Elkeid - Платформа защиты рабочих нагрузок в облаке от ByteDance

Английский | 简体中文

Elkeid — это решение с открытым исходным кодом, которое может удовлетворять требованиям безопасности различных рабочих нагрузок, таких как хосты, контейнеры, K8s и serverless. Оно основано на лучших внутренних практиках ByteDance.

С развитием бизнеса предприятий ситуация с мультиоблачными, облачно-нативными и сосуществующими множественными рабочими нагрузками становится всё более заметной. Мы надеемся, что существует набор решений, способных удовлетворить требования безопасности при различных рабочих нагрузках, поэтому и был создан Elkeid.

Введение

Elkeid обладает следующими ключевыми возможностями:

• Elkeid не только обладает традиционной способностью HIDS (Host Intrusion Detection System) для обнаружения вторжений на уровне хоста и идентификации вредоносных файлов, но также хорошо выявляет вредоносное поведение в контейнерах. Хост может удовлетворить требования безопасности от вторжений как для самого хоста, так и для контейнеров на нём, а мощная возможность сбора данных на уровне ядра, лежащая в основе Elkeid, может удовлетворить желание большинства аналитиков безопасности получать данные на уровне хоста.

• Для работающих бизнес-приложений Elkeid обладает возможностью RASP и может внедряться в бизнес-процессы для защиты от вторжений: операторам не нужно устанавливать дополнительный агент, и бизнес не требует перезапуска.

• Для самого K8s Elkeid поддерживает сбор K8s Audit Log для обнаружения вторжений и выявления рисков в системе K8s.

• Движок правил Elkeid HUB может хорошо взаимодействовать с внешними системами.

Elkeid объединяет эти возможности в одну платформу для удовлетворения сложных требований безопасности различных рабочих нагрузок, а также обеспечивает взаимосвязь возможностей нескольких компонентов. Что ещё более ценно, каждый компонент прошёл через огромные объёмы данных ByteDance и годы боевого тестирования.

Описание версии Elkeid Community

Следует отметить, что между открытой версией Elkeid и полной версией есть различия. Текущие возможности с открытым исходным кодом в основном включают:

• Все возможности на устройстве, то есть сбор данных/активов/частичный сбор на устройстве, сбор данных на уровне ядра, части RASP-зонда и т.д., и они соответствуют внутренней версии ByteDance;
• Все серверные возможности, а именно Agent Center, обнаружение служб и т.д., соответствуют внутренней версии ByteDance;
• Предоставляется движок правил версии Community, а именно Elkeid HUB, с небольшим количеством стратегий в качестве примера;
• Предоставляется консоль Elkeid версии Community и некоторые вспомогательные возможности.

Таким образом, для полного обнаружения вторжений и оценки рисков необходимо также создавать политики на основе Elkeid HUB и выполнять вторичную обработку данных, собранных Elkeid.

Архитектура Elkeid

Возможности хоста Elkeid

• Elkeid Agent — пользовательский агент для Linux, отвечающий за управление различными плагинами и взаимодействие с Elkeid Server.
• Elkeid Driver — драйвер, собирающий данные на уровне ядра Linux, поддерживает среду выполнения контейнеров, взаимодействует с плагином Elkeid Driver.
• Elkeid RASP — поддерживает зонды времени выполнения CPython, Golang, JVM, NodeJS, PHP; поддерживает динамическое внедрение в среду выполнения.
• Список плагинов Elkeid Agent
  • Driver Plugin — отвечает за управление Elkeid Driver и обработку данных драйвера.
  • Collector Plugin — отвечает за сбор информации об активах/логах в системе Linux, например, список пользователей, crontab, информацию о пакетах и т.д.
  • Journal Watcher — отвечает за мониторинг журналов systemd, в настоящее время поддерживает сбор и отправку логов, связанных с SSH.
  • Scanner Plugin — отвечает за статическое обнаружение вредоносных файлов на хосте, в настоящее время поддерживает yara.
  • RASP Plugin — отвечает за управление компонентами RASP и обработку данных, собранных RASP.
  • Baseline Plugin — отвечает за обнаружение рисков базовой линии на основе политик проверки базовой линии.
• Формат данных Elkeid
• Учебное пособие по использованию данных Elkeid

Возможности бэкенда Elkeid

• Elkeid AgentCenter — отвечает за взаимодействие с агентом, сбор данных агента и их простую обработку с последующей передачей в MQ. Также отвечает за управление агентом, включая обновление агента, изменение конфигурации, распределение задач и т.д.
• Elkeid ServiceDiscovery — каждый компонент в фоне должен регулярно регистрироваться и синхронизировать информацию о службах с этим компонентом, чтобы обеспечить видимость экземпляров в каждом модуле службы друг для друга и облегчить прямую связь.
• Elkeid Manager — отвечает за управление всем бэкендом и предоставляет соответствующие API для запросов и управления.
• Elkeid Console — фронтенд Elkeid.
• Elkeid HUB — движок правил HIDS Elkeid.

Список функций Elkeid