eBPF Forensic Tools
De extended Berkeley Packet Filter (eBPF) is een relatief nieuwe technologie die het mogelijk maakt om gesandboxte programma’s in kernel mode uit te voeren zonder de kernel zelf aan te passen. Hoewel deze technologie veel voordelen biedt, kan zij ook worden misbruikt door kwaadwillende partijen. Vanuit security perspectief is het daarom essentieel om aanvallen te kunnen detecteren die gebruikmaken van eBPF.
Detectie van kwaadaardig gebruik van eBPF
De forensische tool Volatility kan worden ingezet om kwaadaardig gebruik van eBPF door aanvallers te detecteren in memory dumps. Tot op heden was er echter onvoldoende evaluatie om aan te tonen dat Volatility in staat is om alle mogelijke eBPF-gerelateerde aanvallen te detecteren. Case en Richard III voerden eerder onderzoek uit met als doel het detecteren van system calls van eBPF-programma’s met behulp van Volatility. Dit onderzoek bouwt voort op hun werk door te evalueren hoe goed Volatility een verfijnde aanval kan detecteren die eBPF misbruikt.
Verbeteren van Volatility voor eBPF-detectie
Indien werd vastgesteld dat Volatility de aanval niet correct kon detecteren, was het doel om een plugin voor Volatility te ontwikkelen die dit wel mogelijk maakt. Daarnaast zijn er andere forensische tools die potentieel geschikt zijn voor het detecteren van eBPF-aanvallen. Daarom richtte dit onderzoek zich ook op de evaluatie van een alternatieve tool, zoals de Crash utility van Red Hat, en op een vergelijking met Volatility.
Detectie van eBPF-aanvallen
Het kernprobleem dat in dit onderzoek wordt behandeld, is dat eBPF een relatief nieuwe technologie is, waardoor er beperkt onderzoek beschikbaar is naar de effectiviteit van Volatility bij het detecteren van eBPF-aanvallen. Omdat eBPF gebruikers in staat stelt om code direct in de kernel uit te voeren, kan deze technologie worden misbruikt door aanvallers. Dit vormt een ernstig risico, aangezien zij daarmee directe toegang kunnen krijgen tot alle resources van het systeem. Om die reden is het van groot belang dat aanvallen die gebruikmaken van eBPF betrouwbaar kunnen worden gedetecteerd met memory dump inspection tools zoals Volatility.
Evaluatie van detectiecapaciteiten
Het onderzoek richtte zich op het evalueren van Volatility’s vermogen om een aanval te detecteren die eBPF exploiteert. Wanneer Volatility de aanval niet adequaat kon detecteren, was het doel om dit tekort te verhelpen door de plugin-set van Volatility uit te breiden.
Vergelijking tussen Volatility en Red Hat Crash
Daarnaast had het onderzoek als doel om Volatility te vergelijken met een andere forensische tool, zoals Red Hat Crash, om een breder inzicht te bieden in de sterke en zwakke punten van deze tools in de context van eBPF-aanvallen.
Resultaten en bijdragen
In deze studie is geprobeerd een bestaande aanval die eBPF misbruikt te detecteren met behulp van Volatility, en is geëvalueerd hoe effectief de tool hierin was. Op basis van de bevindingen zijn verbeterpunten geïdentificeerd. Bovendien draagt dit onderzoek bij aan het verbeteren van de detectie van eBPF-exploits en aan het verhogen van de algehele systeembeveiliging door middel van forensische tools.
