מיקרוסופט הכינה יישום eBPF עבור Windows

מיקרוסופט פרסמה יישום של תת-המערכת eBPF עבור Windows, המאפשרת לך להפעיל מטפלים שרירותיים הפועלים ברמת ליבת מערכת ההפעלה. eBPF מספק מתורגמן בתים מובנה בתוך הליבה, המאפשר ליצור מטפלי תפעול רשת הטעונים מחלל המשתמש, לשלוט בגישה ולנטר את פעולת המערכות. eBPF נכלל בליבת לינוקס מאז גרסה 3.18 ומאפשר לך לטפל בחבילות רשת נכנסות/יוצאות, העברת מנות, ניהול רוחב פס, יירוט שיחות מערכת, בקרת גישה ומעקב. הודות לשימוש בקומפילציה של JIT, קוד בייט מתורגם תוך כדי תנועה להוראות מכונה ומבוצע עם ביצועים של קוד הידור. eBPF עבור Windows הוא קוד פתוח תחת רישיון MIT.

ניתן להשתמש ב-eBPF עבור Windows עם כלי eBPF קיימים ומספק API גנרי המשמש ליישומי eBPF ב-Linux. בין היתר, הפרויקט מאפשר להדר קוד שנכתב ב-C לתוך eBPF bytecode באמצעות מהדר eBPF הסטנדרטי מבוסס Clang ולהפעיל מטפלי eBPF שכבר נוצרו עבור לינוקס על גבי ליבת Windows, המספקים שכבת תאימות מיוחדת ותומכים ב-Libbpf הסטנדרטי. API עבור תאימות עם יישומים המקיימים אינטראקציה עם תוכניות eBPF. זה כולל שכבות המספקות ווים דמויי לינוקס עבור XDP (eXpress Data Path) ו-socket bind, תוך הפשטה של ​​גישה למחסנית הרשת ולמנהלי ההתקן של Windows. התוכניות כוללות מתן תאימות מלאה לרמת קוד מקור עם מעבדי Linux eBPF סטנדרטיים.

ההבדל העיקרי בין הטמעת eBPF עבור Windows הוא השימוש במאמת bytecode חלופי, שהוצע במקור על ידי עובדי VMware וחוקרים מאוניברסיטאות קנדיות וישראליות. המאמת פועל בתהליך נפרד ומבודד במרחב המשתמש ומשמש לפני הפעלת תוכניות BPF כדי לזהות שגיאות ולחסום פעילות זדונית אפשרית.

לצורך אימות, eBPF עבור Windows משתמש בשיטת ניתוח סטטית המבוססת על פרשנות מופשטת, שבהשוואה לאמת eBPF עבור לינוקס, מדגימה שיעור חיובי שגוי נמוך יותר, תומכת בניתוח לולאות ומספקת מדרגיות טובה. השיטה לוקחת בחשבון דפוסי ביצוע אופייניים רבים המתקבלים מניתוח תוכניות eBPF קיימות.

לאחר האימות, ה-bytecode מועבר למתורגמן הפועל ברמת הקרנל, או עובר דרך מהדר JIT, ולאחר מכן ביצוע קוד המכונה המתקבל עם זכויות ליבה. כדי לבודד מטפלי eBPF ברמת הליבה, נעשה שימוש במנגנון HVCI (HyperVisor-enforced Code Integrity), המשתמש בכלי וירטואליזציה כדי להגן על תהליכים בקרנל ומספק אישור לתקינות הקוד המבצע באמצעות חתימה דיגיטלית. המגבלה של HVCI היא שהוא יכול לאמת רק תוכניות eBPF מפורש ולא ניתן להשתמש בשילוב עם JIT (יש לך בחירה בין ביצועים או אבטחה נוספת).

מקור: OpenNet.ru