Estudo mapeia falhas de integridade nas ferramentas de telemetria de kernel usadas em proveniência forense
Pesquisadores analisam as principais abordagens de captura de telemetria de kernel para sistemas de proveniência de segurança, identificando eBPF como a tecnologia mais promissora e classificando oito sistemas de proveniência e cinco agentes de captura existentes. A conclusão mais relevante é preocupante: a maioria dessas ferramentas não consegue garantir integridade nem disponibilidade dos eventos capturados, o que as torna inadequadas para uso forense em produção.
Sistemas de proveniência buscam registrar de forma confiável a origem, transformação e interação de objetos do sistema operacional — arquivos, processos, conexões de rede — justamente o tipo de trilha de auditoria que um perito precisa reconstruir durante uma investigação de comprometimento. Este artigo científico faz um levantamento sistemático das abordagens de captura de telemetria em nível de kernel que alimentam esses sistemas, comparando seu desempenho e a granularidade dos mecanismos de filtragem disponíveis, como restringir a captura a um container específico em ambientes multi-tenant.
Dentre as abordagens analisadas (que tipicamente incluem módulos de kernel customizados, auditd/Linux Audit Framework, e frameworks baseados em eBPF), os autores concluem que eBPF é a tecnologia mais promissora, complementando essa conclusão com microbenchmarks próprios de sobrecarga de performance. eBPF permite instrumentar pontos de interesse no kernel sem recompilar ou substituir módulos, com overhead relativamente baixo — características que já o tornaram a base de ferramentas de segurança e observabilidade amplamente adotadas no mercado (ex.: Falco, Tetragon).
A partir dessa análise, o estudo classifica oito sistemas de proveniência acadêmicos/industriais e cinco agentes de captura que poderiam servir de camada de coleta para esses sistemas, avaliando-os segundo as abordagens de captura e os métodos de filtragem estudados anteriormente. Essa taxonomia é útil porque mapeia um espaço de ferramentas heterogêneo — cada uma feita sob premissas próprias — em um framework comparável.
O achado mais importante para quem trabalha com forense digital e resposta a incidentes é o alerta de integridade: segundo os autores, a maioria das ferramentas estudadas não consegue garantir que os eventos capturados sejam íntegros (não adulteráveis por um atacante com privilégios no host) nem que estejam disponíveis de forma confiável (sem perda de eventos sob carga ou ataque ativo) — dois requisitos básicos para que uma trilha de proveniência sirva como evidência forense defensável. Na prática, isso significa que peritos e equipes de IR que dependem de logs de proveniência baseados nessas ferramentas devem tratar esses dados como indício de investigação, e não como prova íntegra por si só, até que a cadeia de custódia técnica dessas capturas amadureça.