Awesome GitHub RepositoriesRuntime Security Enforcement

Tetragon ist ein auf eBPF basierendes Toolset für Laufzeitsicherheit und Observability, das für Linux- und Kubernetes-Umgebungen entwickelt wurde. Es fungiert als Security-Policy-Manager, Observability-Agent und Enforcement-Engine, die sich in Kernel-Funktionen und Tracepoints einklinkt, um Privilegieneskalationen, Container-Ausbrüche und unbefugte Systemaktivitäten zu erkennen. Das Projekt zeichnet sich durch seine Fähigkeit zur Echtzeit-Durchsetzung auf Kernel-Ebene aus, wodurch bösartige Prozesse synchron beendet oder Rückgabewerte von Funktionen noch vor Abschluss eines Systemaufrufs modifiziert werden können. Es bietet eine tiefe Kubernetes-Integration durch die Synchronisierung von Container-Identitäten und die direkte Zuordnung von Low-Level-Kernel-Ereignissen zu Pods und Namespaces. Die weiteren Funktionen umfassen eine umfassende Systemaufruf-Prüfung (Auditing), die Verfolgung von Netzwerkverbindungen und die Überwachung der Dateiintegrität. Das System unterstützt ein dynamisches Policy-Management und bietet Diagnosetools zur Überwachung der BPF-Performance und Ressourcennutzung. Das Deployment wird in Kubernetes-Clustern über Helm-Charts sowie durch eigenständige Container und native Betriebssystempakete unterstützt.

Dieses Projekt ist eine Bildungsressource, die ein umfassendes Entwicklungs-Tutorial zum Schreiben und Laden von eBPF-Programmen unter Verwendung von C, Go und Rust innerhalb des Linux-Kernels bietet. Es dient als technischer Leitfaden für die Entwicklung benutzerdefinierter Logik zur direkten Ausführung im Kernel. Die Materialien decken spezialisierte Bereiche ab, einschließlich Kernel-Observability und Tracing, Sicherheitsimplementierung für Intrusion-Detection und High-Performance-Network-Engineering für Paketfilterung und Load Balancing. Es enthält zudem dedizierte Handbücher für Linux-Kernel-Tracing und die Verwendung von kprobes, uprobes und tracepoints. Das Projekt umfasst ein breites Spektrum an Funktionsbereichen, wie Kernel-Instrumentierung, Systemüberwachung und Observability, Netzwerkanalyse und Sicherheitsdurchsetzung. Es erstreckt sich zudem auf Hardware-Level-Debugging für GPUs und Treiber sowie auf Low-Level-Systemmanipulation und Ressourcenmanagement.

KubeArmor ist ein Laufzeitsicherheits-Durchsetzungssystem, das zum Schutz containerisierter Workloads und der Host-Infrastruktur entwickelt wurde, indem es unbefugte Prozess-, Datei- und Netzwerkaktivitäten einschränkt. Es funktioniert durch die Bereitstellung leichtgewichtiger Agenten auf Knoten, die Kernel-Level-Interzeption und Linux Security Modules nutzen, um Systemoperationen in Echtzeit zu überwachen und zu blockieren. Durch die Zuordnung dieser Durchsetzungsmaßnahmen zu spezifischen Container- und Pod-Identitäten behält die Plattform eine granulare Zugriffskontrolle innerhalb von Multi-Tenant-Umgebungen bei. Das Projekt zeichnet sich durch ein deklaratives Richtlinien-Orchestrierungs-Framework aus, das hochrangige Sicherheitsabsichten in konsistente, clusterweite Regeln übersetzt. Diese Architektur ermöglicht ein einheitliches Sicherheitsmanagement über verschiedene Umgebungen hinweg, einschließlich virtueller Maschinen, physischer Server und Container-Cluster, und stellt sicher, dass Konfigurationen mit minimalen Berechtigungen unabhängig von der zugrunde liegenden Infrastruktur konsistent angewendet werden. Über die reine Durchsetzung hinaus bietet die Plattform umfassende Beobachtbarkeit durch das Streaming von Telemetriedaten auf Systemebene an externe Analysetools. Sie integriert sich zudem in Entwicklungsworkflows durch Befehlszeilen-Dienstprogramme und automatisierte Tests, wodurch Teams Workload-Konfigurationen vor der Bereitstellung gegen definierte Sicherheitsrichtlinien validieren können. Das Projekt wird als eine Reihe von Agenten vertrieben, die über containerisierte oder hostbasierte Umgebungen hinweg bereitgestellt werden können, um eine kontinuierliche Sicherheitsüberwachung und Incident-Response-Fähigkeiten aufrechtzuerhalten.

Hercules is a security tool designed to protect Lua source code from reverse engineering and unauthorized analysis. It functions as a code transformation engine that secures application logic by applying multiple layers of obfuscation, including control flow manipulation and the wrapping of scripts within a custom virtual machine environment. The project distinguishes itself through a multi-stage pipeline architecture that allows for the development of custom, multi-layered protection strategies. By replacing standard language instructions with custom opcodes and reorganizing linear code into