Zero Trust für Prozesse

Abstract

Moderne IT-Infrastrukturen setzen zunehmend auf das Zero-Trust-Prinzip. Das Prinzip sieht vor, dass ein Kontrollmechanismus jede Interaktion authentisiert und autorisiert. Im Moment findet das Prinzip in erster Linie auf Netzwerkstufe oder Workload-Ebene Anwendung. Auf Stufe Linux respektive auf Stufe Linux-Prozess fehlt ein Kontrollmechanismus, der die beim Laden eines neuen Programmabbilds verwendete ausführbare Datei anhand einer überprüfbaren Identität authentisiert. Es findet standardmässig keine Kontrolle statt, aus welcher Quelle die Datei stammt und ob die Datei vertrauenswürdig ist. Dadurch lassen sich ungewollte oder schädliche Programme schnell starten. Diesem Umstand begegnet diese Arbeit, indem sie untersucht, wie die Idee von Zero Trust auf Prozessebene mit eBPF praktisch umsetzbar ist und wie sich eine solche Umsetzung auf die Performance niederschlägt. In der Umsetzung folgt die Arbeit mit dem “Process Policy Enforcer” (PPE) dem Leitsatz von Zero Trust “Never trust, always verify” und erlaubt nur die Ausführung von Dateien, deren zugehöriger SHA-256-Hashwert ein Nutzer von PPE als vertrauenswürdig einstuft. PPE geht aber noch einen Schritt weiter und schränkt den Zugriff vertrauenswürdiger Prozesse auf sicherheitsrelevante Kerneloperationen ein. PPE arbeitet dazu in zwei Phasen. In einer ersten Phase zeichnet PPE auf, welche Prozesse das System benötigt und welche sicherheitsrelevanten Kerneloperationen diese Prozesse verwenden. Dabei prüft PPE anhand einer externen Quelle, ob die beim Laden eines neuen Programmabbilds verwendete ausführbare Datei gemäss dem Vertrauensmodell des Nutzers vertrauenswürdig ist. In einer zweiten Phase setzt PPE die aufgezeichneten Regeln durch. Dabei setzt PPE auf eine Authentisierung in einem eBPF-Programm und zur Autorisierung auf Tracing-Policies in Tetragon. Die Performanceanalyse zeigt indikativ, dass PPE die Performance insbesondere dann beeinflusst, wenn Workloads häufig neue Programme ausführen oder genau jene Kernelpfade stark belasten, an denen PPE und Tetragon kontrollieren. Für NGINX, Redis und eine Microservice-Demo-Applikation zeigen die Messdaten in den nicht überlasteten Bereichen nur begrenzte Abweichungen. Die Arbeit zeigt, dass Zero Trust auf Prozessebene mit gewissen Performanceeinbussen umsetzbar ist. Zero Trust auf Prozessebene benötigt jedoch ein aktives Management der externen Quelle für die Vertrauenswürdigkeit ausführbarer Dateien, Wiederholungen der ersten Phase von PPE bei Softwareaktualisierungen und eine Löschung von gegebenenfalls kompromittierten Hashwerten aus den Policies.