{"id":100138,"date":"2021-05-11T16:22:58","date_gmt":"2021-05-11T14:22:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows"},"modified":"2021-05-11T16:22:58","modified_gmt":"2021-05-11T14:22:59","slug":"microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","title":{"rendered":"Microsoft ha preparado la implementaci\u00f3n de eBPF para Windows.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La empresa Microsoft ha publicado una implementaci\u00f3n del subsistema eBPF para Windows, que permite ejecutar controladores arbitrarios que operan a nivel del n\u00facleo del sistema operativo. eBPF proporciona un int\u00e9rprete de bytecode incorporado en el n\u00facleo, que permite crear controladores de operaciones de red que se cargan desde el espacio de usuario, controlar el acceso y rastrear el rendimiento del sistema. eBPF se incluye en el n\u00facleo de Linux desde la versi\u00f3n 3.18 y permite procesar paquetes de red entrantes\/salientes, redirigir paquetes, gestionar el ancho de banda, interceptar llamadas al sistema, controlar el acceso y realizar trazas. Gracias a la aplicaci\u00f3n de la compilaci\u00f3n JIT, el bytecode se traduce en tiempo real a instrucciones de m\u00e1quina, ejecut\u00e1ndose con el rendimiento de un c\u00f3digo compilado. Los c\u00f3digos fuente de eBPF para Windows est\u00e1n disponibles bajo la licencia MIT. <\/p>\n
eBPF para Windows puede ser utilizado con herramientas ya existentes para trabajar con eBPF y proporciona una API t\u00edpica aplicada a aplicaciones eBPF en Linux. El proyecto tambi\u00e9n permite compilar el c\u00f3digo escrito en C en bytecode eBPF mediante el compilador por defecto de eBPF basado en Clang y ejecutar los controladores eBPF ya creados para Linux sobre el n\u00facleo de Windows, proporcionando una capa de compatibilidad especial y soportando la API est\u00e1ndar Libbpf para compatibilidad con aplicaciones que interact\u00faan con programas eBPF. Tambi\u00e9n se ofrecen capas que proporcionan hooks similares a Linux para XDP (eXpress Data Path) y socket bind, abstraiendo el acceso al stack de red y a los controladores de red de Windows. Entre los planes se destaca proporcionar compatibilidad total a nivel de c\u00f3digo fuente con controladores eBPF t\u00edpicos de Linux.
<\/center> <\/p>\n
La diferencia clave de la implementaci\u00f3n de eBPF para Windows es el uso de un verificador de bytecode alternativo, originalmente propuesto por empleados de VMware y por investigadores de universidades canadienses e israel\u00edes. El verificador se ejecuta en un proceso aislado separado en el espacio de usuario y se aplica antes de ejecutar programas BPF para detectar errores y bloquear posibles actividades maliciosas. <\/p>\n
Para la verificaci\u00f3n en eBPF para Windows se aplica un m\u00e9todo de an\u00e1lisis est\u00e1tico basado en la interpretaci\u00f3n abstracta, que en comparaci\u00f3n con el verificador eBPF para Linux muestra un nivel m\u00e1s bajo de falsos positivos, admite el an\u00e1lisis de bucles y proporciona una buena escalabilidad. El m\u00e9todo considera m\u00faltiples patrones de ejecuci\u00f3n t\u00edpicos, obtenidos a partir del an\u00e1lisis de programas eBPF existentes. <\/p>\n
Despu\u00e9s de la verificaci\u00f3n, el bytecode se env\u00eda al int\u00e9rprete que opera a nivel del n\u00facleo, o se pasa a trav\u00e9s del compilador JIT para su posterior ejecuci\u00f3n del c\u00f3digo de m\u00e1quina resultante con privilegios de n\u00facleo. Para la aislamiento de los manejadores eBPF a nivel del n\u00facleo se utiliza el mecanismo HVCI (Integridad de C\u00f3digo Aplicada por el Hipervisor), que emplea herramientas de virtualizaci\u00f3n para proteger los procesos en el n\u00facleo y asegurar la validez del c\u00f3digo ejecutable a trav\u00e9s de una firma digital. Una limitaci\u00f3n del HVCI es la posibilidad de verificar solo programas eBPF interpretativos y la imposibilidad de usarlo junto con JIT (se proporciona la opci\u00f3n \u2014 o rendimiento, o protecci\u00f3n adicional). \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Microsoft](\"\/wp-content\/uploads\/2021\/05\/1daa28968dafec017e92e435fc479cae.png\")
<\/center> <\/p>\n