung des gesamten Backends und Bereitstellung von zugehörigen Abfrage- und Verwaltungs-APIs.
• Elkeid Console Elkeid Frontend
• Elkeid HUB Elkeid HIDS RuleEngine

Elkeid-Funktionsliste