eBPF Devrimi: Çekirdek Düzeyinde Güvenlik Nasıl Çalışır?
Linux işletim sisteminde çalışan her süreç dosya açmak (sys_openat), ağ bağlantısı başlatmak (sys_connect) veya yeni bir komut çalıştırmak (sys_execve) için çekirdeğe sistem çağrısı (syscall) iletir.
Geleneksel izleme araçları (auditd veya ptrace), her çağrıda kullanıcı alanına geçiş yaparak ağır CPU yükü oluşturur.Extended Berkeley Packet Filter (eBPF) ise güvenlik kurallarını doğrudan Linux çekirdeğinde güvenli bir sanal makinede JIT ile derleyerek çalıştırır. Çekirdek seviyesindeki olaylar milisaniyeden daha kısa sürede taranır ve yalnızca zararlı modeller tespit edildiğinde müdahale edilir.
Falco (Asenkron Tespit) vs Cilium Tetragon (Senkron Engelleme)
Konteyner güvenliğinde en kritik kararlardan biri yalnızca alarm mı üretileceği yoksa saldırının anında durdurulup durdurulmayacağıdır:
- Falco: Geniş kural kütüphanesi ve MITRE ATT&CK uyumluluğuyla dünya standardıdır. Sistem çağrısını yakalar, kullanıcı alanına iletir ve saniyeler içinde SIEM, Slack veya FalcoSidekick üzerinden alarm üretir. Ancak proses zaten başlamıştır.
- Cilium Tetragon: Linux 5.8 ile gelen BPF LSM (Linux Security Module) yeteneklerini kullanır. Saldırgan bir konteyner içinde ters kabuk (reverse shell) veya yetkisiz dosya okuma başlattığı an, sistem çağrısı henüz tamamlanmadan çekirdekte SIGKILL gönderilerek proses sonlandırılır.
Ticari CWPP SaaS Çözümleri vs Self-Hosted Açık Kaynak Maliyeti
| Kriter | Sysdig Secure CWPP | Palo Alto Prisma Cloud | Self-Hosted (Tetragon / Falco) |
|---|---|---|---|
| Düğüm Başı Aylık Lisans | ~$48 / node | ~$65 / node | $0 (Açık Kaynak) |
| Çekirdekte Engelleme (LSM) | Kısmi / Sınırlı | Ajan Tabanlı Engelleme | Doğrudan BPF LSM SIGKILL (Tetragon) |
| Veri Mahremiyeti & Telemetri | Bulut SaaS sunucusuna veri aktarımı | Bulut SaaS sunucusuna veri aktarımı | %100 Yerel (Air-gapped VDS uyumlu) |
| Yıllık Maliyet (25 Düğüm) | $14,400 / yıl | $19,500 / yıl | $0 (100% Tasarruf) |
Sıkça Sorulan Sorular (SSS)
eBPF tabanlı güvenlik neden klasik Linux auditd aracından kat kat daha verimlidir?
Linux auditd sistemi her sistem çağrısında çekirdekten kullanıcı alanına bağlam değişimi (context switch) yapar. Yoğun sunucularda auditd CPU tüketimini %15-25 artırabilir. eBPF ise kuralları çekirdek içinde JIT derlenmiş bytecode olarak çalıştırır; yalnızca filtrelere uyan olaylar iletildiği için CPU ek yükü %1-2 seviyesinde kalır.
Falco ile Cilium Tetragon arasındaki temel fark nedir?
Falco sistem çağrılarını eBPF ile toplar ve kullanıcı alanındaki kural motoruyla analiz ederek zengin alarmlar üretir; yani ağırlıklı olarak tespit odaklıdır. Cilium Tetragon ise Linux 5.8+ BPF LSM kancalarını kullanarak tespit ettiği saldırıları çekirdek düzeyinde nanosaniyeler içinde SIGKILL veya EPERM ile doğrudan bloke edebilir.
eBPF Ring Buffer nedir ve olay düşmesi (drop rate) nasıl engellenir?
Ring Buffer, Linux çekirdeğindeki eBPF programları ile kullanıcı alanındaki güvenlik ajanının paylaştığı dairesel bellek alanıdır. Saniyede on binlerce sistem çağrısı üreten yoğun sunucularda buffer boyutu 16MB - 64MB aralığına çıkarılarak olay kayıpları önlenir.
Self-hosted eBPF araçları ile ticari CWPP lisanslarından ne kadar tasarruf edilir?
Ticari CWPP çözümleri düğüm başına aylık $45 - $65 lisans ücreti talep eder. 20-50 düğümlük bir kümede bu yıllık $12,000 - $35,000 harcama demektir. Açık kaynaklı Falco ve Tetragon kullanarak aynı güvenlik seviyesini sıfır lisans maliyetiyle elde edebilirsiniz.