Elkeid - Bytedance 클라우드 워크로드 보호 플랫폼

Elkeid는 호스트, 컨테이너, K8s, 서버리스 등 다양한 워크로드의 보안 요구 사항을 충족할 수 있는 오픈 소스 솔루션입니다. 이는 바이트댄스의 내부 모범 사례에서 비롯되었습니다.

기업의 비즈니스 발전에 따라 멀티 클라우드, 클라우드 네이티브, 여러 워크로드의 공존 상황이 점점 더 두드러지고 있습니다. 우리는 다양한 워크로드에서 보안 요구 사항을 충족할 수 있는 솔루션 세트가 있기를 바랐고, 그래서 Elkeid가 탄생했습니다.

소개

Elkeid는 다음과 같은 주요 기능을 가지고 있습니다:

Elkeid는 호스트 계층 침입 탐지 및 악성 파일 식별을 위한 전통적인 HIDS(호스트 침입 탐지 시스템) 기능뿐만 아니라 컨테이너 내 악성 행위도 잘 식별할 수 있습니다. 호스트는 호스트와 그 위의 컨테이너에 대한 침입 방지 보안 요구 사항을 충족할 수 있으며, Elkeid 하부의 강력한 커널 수준 데이터 수집 기능은 대부분의 보안 분석가가 호스트 수준 데이터에 대한 요구를 충족시킬 수 있습니다.
실행 중인 비즈니스에 대해 Elkeid는 RASP 기능을 가지며 비즈니스 프로세스에 주입되어 침입 방지 보호를 제공할 수 있습니다. 운영 및 유지보수 담당자는 추가 에이전트를 설치할 필요가 없을 뿐만 아니라 비즈니스도 재시작할 필요가 없습니다.
K8s 자체에 대해 Elkeid는 K8s 감사 로그 수집을 지원하여 K8s 시스템에 대한 침입 탐지 및 위험 식별을 수행합니다.
Elkeid의 규칙 엔진 Elkeid HUB는 외부의 여러 시스템과도 잘 연동될 수 있습니다.

Elkeid는 이러한 기능을 하나의 플랫폼에 통합하여 다양한 워크로드의 복잡한 보안 요구 사항을 충족시키면서 다중 구성 요소 기능 연관을 달성합니다. 더욱 드문 점은 각 구성 요소가 바이트댄스의 방대한 데이터와 수년간의 실전 테스트를 거쳤다는 것입니다.

Elkeid 오픈 소스 버전과 전체 버전 간에는 차이가 있습니다. 현재 오픈 소스 기능은 주로 다음을 포함합니다:

모든 장치 내 기능, 즉 장치 내 데이터/자산/부분 수집 기능, 커널 상태 데이터 수집 기능, RASP 프로브 부품 등이 바이트댄스 내부 버전과 일치합니다;
모든 백엔드 기능, 즉 Agent Center, 서비스 디스커버리 등이 바이트댄스 내부 버전과 일치합니다;
커뮤니티 에디션 규칙 엔진인 Elkeid HUB를 제공하며, 적은 수의 전략을 포함한 예제로 사용합니다;
커뮤니티 버전의 Elkeid Console 및 일부 지원 기능을 제공합니다.

따라서 완전한 침입 방지 및 위험 인식 능력을 갖추기 위해서는 Elkeid HUB를 기반으로 정책을 구성하고 Elkeid가 수집한 데이터에 대한 2차 처리를 수행해야 합니다.

Elkeid Agent Linux 사용자 공간 에이전트로, 다양한 플러그인 관리 및 Elkeid Server와의 통신을 담당합니다.
Elkeid Driver 드라이버는 Linux 커널에서 데이터를 수집하고, 컨테이너 런타임을 지원하며, Elkeid Driver Plugin과 통신합니다.
Elkeid RASP CPython, Golang, JVM, NodeJS, PHP 런타임 프로브를 지원하며, 런타임에 동적 주입을 지원합니다.
Elkeid Agent Plugin 목록
- Driver Plugin: Elkeid Driver를 관리하고 드라이버 데이터를 처리합니다.
- Collector Plugin: Linux 시스템의 자산/로그 정보 수집을 담당하며, 사용자 목록, crontab, 패키지 정보 등을 수집합니다.
- Journal Watcher: systemd 로그 모니터링을 담당하며, 현재 SSH 관련 로그 수집 및 보고를 지원합니다.
- Scanner Plugin: 호스트의 악성 파일 정적 탐지를 담당하며, 현재 yara를 지원합니다.
- RASP Plugin: RASP 구성 요소 관리 및 RASP에서 수집된 데이터 처리를 담당합니다.
- Baseline Plugin: 베이스라인 점검 정책에 따라 베이스라인 위험을 탐지합니다.
Elkeid 데이터 형식
Elkeid 데이터 사용 튜토리얼

Elkeid AgentCenter Agent와 통신하고, Agent 데이터를 수집하여 간단히 처리한 후 MQ에 합산하며, Agent 업그레이드, 구성 수정, 작업 배포 등 Agent 관리를 담당합니다.
Elkeid ServiceDiscovery 백그라운드의 각 구성 요소는 정기적으로 서비스 정보를 등록하고 동기화하여 각 서비스 모듈의 인스턴스가 서로 보이고 직접 통신할 수 있도록 합니다.
Elkeid Manager 전체 백엔드 관리를 담당하며 관련 쿼리 및 관리 API를 제공합니다.
Elkeid Console Elkeid 프론트엔드
Elkeid HUB Elkeid HIDS 규칙 엔진