{"id":100138,"date":"2021-05-11T16:22:58","date_gmt":"2021-05-11T14:22:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows"},"modified":"2021-05-11T16:22:58","modified_gmt":"2021-05-11T14:22:59","slug":"microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/microsoft-podgotovil-realizacziyu-ebpf-dlya-windows","title":{"rendered":"Microsoft heeft een eBPF-implementatie voor Windows voorbereid","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Microsoft heeft een implementatie van de eBPF-subsysteem voor Windows gepubliceerd, waarmee willekeurige handlers kunnen worden uitgevoerd die op het niveau van de besturingssysteemkernel werken. eBPF biedt een ingebouwde bytecode-interpreter in de kernel, die de mogelijkheid biedt om vanuit de gebruikersruimte geladen netwerkbewerkers te cre\u00ebren, de toegang te beheersen en de werking van systemen te volgen. eBPF is opgenomen in de Linux-kernel sinds versie 3.18 en maakt het mogelijk om binnenkomende\/uitgaande netwerkpakketten te verwerken, pakketten te omleiden, de bandbreedte te beheren, systeemaanroepen af te vangen, de toegang te controleren en tracing uit te voeren. Dankzij het gebruik van JIT-compilatie wordt bytecode on-the-fly omgezet in machine-instructies en uitgevoerd met de prestaties van gecompileerde code. De sourcecode van eBPF voor Windows is open onder de MIT-licentie. <\/p>\n
eBPF voor Windows kan worden gebruikt met bestaande eBPF-tools en biedt een standaard API, die wordt gebruikt voor eBPF-toepassingen in Linux. Het project maakt het ook mogelijk om C-code te compileren naar eBPF-bytecode met behulp van de standaard eBPF-compiler op basis van Clang en om al gemaakte eBPF-handlers voor Linux bovenop de Windows-kernel uit te voeren, met een speciale compatibiliteitslaag en het standaard Libbpf-API voor compatibiliteit met applicaties die communiceren met eBPF-programma's. Daarnaast worden er lagen aangeboden die Linux-achtige hooks voor XDP (eXpress Data Path) en socket bind bieden, die de toegang tot de netwerkstack en netwerkdrivers van Windows abstraheren. Van de plannen wordt opgemerkt dat volledige compatibiliteit op het niveau van broncode met typische eBPF-handlers voor Linux zal worden geboden.
<\/center> <\/p>\n
Het belangrijkste verschil in de eBPF-implementatie voor Windows is het gebruik van een alternatieve bytecode-verifier, oorspronkelijk voorgesteld door medewerkers van VMware en onderzoekers van Canadese en Isra\u00eblische universiteiten. De verifier wordt uitgevoerd in een aparte ge\u00efsoleerde proces in de gebruikersruimte en wordt toegepast v\u00f3\u00f3r de uitvoering van BPF-programma's om fouten te detecteren en mogelijke kwaadaardige activiteiten te blokkeren. <\/p>\n
Voor de verificatie in eBPF voor Windows wordt een statische analysemethode toegepast die is gebaseerd op abstracte interpretatie, wat in vergelijking met de eBPF-verificator voor Linux een lagere mate van valse positieven laat zien, ondersteuning biedt voor de analyse van lussen en goede schaalbaarheid biedt. De methode houdt rekening met een verscheidenheid aan typische uitvoeringssjablonen, verkregen op basis van de analyse van bestaande eBPF-programma's. <\/p>\n
Na verificatie wordt de bytecode doorgegeven aan een interpreter die op kernniveau werkt, of het wordt door een JIT-compiler geleid, waarna de resulterende machinecode met kernrechten wordt uitgevoerd. Voor het isoleren van eBPF-handlers op kernniveau wordt het HVCI-mechanisme (HyperVisor-enforced Code Integrity) toegepast, dat virtualisatie gebruikt om processen in de kern te beschermen en integriteit van de uitvoerende code via digitale handtekeningen te bevestigen. Een beperking van HVCI is dat alleen ge\u00efnterpreteerde eBPF-programma's geverifieerd kunnen worden en dat het niet samen met JIT kan worden gebruikt (er is een keuze: ofwel prestaties, ofwel extra bescherming). \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Microsoft](\"\/wp-content\/uploads\/2021\/05\/1daa28968dafec017e92e435fc479cae.png\")
<\/center> <\/p>\n