Elkeid - Bytedance クラウドワークロード保護プラットフォーム

英語 | 简体中文

Elkeid は、ホスト、コンテナ、K8s、サーバーレス などのさまざまなワークロードのセキュリティ要件を満たすことができるオープンソースソリューションです。これは ByteDance 社内のベストプラクティスに基づいています。

企業のビジネス発展に伴い、マルチクラウド、クラウドネイティブ、複数ワークロードの共存状況がますます顕著になっています。さまざまなワークロード下でのセキュリティ要件を満たすことができる一連のソリューションがあればと願い、Elkeid が誕生しました。

はじめに

Elkeid には以下の主要な機能があります。

• Elkeid は、従来の HIDS（ホスト侵入検知システム） によるホスト層の侵入検知や悪意のあるファイルの識別能力だけでなく、コンテナ内の悪意のある動作も適切に識別できます。ホストは、ホストとその上のコンテナの侵入防止セキュリティ要件を満たすことができ、Elkeid の最下層にある強力なカーネルレベルのデータ収集機能は、ほとんどのセキュリティアナリストのホストレベルのデータへの欲求を満たすことができます。

• 実行中のビジネスに対して、Elkeid は RASP 機能を持ち、ビジネスプロセスに注入して侵入防止保護を提供できます。運用保守担当者は別の Agent をインストールする必要がなく、ビジネスを再起動する必要もありません。

• K8s 自体に対して、Elkeid は K8s Audit Log の収集をサポートし、K8s システム上で侵入検知とリスク識別を実行します。

• Elkeid のルールエンジン Elkeid HUB は、外部の複数のシステムとも適切に連携できます。

Elkeid はこれらの機能を1つのプラットフォームに統合し、さまざまなワークロードの複雑なセキュリティ要件を満たすと同時に、マルチコンポーネントの機能連携を実現します。さらに稀なことは、各コンポーネントが大量の ByteDance のデータと長年の実戦テストを経ていることです。

Elkeid コミュニティエディションの説明

注意すべき点として、Elkeid のオープンソース版とフルバージョンには違いがあります。現在のオープンソース機能には主に以下が含まれます：

• すべてのデバイス上の機能、すなわちデバイス上のデータ/資産/部分的な収集機能、カーネル状態データ収集機能、RASP プローブ部分など、ByteDance 社内版と一致しています；
• すべてのバックエンド機能、すなわち Agent Center、サービスディスカバリなど、ByteDance 社内版と一致しています；
• コミュニティエディションのルールエンジン、すなわち Elkeid HUB を提供し、少数の戦略をサンプルとして使用します；
• Elkeid Console のコミュニティ版といくつかのサポート機能を提供します。

したがって、完全な侵入防止とリスク認識能力を持つためには、Elkeid HUB に基づいてポリシーを構築し、Elkeid が収集したデータの二次処理を行うことも必要です。

Elkeid アーキテクチャ

Elkeid ホスト機能

• Elkeid Agent Linux ユーザー空間のエージェント。さまざまなプラグインの管理、Elkeid Server との通信を担当します。
• Elkeid Driver ドライバーは Linux カーネル上のデータを収集し、コンテナランタイムをサポートし、Elkeid Driver Plugin と通信します。
• Elkeid RASP CPython、Golang、JVM、NodeJS、PHP ランタイムプローブをサポートし、ランタイムへの動的注入をサポートします。
• Elkeid Agent プラグイン一覧
  • Driver Plugin: Elkeid Driver の管理とドライバデータの処理を担当します。
  • Collector Plugin: Linux システム上の資産/ログ情報の収集を担当します。ユーザーリスト、crontab、パッケージ情報など。
  • Journal Watcher: systemd ログの監視を担当します。現在は SSH 関連のログ収集とレポートをサポートしています。
  • Scanner Plugin: ホスト上の悪意のあるファイルの静的検出を担当します。現在 yara をサポートしています。
  • RASP Plugin: RASP コンポーネントの管理と RASP から収集されたデータの処理を担当します。
  • Baseline Plugin: ベースラインチェックポリシーに基づいてベースラインリスクを検出します。
• Elkeid Data Format
• Elkeid Data Usage Tutorial

Elkeid バックエンド機能

• Elkeid AgentCenter Agent との通信、Agent データの収集と簡単な処理、そして MQ への集約を担当します。また、Agent のアップグレード、設定変更、タスク配信などの Agent 管理も担当します。
• Elkeid ServiceDiscovery バックグラウンドの各コンポーネントは定期的にこのコンポーネントにサービス情報を登録および同期する必要があり、各サービスモジュールのインスタンスが相互に可視化され、直接通信が容易になります。
• Elkeid Manager バックエンド全体の管理を担当し、関連するクエリと管理 API を提供します。
• Elkeid Console Elkeid フロントエンド
• Elkeid HUB Elkeid HIDS ルールエンジン

Elkeid 機能一覧