Seminar Pulsar: Grundlagen der eBPF-basierten Runtime Security

Einordnung: Das Grundlagenseminar führt in Pulsar als modulares Runtime-Security-Werkzeug für Linux-Geräte ein. eBPF und BTF werden soweit erläutert, wie es für Installation, Modulbetrieb, Ereignisanalyse, CLI-Nutzung, erste Regeln und eine belastbare Fehlerdiagnose erforderlich ist.

Inhaltsübersicht

1. Runtime Security und eBPF einordnen
2. Pulsar-Architektur verstehen
3. Systemvoraussetzungen prüfen
4. Installation und Dienststart
5. CLI und Module bedienen
6. Ereignisse analysieren
7. Erste Regel entwickeln
8. Grundlegendes Troubleshooting

Zielgruppe

Linux-Administratoren, Embedded-Entwickler, Security-Analysten, DevSecOps-Fachkräfte, Systemintegratoren und neue Pulsar-Anwender.

Lernziele

• Pulsar, eBPF, BTF, Kernelprobes und Userspace-Verarbeitung verständlich einordnen.
• Systemvoraussetzungen prüfen und Pulsar kontrolliert installieren.
• Daemon, CLI, Module, Konfiguration und Statusabfragen sicher bedienen.
• Prozess-, Datei- und Netzwerkereignisse untersuchen.
• Eine erste Regel erstellen, testen und gegen Fehlalarme verbessern.

Seminarinhalte

Runtime Security und eBPF einordnen

1. Schritt 1: Laufzeitbeobachtung von statischer Analyse, klassischem Logging und Netzwerksensorik abgrenzen.
2. Schritt 2: eBPF-Programme, Verifier, Maps und Userspace-Komponenten auf konzeptioneller Ebene verstehen.
3. Schritt 3: BTF und Kernelmerkmale als Voraussetzung für portable und sichere Beobachtung einordnen.

Pulsar-Architektur verstehen

1. Schritt 1: Daemon, CLI, Module, Ereignisbus, Regelengine und Logger als Komponentenmodell darstellen.
2. Schritt 2: Ereignisweg von der Kerneloperation bis zur Bedrohungsmeldung nachvollziehen.
3. Schritt 3: Modulare Aktivierung und unabhängige Konfiguration als Betriebsprinzip verstehen.

Systemvoraussetzungen prüfen

1. Schritt 1: Kernelversion, BPF-, BTF- und LSM-Unterstützung mit geeigneten Systeminformationen verifizieren.
2. Schritt 2: Architektur, Privilegien, Dateisystempfade und benötigte Werkzeuge kontrollieren.
3. Schritt 3: Fehlende Voraussetzungen erkennen und zwischen Konfigurations-, Kernel- und Plattformproblem unterscheiden.

Installation und Dienststart

1. Schritt 1: Passende Binärdateien oder Installationsmethode für das Laborsystem auswählen.
2. Schritt 2: Daemon mit einer nachvollziehbaren Konfiguration starten und seinen Status prüfen.
3. Schritt 3: Socket, Regelpfad, Protokollierung und administrative Rechte kontrollieren.

CLI und Module bedienen

1. Schritt 1: Modulstatus, Version und Laufzustand über die CLI abfragen.
2. Schritt 2: Module gezielt starten, stoppen, neu starten und konfigurieren.
3. Schritt 3: Konfigurationsänderungen dokumentieren und ihre Wirkung auf Ereignisse überprüfen.

Ereignisse analysieren

1. Schritt 1: Prozessausführung, Dateizugriff und Netzwerkaktivität mit kontrollierten Aktionen erzeugen.
2. Schritt 2: Header-, Prozess- und Nutzlastfelder eines Ereignisses lesen.
3. Schritt 3: Zusammengehörige Ereignisse zeitlich und über Prozessbeziehungen verbinden.

Erste Regel entwickeln

1. Schritt 1: Ein einfaches unerwünschtes Verhalten als Ereignistyp und Bedingung formulieren.
2. Schritt 2: Regeldatei anlegen, laden und durch einen positiven Test auslösen.
3. Schritt 3: Einen legitimen Vergleichsfall prüfen und die Bedingung gezielt schärfen.

Grundlegendes Troubleshooting

1. Schritt 1: Fehler beim Laden von BPF-Programmen, Berechtigungen, Pfaden und Regeln unterscheiden.
2. Schritt 2: Modulstatus und Diagnoseausgaben systematisch auswerten.
3. Schritt 3: Eine reproduzierbare Fehlerbeschreibung mit System-, Kernel- und Konfigurationsdaten erstellen.

Praxisübungen

• Kernel- und BPF-Voraussetzungen eines Linux-Systems werden vollständig geprüft.
• Pulsar wird installiert, gestartet und über die CLI administriert.
• Prozess-, Datei- und Netzwerkereignisse werden erzeugt und analysiert.
• Eine eigene Regel wird erstellt, positiv getestet und gegen einen Fehlalarm verbessert.

Arbeitsweise

Kurze Theorieeinheiten werden unmittelbar durch Systemprüfungen, CLI-Aufgaben, Ereignisanalysen und Regeltests umgesetzt.

Voraussetzungen

Sichere Linux-Grundkenntnisse und Erfahrung mit Kommandozeile, Prozessen, Dateien und Netzwerken. Programmierkenntnisse sind nicht erforderlich.