Elkeid - Plataforma de protección de cargas de trabajo en la nube de Bytedance

Elkeid es una solución de código abierto que puede satisfacer los requisitos de seguridad de diversas cargas de trabajo, como hosts, contenedores y K8s, y serverless. Se deriva de las mejores prácticas internas de ByteDance.

Con el desarrollo empresarial de las organizaciones, la situación de múltiples nubes, nube nativa y coexistencia de múltiples cargas de trabajo se ha vuelto cada vez más prominente. Esperamos que pueda existir un conjunto de soluciones que cumplan con los requisitos de seguridad bajo diferentes cargas de trabajo, por lo que nació Elkeid.

Introducción

Elkeid tiene las siguientes capacidades clave:

Elkeid no solo posee la capacidad tradicional de HIDS (Sistema de Detección de Intrusiones en Host) para la detección de intrusiones a nivel de host y la identificación de archivos maliciosos, sino que también puede identificar adecuadamente comportamientos maliciosos en contenedores. El host puede satisfacer los requisitos de seguridad antintrusión del host y del contenedor que se ejecuta en él, y la potente capacidad de recopilación de datos a nivel de kernel que subyace a Elkeid puede satisfacer el deseo de la mayoría de los analistas de seguridad de disponer de datos a nivel de host.
Para los servicios en ejecución, Elkeid posee capacidad RASP y puede ser inyectado en el proceso de negocio para protección antintrusión; no solo el personal de operaciones y mantenimiento no necesita instalar otro Agente, sino que el negocio tampoco necesita reiniciarse.
Para el propio K8s, Elkeid admite la recopilación de Registros de Auditoría de K8s para realizar detección de intrusiones e identificación de riesgos en el sistema K8s.
El motor de reglas de Elkeid, Elkeid HUB, también puede integrarse adecuadamente con múltiples sistemas externos.

Elkeid integra estas capacidades en una única plataforma para satisfacer los complejos requisitos de seguridad de diferentes cargas de trabajo, logrando también la asociación de capacidades entre múltiples componentes. Lo que es aún más notable es que cada componente ha superado pruebas masivas de datos de ByteDance y años de pruebas en combate real.

Descripción de la Edición Comunitaria de Elkeid

Cabe señalar que existen diferencias entre la versión de código abierto de Elkeid y la versión completa. Las capacidades actuales de código abierto incluyen principalmente:

Todas las capacidades en el dispositivo, es decir, capacidades de recopilación de datos/activos/parcial en el dispositivo, capacidades de recopilación de datos a nivel de kernel, partes de la sonda RASP, etc., y son consistentes con la versión interna de ByteDance;
Todas las capacidades de backend, a saber, Agent Center, descubrimiento de servicios, etc., son consistentes con la versión interna de ByteDance;
Proporcionar un motor de reglas de edición comunitaria, Elkeid HUB, y usarlo como ejemplo con un número reducido de estrategias;
Proporciona la versión comunitaria de Elkeid Console y algunas capacidades de soporte.

Por lo tanto, para tener capacidades completas de antintrusión y percepción de riesgos, también es necesario construir políticas basadas en Elkeid HUB y realizar un procesamiento secundario de los datos recopilados por Elkeid.

Arquitectura de Elkeid

Capacidad de Host de Elkeid

Elkeid Agent Agente de espacio de usuario de Linux, responsable de gestionar varios complementos y comunicarse con Elkeid Server.
Elkeid Driver El controlador puede recopilar datos en el kernel de Linux, admite tiempo de ejecución de contenedores y se comunica con el complemento Driver de Elkeid.
Elkeid RASP Admite sondas en tiempo de ejecución para CPython, Golang, JVM, NodeJS, PHP; permite la inyección dinámica en el tiempo de ejecución.
Lista de complementos del Agente Elkeid
- Driver Plugin: Responsable de gestionar Elkeid Driver y procesar los datos del controlador.
- Collector Plugin: Responsable de la recopilación de información de activos/registros en el sistema Linux, como lista de usuarios, crontab, información de paquetes, etc.
- Journal Watcher: Responsable de monitorear los registros de systemd; actualmente admite la recopilación y notificación de registros relacionados con SSH.
- Scanner Plugin: Responsable de la detección estática de archivos maliciosos en el host; actualmente admite yara.
- RASP Plugin: Responsable de gestionar los componentes RASP y procesar los datos recopilados desde RASP.
- Baseline Plugin: Responsable de detectar riesgos de línea base basados en políticas de verificación de línea base.
Formato de datos de Elkeid
Tutorial de uso de datos de Elkeid

Capacidad de Backend de Elkeid

Elkeid AgentCenter Responsable de comunicarse con el Agente, recopilar datos del Agente, procesarlos de forma simple y luego agregarlos a MQ; también se encarga de la gestión del Agente, incluyendo actualización del Agente, modificación de configuración, distribución de tareas, etc.
Elkeid ServiceDiscovery Cada componente en segundo plano debe registrar y sincronizar la información del servicio periódicamente con este componente, asegurando que las instancias en cada módulo de servicio sean visibles entre sí y facilitando la comunicación directa.
Elkeid Manager Responsable de la gestión de todo el backend, y proporciona API de consulta y gestión relacionadas.
Elkeid Console Interfaz frontal de Elkeid.
Elkeid HUB Motor de reglas de HIDS de Elkeid.

Elkeid

Más Populares