Sécuriser les flux avec eBPF : implémentation pratique avec Tetragon

Une alerte SIEM, c’est un constat : le processus suspect a déjà tourné, souvent depuis un moment. Ce que je voulais tester sur mon infra, c’est couper avant la fin de l’action · pas journaliser un dégât, mais refuser le geste au niveau du noyau, sans toucher au code de l’application. C’est le pas entre supervision passive et blocage actif.

Un agent en espace utilisateur reçoit l’événement après coup : il peut le journaliser, rarement l’empêcher. Tetragon, lui, s’accroche aux points d’entrée du noyau via eBPF et rend son verdict pendant que l’appel système est encore en cours · sur un shell lancé là où rien ne devrait en lancer, ou une écriture interdite, il n’enregistre pas la déviation, il y met fin (SIGKILL) avant qu’elle n’aboutisse.

# On accroche le point LSM security_file_permission : il expose le chemin
# du fichier (arg 0), ce que sys_write ne permet pas · l’argument 1 de
# write() est le tampon de données, jamais un chemin.
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: block-boot-write
spec:
  kprobes:
    - call: "security_file_permission"
      syscall: false
      args:
        - index: 0
          type: "file"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/boot/"
          matchActions:
            - action: Sigkill