L'avenir de l'exécution sécurisée du code : Adopter les approches collaboratives de l'eBPF

Dans le domaine de la cybersécurité, nous sommes toujours à la recherche de moyens robustes et fiables d'exécuter du code. Des outils tels que l'eBPF (extended Berkeley Packet Filter) et des technologies spécialisées de sandboxing sont devenus des solutions clés.

Cependant, deux événements survenus au cours de l'été 2024 mettent en évidence les forces et les faiblesses de ces outils.

• Juin 2024 : Un bogue dans le vérificateur de code eBPF (Enhanced Berkely Packet Filter) a permis au pilote Linux d'un important fournisseur de systèmes de détection et de réponse aux intrusions (EDR) de planter le noyau Linux, provoquant une panne majeure chez ses clients Linux.  

• Juillet 2024 : Un bogue dans l'environnement d'exécution de code sécurisé de ce même fournisseur a permis à une mise à jour de faire planter le noyau et de rendre le système non amorçable. Cela a conduit à une panne encore plus dommageable et très médiatisée pour les clients Windows.  

Ces deux incidents montrent deux manières différentes d'effectuer des mises à jour de bas niveau sur des systèmes actifs, et la raison pour laquelle nous devrions préférer une approche unifiée et ouverte pour assurer la sécurité de l'exécution du code.

Équilibrer les mises à jour rapides du code avec la stabilité du système

Dans le paysage actuel en pleine évolution des menaces, il est crucial d’envoyer rapidement des mises à jour aux outils de sécurité pour stopper les menaces avant qu’elles ne posent problème. Ces mises à jour doivent atteindre tous les systèmes de sécurité en quelques minutes ou heures. Les « capteurs » EDR peuvent être mis en phase à distance par votre fournisseur plusieurs fois par jour si les menaces nécessitent un tel volume.  

Mais il y a un équilibre :  

• L’envoi de mises à jour vers des outils de sécurité étroitement intégrés au système d’exploitation peut parfois provoquer des coupures majeures.  

• Mais attendre trop longtemps pour mettre à jour pourrait permettre la propagation de malwares.  

La solution consiste à trouver un moyen sûr et sécurisé de réduire rapidement les vulnérabilités dans le code et de définir où le code du système d’exploitation doit interagir avec les outils de sécurité.

Solutions d’exécution sécurisée du code : bac à sable avancé vs. eBPF

Deux technologies ont émergé pour aider à garantir que le code est sûr et correct avant son exécution :

technologies spécialisées de sandboxing  

Le sandboxing utilise de petites machines virtuelles (VM) et des vérificateurs ciblés afin de garantir que seul le code approuvé et sécurisé s’exécute.  

Ces machines virtuelles ne sont pas comme les systèmes traditionnels basés sur des hyperviseurs qui font tourner des systèmes d’exploitation complets. Au lieu de cela, ils sont conçus pour exécuter des programmes en toute sécurité à l’aide d’un ensemble spécifique d’instructions virtuelles (comme le fonctionnement des machines virtuelles Java ou JavaScript, pas VMware).  

Le vérificateur est essentiel — il vérifie le code avant son exécution pour s’assurer qu’il est sûr et correct. Cette approche isole les actions potentiellement risquées, créant un espace sécurisé pour que le code s’exécute.

Les programmes qui tournent dans un bac à sable sont comme des programmes en langage assembleur. Ils utilisent un petit ensemble d’instructions basiques qui peuvent fonctionner avec la plupart des processeurs. Cette conception simple rend le code efficace et garantit qu’il peut fonctionner en toute sécurité dans un environnement bac à sable ou noyau.

eBPF

Le filtre de paquets Berkeley étendu adopte une approche plus intégrée, notamment dans les systèmes Linux. Cela permet au code de s’exécuter en toute sécurité à l’intérieur du noyau, offrant une meilleure visibilité et un meilleur contrôle sans risquer la stabilité du système.  

eBPF dispose d’un puissant vérificateur intégré qui garantit la sécurité du code. Cela empêche l’exécution du code avec des instructions dangereuses et offre une manière plus fluide et efficace d’exécuter du code.

Les pannes informatiques de juillet 2024 : ce qu’ils nous ont appris sur l’exécution sécurisée du code

Même avec des protections en place, les événements récents ont révélé des faiblesses dans les outils de sandboxing et la technologie eBPF.  

Il est vrai que la panne Linux est survenue à cause d’un bug dans le vérificateur eBPF qui a causé la défaillance du système d’exploitation. Cela montre que même des outils avancés comme eBPF peuvent poser problème, ce qui rend important de rester vigilant et de continuer à les améliorer. Mais le résultat de la correction du vérificateur eBPF a des implications différentes pour l’avenir car il fait partie d’une solution communautaire.  

Lorsque le bug du vérificateur a été détecté, la communauté a rapidement travaillé ensemble pour le corriger. Cet effort collectif contribue à améliorer l’eBPF pour tous et réduit la probabilité que des problèmes similaires se reproduisent.

L’incident de l’écran bleu de la mort (BSOD) dans l’environnement Windows a été causé par des erreurs de mémoire. Ces erreurs provenaient de tailles de tableaux incompatibles dans un outil spécial de sandboxing et son système de vérification. Les efforts d’analyse et d’atténuation de l’incident ont montré à quel point il est important de disposer d’un processus de vérification solide. Cela empêcherait les vulnérabilités de compromettre la stabilité du système.  

Contrairement à l’eBPF, les machines virtuelles et systèmes de vérification propriétaires fonctionnent dans des écosystèmes fermés. Bien qu’ils puissent corriger les bugs identifiés, ces améliorations ne sont utiles que pour les utilisateurs d’un seul fournisseur. Cette façon de travailler isolée ralentit le partage des améliorations de sécurité et augmente les risques que des problèmes similaires surviennent ailleurs.

Vers une approche unifiée : l’argument en faveur de l’eBPF

Ces incidents contrastés montrent l’importance d’utiliser un système partagé et ouvert pour exécuter du code sécurisé.  

L’approche collaborative de l’eBPF crée une base solide pour améliorer les outils de sécurité sur différentes plateformes. En utilisant une seule VM et un vérificateur intégrés au système d’exploitation, les organisations peuvent éviter de créer plusieurs systèmes bricolage incohérents et potentiellement peu sécurisés.

Un bon exemple de cette idée est le travail en cours pour amener l’eBPF sur Windows. En ajoutant eBPF à leur système d’exploitation, les organisations peuvent créer un environnement sécurisé et standardisé pour exécuter des outils de sécurité de bas niveau. Ce changement rend non seulement le système d’exploitation plus sûr, mais favorise également l’utilisation de l’approche éprouvée de l’eBPF dans toute l’industrie.

Les efforts visant à transformer les bases de sécurité à travers plusieurs systèmes d’exploitation grâce à une intégration sécurisée du noyau montrent le potentiel de cette idée. En utilisant les fonctionnalités de l’eBPF, ces projets visent à construire un système plus sûr et plus connecté permettant aux outils de sécurité de fonctionner entre différents systèmes d’exploitation.

Ce que signifie l’eBPF pour l’avenir de la cybersécurité

Les problèmes récents avec les outils de sécurité montrent comment l’adoption de l’eBPF pourrait bénéficier à l’industrie cybernétique. Avec son modèle ouvert et collaboratif, les organisations pourraient envisager les avantages potentiels d’intégrer l’eBPF dans leurs solutions.  

En utilisant eBPF, la responsabilité des plantages système, comme les paniques du noyau, serait transférée au fournisseur du système d’exploitation. Ils sont mieux équipés pour gérer ces problèmes et garder le système sûr et stable.

Et en s’appuyant sur des fournisseurs de systèmes d’exploitation de confiance pour assurer la sécurité de l’eBPF, les organisations peuvent se concentrer sur la fourniture de mises à jour plus rapides et plus fiables à leurs clients. Cette méthode soutient l’objectif de permettre des améliorations rapides sans sacrifier la sécurité.  

Bien que des tests rigoureux avant le lancement des mises à jour restent importants, l’utilisation des fonctionnalités de sécurité intégrées à eBPF peut considérablement réduire le risque de problèmes pendant le fonctionnement du système.

Adopter la collaboration est l’avenir de l’exécution sécurisée du code

Les incidents récents résultant de problèmes d’exécution de code montrent la complexité du maintien d’environnements robustes et fiables.  

Le sandboxing propriétaire des machines virtuelles et des vérificateurs peut offrir aux organisations plus de contrôle et de personnalisation, mais elles les coupent aussi des améliorations de sécurité plus larges. En revanche, l’approche ouverte et collaborative de l’eBPF crée un système plus solide permettant une amélioration constante et des bénéfices partagés en matière de sécurité.

À mesure que l’industrie évolue, l’utilisation de modèles comme eBPF qui encouragent la collaboration et la standardisation peut contribuer à créer des systèmes plus solides et plus sûrs. Les organisations peuvent beaucoup bénéficier de l’ajout de l’eBPF à leurs outils, en utilisant les connaissances partagées de la communauté pour améliorer la sécurité.  

Avec cet esprit de collaboration, l’avenir de la cybersécurité s’annonce plus prometteur et plus sûr pour tous.

Contactez-nous dès aujourd’hui pour en savoir plus sur la plateforme de segmentation Illumio Zero Trust.