eBPF bezpečnostný monitoring s Tetragonom: Inštalácia, tracing politiky a runtime ochrana

Prečo je eBPF revolúciou v bezpečnostnom monitoringu Linuxu

Tradičné nástroje na bezpečnostný monitoring Linuxu — auditd, OSSEC, či rôzne agenty bežiace v user space — majú jeden spoločný problém. Buď sú príliš pomalé, príliš hlučné, alebo im jednoducho unikajú sofistikované útoky. A úprimne, v roku 2026, keď linuxové jadro zaznamenalo 5 530 CVE zraniteľností len za minulý rok a exploitačná aktivita cielená na Linux vzrástla o 130 % medziročne, toto už nestačí.

Práve tu prichádza na scénu eBPF (extended Berkeley Packet Filter) — technológia, ktorá umožňuje spúšťať sandboxované programy priamo v jadre Linuxu. Bez nutnosti modifikovať zdrojový kód jadra. Bez načítavania kernel modulov. Podľa správy CNCF State of Cloud Native Development Q1 2026 zaznamenali eBPF riešenia 300 % medziročný nárast adopcie v produkčných prostrediach — a keď sa na to pozriete, nie je ťažké pochopiť prečo.

A potom je tu Tetragon.

Projekt pod záštitou CNCF a Cilium, ktorý je momentálne najsilnejší open-source nástroj na eBPF bezpečnostnú pozorovateľnosť a runtime vynucovanie politík. Na rozdiel od nástrojov, ktoré len detegujú a posielajú alerty (a vy sa modlíte, že si ich niekto na SOC všimne), Tetragon dokáže hrozby priamo blokovať — na úrovni jadra, s réžiou pod 1 % CPU.

Tak poďme na to. V tomto článku si prejdeme všetko od základov eBPF, cez inštaláciu Tetragonu na Linux serveri, až po praktické tracing politiky na monitorovanie procesov, súborov a sieťovej komunikácie. A samozrejme aj runtime enforcement — teda reálne blokovanie nebezpečného správania priamo v jadre.

Ako funguje eBPF v kontexte bezpečnosti

eBPF bol pôvodne navrhnutý ešte v roku 1992 ako jednoduchý mechanizmus na filtrovanie sieťových paketov. Od tej doby prešiel dramatickou transformáciou — dnes je základom moderných cloudových a bezpečnostných nástrojov, čo by jeho pôvodných tvorcov pravdepodobne poriadne prekvapilo.

Princíp fungovania

eBPF programy sa pripájajú k rôznym hook pointom v jadre Linuxu — tracepoints, kprobes, LSM hooky — a zachytávajú udalosti v reálnom čase. Čo konkrétne dokážu sledovať?

• Systémové volania (syscalls) — každé spustenie procesu, otvorenie súboru, sieťové pripojenie
• Sieťový traffic — sledovanie TCP/UDP spojení priamo na úrovni jadra
• Prístup k súborom — zachytenie čítania a zápisu do citlivých súborov v momente, keď nastane
• Eskalácia oprávnení — sledovanie zmien UID/GID (čo je často prvý krok útočníka po získaní prístupu)
• Korelácia správania — kombinácia signálov naprieč celým stromom procesov

Bezpečnostné záruky eBPF

Kľúčovou vlastnosťou eBPF je jeho verifikátor. Každý program musí pred načítaním do jadra prejsť prísnou kontrolou, ktorá zabezpečí, že nemôže jadro poškodiť. Okrem verifikátora máte k dispozícii aj ďalšie ochranné mechanizmy:

• Read-only ochrana pamäte pre kód programu
• Mitigácia Spectre útokov
• Constant blinding — ochrana proti JIT spray útokom
• Sandboxované prostredie — program nemá prístup k ľubovoľnej pamäti jadra

Vďaka tomu je eBPF bezpečný pre produkčné nasadenie. To je obrovský rozdiel oproti klasickým kernel modulom, ktoré majú plný prístup k jadru a môžu bez problémov spôsobiť kernel panic.

Čo je Tetragon a prečo práve on

Tetragon vyvinula spoločnosť Isovalent (tvorcovia Cilium) a aktuálne je vo verzii 1.6.0. Je to CNCF projekt, ktorý poskytuje dve kľúčové funkcie:

1. Security Observability — hĺbková viditeľnosť do toho, čo sa na vašom systéme naozaj deje
2. Runtime Enforcement — aktívne blokovanie nebezpečného správania, nie len pasívne alertovanie

Tetragon vs. tradičné nástroje

Porovnajme Tetragon s tým, čo väčšina z nás na monitorovanie Linuxu používa (alebo aspoň používala):

• auditd — štandardný linuxový audit systém. Generuje obrovské množstvo logov, je pomalý a nemá žiadne enforcement schopnosti. Tetragon naproti tomu filtruje priamo v jadre a posiela len to, čo vás naozaj zaujíma.
• OSSEC/AIDE — kontrola integrity súborov. Detegujú zmeny len periodicky, nie v reálnom čase. Tetragon zachytáva prístup k súborom v momente, keď nastane — nie o hodinu neskôr.
• Falco — eBPF nástroj zameraný na detekciu. Ale len deteguje a alertuje — neblokuje. Tetragon dokáže proces ukončiť priamo v jadre ešte pred dokončením syscallu.

Tetragon vs. Falco — detailné porovnanie

Keďže Falco je najčastejšie spomínaná alternatíva, porovnajme ich trochu podrobnejšie:

• Enforcement: Falco je čisto detekčný — generuje alerty, ale nemôže útok zastaviť. Tetragon dokáže vydať SIGKILL procesu priamo z eBPF programu v jadre. To je zásadný rozdiel.
• Výkon: Tetragon má réžiu pod 1 % CPU vďaka in-kernel filtrovaniu. Falco posiela viac udalostí do user space, čo znamená vyššiu réžiu.
• Hĺbka sledovania: Falco môže prehliadnuť útoky využívajúce shell presmerovanie (>) kvôli spracovaniu dočasných súborov. Tetragon sleduje zámer na úrovni jadra, nie len povrchové syscally.
• Ekosystém: Tetragon je súčasťou Cilium ekosystému (Hubble, network policies). Falco funguje samostatne.

Môj osobný názor? Ideálne je použiť oba nástroje spoločne — Falco na širokú detekciu a Tetragon na enforcement kritických politík. Ale ak si musíte vybrať len jeden a chcete aj blokovacie schopnosti, Tetragon je jasná voľba.

Požiadavky na systém

Pred inštaláciou Tetragonu sa uistite, že váš systém spĺňa tieto požiadavky:

• Jadro Linuxu: minimálne verzia 4.19, odporúčaná 5.8+ pre plnú funkcionalitu. Pre BPF ring buffer (predvolený od Tetragonu 1.6) potrebujete jadro 5.11+.
• BTF podpora: musí byť zapnutá (CONFIG_DEBUG_INFO_BTF=y). Dobrá správa — väčšina moderných distribúcií (Ubuntu 22.04+, RHEL 9+, Debian 12+, Fedora 38+) to má predvolene.
• Distribúcie: Ubuntu 22.04/24.04, RHEL 9, Debian 12, Fedora 40+, Rocky Linux 9

Overenie BTF podpory je jednoduché:

# Kontrola prítomnosti BTF dát
ls -la /sys/kernel/btf/vmlinux

# Kontrola verzie jadra
uname -r

# Overenie BTF konfigurácie
grep CONFIG_DEBUG_INFO_BTF /boot/config-$(uname -r)

Inštalácia Tetragonu na Linux serveri

Tetragon je možné nainštalovať viacerými spôsobmi. Ukážeme si inštaláciu z tarballu (najuniverzálnejšia metóda) a ako Docker kontajner. Vyberte si podľa toho, čo vám lepšie vyhovuje.

Inštalácia z tarballu

# Stiahnutie najnovšej verzie
curl -LO https://github.com/cilium/tetragon/releases/download/v1.6.0/tetragon-v1.6.0-amd64.tar.gz

# Overenie integrity (voliteľné, ale odporúčané)
curl -LO https://github.com/cilium/tetragon/releases/download/v1.6.0/tetragon-v1.6.0-amd64.tar.gz.sha256sum
sha256sum -c tetragon-v1.6.0-amd64.tar.gz.sha256sum

# Rozbalenie a inštalácia
tar -xvf tetragon-v1.6.0-amd64.tar.gz
cd tetragon-v1.6.0-amd64/
sudo ./install.sh

# Overenie, že služba beží
sudo systemctl status tetragon
sudo systemctl enable tetragon

Inštalácia ako Docker kontajner

Ak preferujete Docker (a kto v dnešnej dobe nie?), postup je tiež pomerne priamočiary:

# Spustenie Tetragonu v Docker kontajneri
docker run --name tetragon --rm -d \
  --pid=host \
  --cgroupns=host \
  --privileged \
  -v /sys/kernel/btf/vmlinux:/var/lib/tetragon/btf \
  quay.io/cilium/tetragon:v1.6.0

# Overenie, že kontajner beží
docker logs tetragon | head -20

Inštalácia CLI nástroja tetra

CLI nástroj tetra slúži na správu tracing politík a zobrazovanie udalostí. Bez neho sa v podstate nezaobídete:

# Inštalácia tetra CLI
curl -LO https://github.com/cilium/tetragon/releases/download/v1.6.0/tetra-linux-amd64.tar.gz
tar -xvf tetra-linux-amd64.tar.gz
sudo mv tetra /usr/local/bin/

# Overenie funkčnosti
tetra version
tetra status

Monitorovanie spúšťania procesov

Po inštalácii Tetragon automaticky sleduje spúšťanie a ukončovanie procesov. Toto je základná funkcionalita, ktorá nevyžaduje žiadnu ďalšiu konfiguráciu — funguje hneď po vybalení z krabice.

Sledovanie udalostí v reálnom čase

# Sledovanie všetkých procesových udalostí
sudo tetra getevents -o compact

# Filtrovanie len na exec udalosti
sudo tetra getevents -o compact --event-types PROCESS_EXEC

# JSON výstup pre ďalšie spracovanie
sudo tetra getevents -o json | jq '.'

Príklad výstupu pri spustení príkazu curl:

🚀 process /usr/bin/curl https://example.com
💥 exit    /usr/bin/curl https://example.com 0

Tetragon automaticky obohacuje každú udalosť o metadata — PID, UID, binárku, argumenty príkazového riadka, rodičovský proces. A ak bežíte v Kubernetes, dostanete aj pod, namespace a label informácie. Celkom šikovné.

Pokročilé sledovanie ELF bináriek

Ak chcete zachytiť spúšťanie bináriek ešte pred ich skutočným vykonaním (čo je v bezpečnostnom kontexte veľmi užitočné), použite tracing politiku process-exec-elf-begin:

# Vytvorte súbor process-exec-elf-begin.yaml
cat << 'EOF' > /etc/tetragon/tetragon.tp.d/process-exec-elf-begin.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: "process-exec-elf-begin"
spec:
  tracepoints:
    - subsystem: "sched"
      event: "sched_process_exec"
      args:
        - index: 0
          type: "nop"
EOF

# Načítanie politiky
sudo tetra tracingpolicy add /etc/tetragon/tetragon.tp.d/process-exec-elf-begin.yaml

# Overenie načítaných politík
sudo tetra tracingpolicy list

Monitorovanie prístupu k citlivým súborom

Sledovanie prístupu k súborom ako /etc/passwd, /etc/shadow, či SSH kľúčom — to je jednoducho základ, bez ktorého sa žiadny seriózny bezpečnostný monitoring nezaobíde. Tetragon to rieši cez kprobe hook na funkciu security_file_permission v jadre.

Vytvorenie politiky pre monitorovanie súborov

# Vytvorte súbor /etc/tetragon/tetragon.tp.d/file-monitoring.yaml
cat << 'EOF' > /etc/tetragon/tetragon.tp.d/file-monitoring.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: "file-monitoring"
spec:
  kprobes:
    - call: "security_file_permission"
      syscall: false
      return: true
      args:
        - index: 0
          type: "file"
        - index: 1
          type: "int"
      returnArg:
        index: 0
        type: "int"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/etc/passwd"
                - "/etc/shadow"
                - "/etc/sudoers"
                - "/etc/ssh/sshd_config"
                - "/root/.ssh/"
                - "/home/"
          matchActions:
            - action: Post
EOF

# Načítanie politiky
sudo tetra tracingpolicy add /etc/tetragon/tetragon.tp.d/file-monitoring.yaml

Testovanie monitorovania

# V jednom termináli sledujte udalosti
sudo tetra getevents -o compact

# V druhom termináli skúste prístup k citlivým súborom
cat /etc/shadow
vim /etc/ssh/sshd_config

# Uvidíte udalosti podobné tomuto:
# 📬 open    /usr/bin/cat /etc/shadow
# 📬 open    /usr/bin/vim /etc/ssh/sshd_config

Dôležité upozornenie: Táto politika sa zhoduje s názvom súboru, ktorý aplikácia používa na prístup. Ak aplikácia pristupuje k tomu istému súboru cez hard link alebo iný bind mount, udalosť sa nevygeneruje. Pre úplnú ochranu preto zvážte kombináciu s kontrolou integrity súborov (napríklad AIDE).

Monitorovanie sieťovej komunikácie

Sledovanie sieťových spojení je kritické pre detekciu command-and-control komunikácie, dátovej exfiltrácie alebo jednoducho neoprávnených pripojení. Toto je oblasť, kde sa Tetragon naozaj vynikajúco predvedie.

Politika pre monitorovanie TCP spojení

# Vytvorte súbor /etc/tetragon/tetragon.tp.d/network-monitoring.yaml
cat << 'EOF' > /etc/tetragon/tetragon.tp.d/network-monitoring.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: "network-monitoring"
spec:
  kprobes:
    - call: "tcp_connect"
      syscall: false
      args:
        - index: 0
          type: "sock"
      selectors:
        - matchArgs:
            - index: 0
              operator: "NotDAddr"
              values:
                - "127.0.0.1"
                - "::1"
          matchActions:
            - action: Post
    - call: "tcp_close"
      syscall: false
      args:
        - index: 0
          type: "sock"
      selectors:
        - matchArgs:
            - index: 0
              operator: "NotDAddr"
              values:
                - "127.0.0.1"
                - "::1"
          matchActions:
            - action: Post
EOF

sudo tetra tracingpolicy add /etc/tetragon/tetragon.tp.d/network-monitoring.yaml

Táto politika sleduje všetky odchádzajúce TCP spojenia okrem localhost. V JSON výstupe uvidíte zdrojovú a cieľovú IP adresu, port, aj proces, ktorý spojenie inicioval. Veľmi užitočné pri love na podozrivú aktivitu.

Runtime enforcement — blokovanie hrozieb v jadre

A teraz tá najzaujímavejšia časť. Toto je funkcia, ktorá Tetragon zásadne odlišuje od väčšiny ostatných nástrojov. Enforcement umožňuje nielen detegovať, ale aktívne zabrániť nebezpečnému správaniu — a to priamo v jadre, ešte pred návratom zo syscallu.

Blokovanie čítania citlivých súborov

Nasledujúca politika ukončí akýkoľvek proces, ktorý sa pokúsi prečítať /etc/shadow (okrem procesov s root oprávneniami):

# Vytvorte súbor /etc/tetragon/tetragon.tp.d/enforce-shadow-read.yaml
cat << 'EOF' > /etc/tetragon/tetragon.tp.d/enforce-shadow-read.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: "enforce-shadow-protection"
spec:
  kprobes:
    - call: "security_file_permission"
      syscall: false
      return: true
      args:
        - index: 0
          type: "file"
        - index: 1
          type: "int"
      returnArg:
        index: 0
        type: "int"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/etc/shadow"
          matchActions:
            - action: Sigkill
EOF

sudo tetra tracingpolicy add /etc/tetragon/tetragon.tp.d/enforce-shadow-read.yaml

Upozornenie (a toto myslím vážne): Enforcement politiky testujte vždy najprv v režime detekcie (action: Post) pred prepnutím na Sigkill. V produkčnom prostredí nesprávne nakonfigurovaná politika môže zabiť legitímne procesy a spôsobiť vám veľmi nepríjemný deň.

Blokovanie spúšťania neautorizovaných bináriek

# Vytvorte súbor /etc/tetragon/tetragon.tp.d/block-unauthorized-exec.yaml
cat << 'EOF' > /etc/tetragon/tetragon.tp.d/block-unauthorized-exec.yaml
apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: "block-crypto-miners"
spec:
  kprobes:
    - call: "security_bprm_check"
      syscall: false
      args:
        - index: 0
          type: "linux_binprm"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Postfix"
              values:
                - "xmrig"
                - "minerd"
                - "cpuminer"
                - "cryptonight"
          matchActions:
            - action: Sigkill
EOF

sudo tetra tracingpolicy add /etc/tetragon/tetragon.tp.d/block-unauthorized-exec.yaml

Táto politika automaticky ukončí akýkoľvek pokus o spustenie známych kryptominerov. Tetragon zachytí binárku ešte pred jej vykonaním a vydá SIGKILL. Žiadne otázky, žiadne diskusie — proces je mŕtvy ešte predtým, než stihne niečo spraviť.

Integrácia Tetragonu so SIEM systémom

Tetragon exportuje udalosti vo formáte JSON, čo uľahčuje integráciu s prakticky akýmkoľvek SIEM systémom. Ak už používate Wazuh, integrácia je príjemne priamočiara.

Export udalostí do súboru pre Wazuh

# Konfigurácia exportu do JSON súboru
# Upravte /etc/tetragon/tetragon.yaml
cat << 'EOF' > /etc/tetragon/tetragon.yaml
export-filename: "/var/log/tetragon/tetragon.log"
export-file-max-size-mb: 100
export-file-rotation-interval: "24h"
export-file-max-backups: 7
export-file-compress: true
EOF

# Reštartujte Tetragon
sudo systemctl restart tetragon

# Overte, že sa logy zapisujú
tail -f /var/log/tetragon/tetragon.log | jq '.process_exec.process.binary'

Konfigurácia Wazuh agenta

<!-- Pridajte do /var/ossec/etc/ossec.conf na monitorovanom serveri -->
<localfile>
  <log_format>json</log_format>
  <location>/var/log/tetragon/tetragon.log</location>
</localfile>

Alternatívne môžete udalosti posielať priamo cez gRPC endpoint Tetragonu do vášho SIEM systému alebo do Elasticsearch/OpenSearch stacku. Záleží na tom, akú infraštruktúru už máte nasadenú.

Praktické scenáre nasadenia

Teória je fajn, ale pozrime sa na konkrétne scenáre, kde Tetragon naozaj ukazuje svoju silu.

Scenár 1: Webový server

Pre webový server s Nginx alebo Apache odporúčam tieto tracing politiky:

• Monitorovanie súborov: Sledujte prístup k /etc/nginx/, /etc/apache2/, konfiguračným súborom a SSL certifikátom
• Sieťové politiky: Sledujte odchádzajúce spojenia z webového servera — webový server by nemal iniciovať spojenia na neznáme IP adresy (a ak to robí, máte problém)
• Enforcement: Blokujte spúšťanie shellov (/bin/sh, /bin/bash) z procesov webového servera — typický indikátor RCE exploitu

Scenár 2: Databázový server

• Monitorovanie súborov: Sledujte prístup k dátovým adresárom, konfiguračným súborom a zálohovým skriptom
• Sieťové politiky: Databáza by mala komunikovať len s definovanými aplikačnými servermi — nič viac, nič menej
• Enforcement: Blokujte pokusy o kopírovanie dátových súborov mimo definované zálohovacie okno

Scenár 3: CI/CD build server

• Monitorovanie procesov: Sledujte všetky spúšťané procesy a porovnávajte s baseline správaním
• Supply chain ochrana: Monitorujte prístupy k credentials, tokenom a SSH kľúčom počas buildov — tu sa veľa útokov začína
• Enforcement: Blokujte sieťové spojenia na nepovolené registry a repozitáre

Novinky v Tetragone 1.6 a výhľad do budúcnosti

Verzia 1.6.0 priniesla niekoľko zaujímavých zmien, ktoré stoja za zmienku:

• BPF ring buffer je teraz predvolený pre jadrá 5.11+ — rýchlejší a efektívnejší prenos udalostí z jadra
• Non-root operátor — Tetragon operátor v Kubernetes beží predvolene ako non-root používateľ (konečne)
• Nový regex filter pre argumenty rodičovských procesov — presnejšie cielenie politík
• Podpora USDT set action — rozšírené možnosti sledovania v user space
• Migrácia na log/slog — modernejšia a štruktúrovanejšia logovacia knižnica

Ekosystém eBPF bezpečnosti sa vyvíja rýchlym tempom. Medzi trendy, na ktoré sa oplatí dávať pozor, patrí hlbšia integrácia s Kubernetes network policies cez Cilium, rozšírenie LSM BPF hookov pre ešte granulárnejšie vynucovanie, a pokročilé techniky korelácie udalostí s využitím strojového učenia.

Bezpečnostné upozornenia a obmedzenia

Hoci je eBPF a Tetragon výnimočne silný nástroj, bola by chyba predstierať, že nemá žiadne obmedzenia. Tu sú tie najdôležitejšie:

• eBPF rootkity: Výskum ukazuje, že sofistikovaný malvér dokáže manipulovať eBPF event pipeline a filtrovať záznamy pred ich doručením bezpečnostným nástrojom. Experimentálny výskum SPiCa demonštruje, ako kernel malvér dokáže umlčať časti bezpečnostného stacku. Nie je to bežný scenár, ale treba oň vedieť.
• Hard linky: Monitorovanie na základe názvov súborov nezachytí prístup cez hard linky alebo alternatívne bind mounty.
• Kernel verzia: Staršie jadrá nepodporujú všetky funkcie — napríklad LSM BPF hooky vyžadujú jadro 5.7+.
• Falošné pozitívy: Enforcement politiky musia byť starostlivo testované. Inak riskujete zabíjanie legitímnych procesov — a to je niečo, čo vám váš tím rýchlo neodpustí.

Preto jednoznačne odporúčam defense-in-depth prístup. Kombinujte Tetragon s ďalšími vrstvami ochrany: AppArmor/SELinux, nftables firewall, a pravidelný audit pomocou OpenSCAP. Žiadny jednotlivý nástroj vás neochráni pred všetkým.

Často kladené otázky (FAQ)

Je eBPF monitoring bezpečný pre produkčné servery?

Áno, rozhodne. eBPF programy prechádzajú verifikáciou v jadre, ktorá zaručuje, že nemôžu poškodiť systém. Tetragon má v praxi réžiu pod 1 % CPU na bežne zaťažených serveroch. Tisíce organizácií vrátane Datadog, Google a Meta ho používajú v produkcii bez problémov.

Aký je rozdiel medzi Tetragonom a Falcom?

Falco je čisto detekčný nástroj — monitoruje správanie a generuje alerty. Tetragon ide ďalej a dokáže nebezpečné správanie aktívne blokovať priamo v jadre cez SIGKILL alebo návrat chybového kódu. Zjednodušene: Falco vám povie, že sa deje niečo zlé. Tetragon to zastaví. Ideálne ich kombinujte.

Dokáže Tetragon nahradiť auditd?

V mnohých scenároch áno. Tetragon poskytuje podstatne hlbšiu viditeľnosť než auditd, filtrovanie v jadre namiesto zahltenia logov, a enforcement schopnosti. Avšak pozor — niektoré compliance frameworky (napr. PCI-DSS) explicitne vyžadujú auditd. V takom prípade ich môžete bez problémov prevádzkovať súbežne.

Potrebujem Kubernetes na používanie Tetragonu?

Nie, vôbec nie. Tetragon funguje plnohodnotne aj na bežných Linux serveroch bez Kubernetes. Inštaluje sa ako systemd služba alebo Docker kontajner. Kubernetes awareness je príjemný bonus, nie požiadavka.

Ako často sa aktualizuje Tetragon?

Tetragon má pravidelný release cyklus — hlavné verzie vychádzajú niekoľkokrát ročne. Aktuálna stabilná verzia je 1.6.0. Odporúčam sledovať GitHub repozitár a aktualizovať minimálne na každú novú hlavnú verziu kvôli bezpečnostným opravám a novým funkciám.