1. Privilèges #
Un agent eBPF est un composant sensible.
Ce qu'il faut accorder #
Charger un programme eBPF demande des capacités élevées. Depuis Linux 5.8, on peut éviter privileged: true en n'accordant que les capacités utiles :
securityContext:
capabilities:
add: [BPF, PERFMON, SYS_PTRACE, NET_RAW, CHECKPOINT_RESTORE, DAC_READ_SEARCH, SYS_RESOURCE]
# la liste exacte dépend de l'outil : voir sa documentationErreur Courante : Un agent eBPF peut lire la mémoire des autres processus. Traitez son image, sa configuration et ses mises à jour avec le même soin qu'un composant de sécurité : image signée, version épinglée, namespace dédié.
2. Prérequis et environnements #
Tous les noyaux ne se valent pas.
Vérifications #
| Point | Recommandation |
|---|---|
| Version du noyau | 5.8 au minimum, 5.15+ recommandé |
| BTF | /sys/kernel/btf/vmlinux présent (CO-RE) |
| Kubernetes managé | EKS, GKE, AKS : noyaux récents OK ; GKE Autopilot et Fargate limitent les DaemonSets privilégiés |
| Conteneurs | Docker Desktop sous macOS ou Windows exécute une VM Linux : les outils voient la VM, pas l'hôte |
Surcoût #
Le surcoût dépend de la fréquence des événements : quelques pour cent de CPU pour le profiling ou les flux réseau, davantage pour tracer chaque appel système d'un service très chargé. Mesurez sur un nœud avant de généraliser.
3. TLS et observabilité de sécurité #
Deux usages particuliers.
Le trafic chiffré #
Un paquet TLS est illisible pour une sonde réseau. Les outils comme Beyla contournent la difficulté avec des uprobes sur les bibliothèques de chiffrement (OpenSSL, Go crypto/tls) pour lire les données avant chiffrement ou après déchiffrement.
Tetragon et Falco #
| Outil | Usage |
|---|---|
| Tetragon (Cilium) | Observer et bloquer en temps réel : exécutions, accès fichiers, connexions, avec politiques TracingPolicy |
| Falco (CNCF) | Détection d'intrusion par règles : shell dans un conteneur, lecture de /etc/shadow... |
Bonne Pratique : Ces outils produisent des événements à envoyer dans Loki ou Elasticsearch : ils complètent l'observabilité opérationnelle par une observabilité de sécurité.
