A Real-Time eBPF-Based Intrusion Detection Framework for Adaptive and Scalable Linux Kernel Security
DOI:
https://doi.org/10.65405/ee569x23الكلمات المفتاحية:
أمن نواة لينكس، أنظمة كشف الاختراق، تعلم الآلة، المراقبة أثناء التشغيلالملخص
تمثل نواة لينكس (Linux Kernel) سطح هجوم حساسًا للغاية بسبب مستوى الصلاحيات المرتفع الذي تعمل به، مما يجعلها هدفًا شائعًا للهجمات مثل تصعيد الصلاحيات (Privilege Escalation) والتهديدات المستمرة المتقدمة (APTs). تعمل أنظمة كشف الاختراق التقليدية (IDS) غالبًا داخل مساحة المستخدم (User Space) وتعتمد على تقنيات ثابتة أو قائمة على التواقيع (Signature-Based)، مما يحد من قدرتها على رؤية الأنشطة التي تحدث داخل النواة (Kernel-Level Activities).
تقدم هذه الورقة إطار عمل لكشف الاختراقات اللحظي يعتمد على تقنية Extended Berkeley Packet Filter (eBPF). يستخدم النظام برامج eBPF مرتبطة بـ kernel tracepoints وkprobes لالتقاط الأحداث أثناء التشغيل (Runtime Events) مع استهلاك منخفض للموارد، مما يتيح مراقبة دقيقة للنظام دون الحاجة إلى تعديل النواة أو إعادة تشغيل النظام.
يعتمد النظام المقترح على أسلوب كشف قائم على تحليل السلوك (Behavior-Based Detection) باستخدام خصائص سياقية مستخرجة من بيئة التشغيل، بالإضافة إلى استخدام نموذج Random Forest لتصنيف الأنشطة أثناء التشغيل. كما يدعم النظام التكيف الديناميكي للسياسات (Dynamic Policy Adaptation) باستخدام eBPF maps.
تم تقييم النظام باستخدام مجموعة بيانات خاصة تحتوي على حوالي 38,000 حدث تشغيل داخل النواة، تم جمعها من أنشطة طبيعية وسيناريوهات هجومية محكومة. أظهرت النتائج التجريبية دقة بلغت 99.92% وقيمة Recall تساوي 0.99، مع المحافظة على استهلاك للمعالج أقل من 1% أثناء المراقبة المستمرة.
كما تم إجراء تقييم إضافي باستخدام مجموعة البيانات العامة DongTing benchmark dataset، حيث حقق النظام دقة بلغت 99.60%، مما يدل على قدرة جيدة على التعميم عبر بيئات سلوكية مختلفة داخل النواة.
تشير النتائج إلى أن دمج المراقبة المعتمدة على eBPF مع تقنيات تعلم الآلة الخفيفة يوفر نهجًا فعالًا وقابلًا للتوسع لكشف الاختراقات على مستوى نواة لينكس.
التنزيلات
المراجع
[1] S.-Y. Wang and J.-C. Chang, “Design and implementation of an intrusion detection system by using extended BPF in the Linux kernel,” Journal of Network and Computer Applications, vol. 198, p. 103283, 2022.
[2] H. J. Hadi, M. Adnan, Y. Cao, F. B. Hussain, N. Ahmad, M. A. Alshara, and Y. Javed, “iKern: Advanced intrusion detection and prevention at the kernel-level using eBPF,” Technologies, vol. 12, no. 8, p. 122, 2024.
[3] S. Remya, M. J. Pillai, B. Niranjan, and P. M. A. Kumar, “eBPF-based runtime detection of semantic DDoS attacks in Linux containers,” IEEE Access, vol. 13, pp. 1–15, 2025.
[4] B. Gbadamosi et al., “The eBPF runtime in the Linux kernel,” arXiv preprint arXiv:2410.00026, 2024.
[5] M. Bachl, J. Fabini, and T. Zseby, “A flow-based IDS using machine learning in eBPF,” arXiv preprint arXiv:2102.09980, 2021.
[6] G. Duan, Y. Fu, M. Cai, H. Chen, and J. Sun, “DongTing: A large-scale dataset for anomaly detection of the Linux kernel,” Journal of Systems and Software, vol. 203, p. 111745, 2023.
[7] M. A. M. Vieira, M. S. Castanho, R. D. G. Pacífico, E. R. S. Santos, E. P. M. Câmara Júnior, and L. F. M. Vieira, “Fast packet processing with eBPF and XDP: Concepts, code, challenges, and applications,” ACM Computing Surveys, vol. 53, no. 1, pp. 16:1–16:36, 2020.
[8] T. Høiland-Jørgensen et al., “The eXpress data path: Fast programmable packet processing in the Linux kernel,” in Proceedings of the 14th International Conference on Emerging Networking EXperiments and Technologies (CoNEXT), 2018.
[9] J. Gallego-Madrid et al., “Machine learning-powered traffic processing in commodity hardware with eBPF,” Computer Networks, vol. 245, p. 110295, 2024.
[10] J. Zhang, P. Chen, Z. He, H. Chen, and X. Li, “Real time intrusion detection and prevention with neural network in kernel using eBPF,” in Proceedings of the 54th Annual IEEE/IFIP International Conference on Dependable Systems and Networks (DSN), 2024, pp. 416 428.
[11] T. Farasat, J. Kim, and J. Posegga, “SmartX Intelligent Sec: A security framework based on machine learning and eBPF/XDP,” arXiv preprint arXiv:2410.20244, 2024.
[12] The Linux Foundation, “eBPF documentation and refer ence guide,” https://ebpf.io, 2024.
[13] Aqua Security, “Tracee: Runtime security and threat detec tion using eBPF,” https://github.com/aquasecurity/tracee, 2024.
[14] Sysdig, “Falco: Cloud native runtime security,” https://falco.org, 2024.
[15] T. Hara and M. Sasabe, “Practicality of in-kernel/user space packet processing empowered by lightweight neural network and decision tree,” Computer Networks, vol. 240, p. 110188, 2024.
[16] A. Brodzik et al., “Ransomware detection using ma chine learning in the Linux kernel,” arXiv preprint arXiv:2409.06452, 2024.
