Elkeid - Plataforma de protección de cargas de trabajo en la nube de Bytedance

Inglés | 简体中文

Elkeid es una solución de código abierto que puede satisfacer los requisitos de seguridad de diversas cargas de trabajo, como hosts, contenedores y K8s, y serverless. Se deriva de las mejores prácticas internas de ByteDance.

Con el desarrollo empresarial de las organizaciones, la situación de múltiples nubes, nube nativa y coexistencia de múltiples cargas de trabajo se ha vuelto cada vez más prominente. Esperamos que pueda existir un conjunto de soluciones que cumplan con los requisitos de seguridad bajo diferentes cargas de trabajo, por lo que nació Elkeid.

Introducción

Elkeid tiene las siguientes capacidades clave:

• Elkeid no solo posee la capacidad tradicional de HIDS (Sistema de Detección de Intrusiones en Host) para la detección de intrusiones a nivel de host y la identificación de archivos maliciosos, sino que también puede identificar adecuadamente comportamientos maliciosos en contenedores. El host puede satisfacer los requisitos de seguridad antintrusión del host y del contenedor que se ejecuta en él, y la potente capacidad de recopilación de datos a nivel de kernel que subyace a Elkeid puede satisfacer el deseo de la mayoría de los analistas de seguridad de disponer de datos a nivel de host.

• Para los servicios en ejecución, Elkeid posee capacidad RASP y puede ser inyectado en el proceso de negocio para protección antintrusión; no solo el personal de operaciones y mantenimiento no necesita instalar otro Agente, sino que el negocio tampoco necesita reiniciarse.

• Para el propio K8s, Elkeid admite la recopilación de Registros de Auditoría de K8s para realizar detección de intrusiones e identificación de riesgos en el sistema K8s.

• El motor de reglas de Elkeid, Elkeid HUB, también puede integrarse adecuadamente con múltiples sistemas externos.

Elkeid integra estas capacidades en una única plataforma para satisfacer los complejos requisitos de seguridad de diferentes cargas de trabajo, logrando también la asociación de capacidades entre múltiples componentes. Lo que es aún más notable es que cada componente ha superado pruebas masivas de datos de ByteDance y años de pruebas en combate real.

Descripción de la Edición Comunitaria de Elkeid

Cabe señalar que existen diferencias entre la versión de código abierto de Elkeid y la versión completa. Las capacidades actuales de código abierto incluyen principalmente:

• Todas las capacidades en el dispositivo, es decir, capacidades de recopilación de datos/activos/parcial en el dispositivo, capacidades de recopilación de datos a nivel de kernel, partes de la sonda RASP, etc., y son consistentes con la versión interna de ByteDance;
• Todas las capacidades de backend, a saber, Agent Center, descubrimiento de servicios, etc., son consistentes con la versión interna de ByteDance;
• Proporcionar un motor de reglas de edición comunitaria, Elkeid HUB, y usarlo como ejemplo con un número reducido de estrategias;
• Proporciona la versión comunitaria de Elkeid Console y algunas capacidades de soporte.

Por lo tanto, para tener capacidades completas de antintrusión y percepción de riesgos, también es necesario construir políticas basadas en Elkeid HUB y realizar un procesamiento secundario de los datos recopilados por Elkeid.

Arquitectura de Elkeid

Capacidad de Host de Elkeid

• Elkeid Agent Agente de espacio de usuario de Linux, responsable de gestionar varios complementos y comunicarse con Elkeid Server.
• Elkeid Driver El controlador puede recopilar datos en el kernel de Linux, admite tiempo de ejecución de contenedores y se comunica con el complemento Driver de Elkeid.
• Elkeid RASP Admite sondas en tiempo de ejecución para CPython, Golang, JVM, NodeJS, PHP; permite la inyección dinámica en el tiempo de ejecución.
• Lista de complementos del Agente Elkeid
  • Driver Plugin: Responsable de gestionar Elkeid Driver y procesar los datos del controlador.
  • Collector Plugin: Responsable de la recopilación de información de activos/registros en el sistema Linux, como lista de usuarios, crontab, información de paquetes, etc.
  • Journal Watcher: Responsable de monitorear los registros de systemd; actualmente admite la recopilación y notificación de registros relacionados con SSH.
  • Scanner Plugin: Responsable de la detección estática de archivos maliciosos en el host; actualmente admite yara.
  • RASP Plugin: Responsable de gestionar los componentes RASP y procesar los datos recopilados desde RASP.
  • Baseline Plugin: Responsable de detectar riesgos de línea base basados en políticas de verificación de línea base.
• Formato de datos de Elkeid
• Tutorial de uso de datos de Elkeid

Capacidad de Backend de Elkeid

• Elkeid AgentCenter Responsable de comunicarse con el Agente, recopilar datos del Agente, procesarlos de forma simple y luego agregarlos a MQ; también se encarga de la gestión del Agente, incluyendo actualización del Agente, modificación de configuración, distribución de tareas, etc.
• Elkeid ServiceDiscovery Cada componente en segundo plano debe registrar y sincronizar la información del servicio periódicamente con este componente, asegurando que las instancias en cada módulo de servicio sean visibles entre sí y facilitando la comunicación directa.
• Elkeid Manager Responsable de la gestión de todo el backend, y proporciona API de consulta y gestión relacionadas.
• Elkeid Console Interfaz frontal de Elkeid.
• Elkeid HUB Motor de reglas de HIDS de Elkeid.

Lista de Funciones de Elkeid

Interfaz frontal (Edición Comunitaria)

Resumen de seguridad

Lista de alertas de seguridad de K8s

Lista de pods de K8s

---

Resumen del host

Huella digital de recursos

Resumen de alertas de intrusión

Vulnerabilidades

Verificación de línea base

Escaneo de virus

Monitoreo de hosts backend

Monitoreo de servicios backend

Guía de usuario de la consola

• Guía de usuario de Elkeid Console

Inicio rápido

• Desplegar con Elkeidup

Contáctenos && Cooperación

Grupo de Lark

Acerca de la Edición Empresarial de Elkeid

La Edición Empresarial de Elkeid admite la venta por separado de reglas de detección de intrusiones (como HIDS, RASP, K8s), así como la venta de capacidad completa.

Si está interesado en la Edición Empresarial de Elkeid, comuníquese con [email protected]

Documentación de Elkeid

Para más detalles y las últimas actualizaciones, consulte Documentación de Elkeid.

Licencia

• Elkeid Driver: GPLv2
• Elkeid RASP: Apache-2.0
• Elkeid Agent: Apache-2.0
• Elkeid Server: Apache-2.0
• Elkeid Console: Elkeid License
• Elkeid HUB: Elkeid License

404StarLink 2.0 - Galaxy

Elkeid se ha unido a 404Team 404StarLink 2.0 - Galaxy