Seminar Tetragon – Architektur und eBPF-Grundlagen

Das Seminar ordnet Tetragon technisch ein und vermittelt die Grundlagen, die für belastbare Beobachtungs- und Durchsetzungsregeln erforderlich sind. Der Schwerpunkt liegt auf dem Zusammenspiel von Linux-Kernel, eBPF-Programmen, Sensoren, Ereignisexport und Richtlinienauswertung.

Die Inhalte verbinden konzeptionelles Verständnis mit systematischer Analyse. Dadurch lassen sich spätere Policies nicht nur nach Vorlage erstellen, sondern hinsichtlich Wirkung, Reichweite, Datenmenge und Betriebsrisiko begründen.

Inhaltsverzeichnis

• Lernziele
• Seminarinhalte
• Schritt 1: Linux-Kernel und Sicherheitsbeobachtung einordnen
• Schritt 2: eBPF-Bausteine verstehen
• Schritt 3: Tetragon-Komponenten zuordnen
• Schritt 4: Ereignis- und Prozessmodell analysieren
• Schritt 5: Hook-Punkte methodisch auswählen
• Schritt 6: Datenfluss und Export bewerten
• Schritt 7: Sicherheits- und Betriebsgrenzen bestimmen
• Schritt 8: Referenzarchitektur dokumentieren
• Praxisübungen
• Zielgruppe
• Voraussetzungen

Lernziele

• die Komponenten und Datenflüsse einer Tetragon-Installation erklären
• eBPF-Programme, Maps, Verifier und Hook-Punkte fachlich einordnen
• Prozess-, Container- und Kubernetes-Kontext in Ereignissen unterscheiden
• geeignete Beobachtungspunkte für konkrete Sicherheitsfragen auswählen
• technische Grenzen, Performancefolgen und Fehlerszenarien früh erkennen

Seminarinhalte

Schritt 1: Linux-Kernel und Sicherheitsbeobachtung einordnen

Kernel-Space, User-Space, Systemaufrufe und Prozesslebenszyklen werden als Ausgangspunkt strukturiert.

• Die Unterschiede zwischen periodischer Abfrage, Audit-Protokollierung und ereignisnaher Kernel-Beobachtung werden herausgearbeitet.
• Sicherheitsfragen werden in messbare technische Signale übersetzt.

Schritt 2: eBPF-Bausteine verstehen

Programme, Maps, Hilfsfunktionen, Verifier und Attachments werden anhand eines vollständigen Datenflusses erläutert.

• Lebensdauer, Kontextgrenzen und Datentypen werden hinsichtlich Policy-Entwurf und Fehlersuche bewertet.
• Die Trennung zwischen Beobachtung und Reaktion wird technisch begründet.

Schritt 3: Tetragon-Komponenten zuordnen

Agent, Operator, Sensoren, Exportpfade, CLI und Richtlinienobjekte werden in einer Referenzarchitektur angeordnet.

• Kommunikationswege und Verantwortungsgrenzen werden für Kubernetes- und Standalone-Betrieb verglichen.
• Konfigurationsorte und typische Betriebsabhängigkeiten werden dokumentiert.

Schritt 4: Ereignis- und Prozessmodell analysieren

Prozessstart, Prozessende, Eltern-Kind-Beziehungen, Binärdatei, Argumente, Identitäten und Namespaces werden untersucht.

• Container- und Workload-Metadaten werden vom reinen Linux-Prozesskontext abgegrenzt.
• Unvollständige oder verspätete Kontextinformationen werden als Auswertungsrisiko behandelt.

Schritt 5: Hook-Punkte methodisch auswählen

Systemaufrufe, Kernel-Funktionen, Tracepoints, LSM-Punkte und User-Space-Hooks werden nach Stabilität und Aussagekraft verglichen.

• Für typische Anforderungen werden Beobachtungspunkt, Argumente, Rückgabewerte und Filterbedarf abgeleitet.
• Redundante oder zu breite Instrumentierung wird vermieden.

Schritt 6: Datenfluss und Export bewerten

Vom Kernel-Ereignis bis zur Ausgabe werden Pufferung, Anreicherung, Filterung und Serialisierung nachvollzogen.

• Verlust, Drosselung, Rückstau und hohe Kardinalität werden als Betriebsindikatoren eingeordnet.
• Für verschiedene Verbraucher werden geeignete Ausgabestrukturen festgelegt.

Schritt 7: Sicherheits- und Betriebsgrenzen bestimmen

Kernel-Version, Funktionsverfügbarkeit, Berechtigungen, Container-Laufzeit und Hostkonfiguration werden geprüft.

• Fehlannahmen bei Namespace-, Identitäts- und Pfadauflösung werden anhand von Gegenbeispielen untersucht.
• Ein technischer Entscheidungsrahmen für produktionsreife Policies wird erstellt.

Schritt 8: Referenzarchitektur dokumentieren

Eine Zielarchitektur mit Datenquellen, Policy-Verantwortung, Export, Monitoring und Änderungsprozess wird entwickelt.

• Abhängigkeiten und Ausfallwirkungen werden in einer übersichtlichen Betriebsdarstellung festgehalten.
• Die Architektur wird gegen vorgegebene Sicherheits- und Verfügbarkeitsanforderungen geprüft.

Praxisübungen

1. Ereignispfad eines Prozessstarts vom Kernel bis zum Export nachvollziehen
2. mehrere Hook-Punkte für dieselbe Sicherheitsfrage bewerten und begründet auswählen
3. Prozess- und Kubernetes-Kontext in Beispieldaten auseinanderhalten
4. eine kleine Referenzarchitektur mit Betriebs- und Sicherheitsgrenzen erstellen

Zielgruppe

Linux- und Kubernetes-Administratoren, Plattformteams, Security Engineers, DevSecOps-Verantwortliche und technische Architekten.

Voraussetzungen

Sichere Linux-Grundkenntnisse, Verständnis von Prozessen und Containern sowie grundlegende Kubernetes-Kenntnisse.