Cấu hình eBPF để theo dõi mọi hoạt động thực thi file bất thường trên VPS thời gian thực với Tetragon

1. Đặt vấn đề: Thách thức bảo mật VPS và giới hạn của giải pháp truyền thống

Trong kỷ nguyên số, máy chủ riêng ảo (VPS) là hạ tầng cốt lõi của hàng triệu ứng dụng doanh nghiệp. Tuy nhiên, đây cũng là mục tiêu tấn công hàng đầu của tin tặc. Một trong những dấu hiệu rõ ràng nhất của một cuộc tấn công thành công là việc kẻ tấn công thực thi các tệp tin lạ, các script độc hại hoặc nhị phân (binary) trái phép từ những thư mục nhạy cảm như /tmp hoặc /dev/shm.

Để giám sát vấn đề này, các quản trị viên hệ thống thường tìm đến các công cụ kiểm toán truyền thống như auditd. Mặc dù phổ biến, các giải pháp này bộc lộ những điểm hạn chế chí mạng:

Quá tải hệ năng (Performance Overhead): Auditd hoạt động bằng cách can thiệp sâu vào mọi System Call (syscall) ở tầng nhân (kernel space) rồi đẩy dữ liệu liên tục ra không gian người dùng (user space). Khi tần suất thực thi file lớn, điều này làm suy giảm nghiêm trọng hiệu năng CPU của VPS.
Rủi ro TOCTOU (Time-of-Check to Time-of-Use): Hệ thống giám sát truyền thống thường ghi log sau khi sự kiện đã diễn ra. Điều này tạo ra một khoảng trống thời gian đủ để mã độc kịp xóa dấu vết hoặc thực hiện hành vi phá hoại trước khi quản trị viên nhận được cảnh báo.
Thiếu ngữ cảnh sâu: Việc ghép nối các tiến trình cha - con, xác định nguồn gốc thực thi của các script diễn ra vô cùng phức tạp.

Đó chính là lý do công nghệ eBPF (Extended Berkeley Packet Filter) phối hợp cùng Cilium Tetragon ra đời, tái định nghĩa lại cách thức chúng ta bảo mật và giám sát hệ thống trong thời gian thực.

---

2. eBPF và Cilium Tetragon là gì? Tại sao là giải pháp tối ưu?

eBPF là một công nghệ mang tính cách mạng trong nhân Linux, cho phép lập trình viên chạy các chương trình tùy biến ngay bên trong nhân hệ điều hành mà không cần sửa đổi mã nguồn kernel hay nạp các module rời rạc nguy hiểm. Nhờ hoạt động ở tầng nhân, eBPF có thể quan sát, lọc và xử lý dữ liệu với tốc độ tối đa và độ trễ gần như bằng không.

Cilium Tetragon là một dự án mã nguồn mở mạnh mẽ tối ưu hóa sức mạnh của eBPF cho mục đích an ninh bảo mật (Security Observability) và thực thi chính sách an toàn (Runtime Enforcement). Thay vì đẩy toàn bộ log thô về user space, Tetragon lọc và xử lý các sự kiện ngay tại kernel. Nó theo dõi chặt chẽ vòng đời của tiến trình (process lifecycle) thông qua các điểm móc (hook points) như sched_process_exec hay hệ thống syscall execve.

Lợi ích vượt trội của Tetragon:
- Zero-Overhead thực tế: Tiêu tốn ít hơn 1% tài nguyên CPU của VPS.
- Real-time Enforcement: Có khả năng can thiệp trực tiếp để ngăn chặn (kill tiến trình) ngay lập tức nếu phát hiện vi phạm chính sách bảo mật.
- Nhận biết ngữ cảnh sâu: Cung cấp chính xác thông tin tiến trình cha (ancestry), định danh User ID (UID), và các quyền hạn (capabilities) liên quan.

---

3. Hướng dẫn cài đặt Tetragon trên VPS Linux

Để triển khai Tetragon, VPS của bạn cần sử dụng một bản phân phối Linux hiện đại với phiên bản Kernel từ 5.4 trở lên (khuyến khích Linux Kernel 5.8+ để hỗ trợ đầy đủ tính năng).

Bước 1: Kiểm tra phiên bản Kernel

Hãy chắc chắn hệ thống của bạn đáp ứng điều kiện tiên quyết bằng lệnh:

uname -r

Bước 2: Tải và cài đặt Tetragon phiên bản mới nhất

Tetragon hỗ trợ cài đặt trực tiếp dưới dạng binary rất phù hợp cho môi trường VPS truyền thống (không nhất thiết phải chạy trong Kubernetes). Thực hiện các lệnh sau với quyền root hoặc sudo:

# Định nghĩa phiên bản cần cài đặt
export TETRAGON_VERSION="v1.7.0"

# Tải gói cài đặt
curl -LO "[https://github.com/cilium/tetragon/releases/download/$](https://github.com/cilium/tetragon/releases/download/$){TETRAGON_VERSION}/tetragon-${TETRAGON_VERSION}-amd64.tar.gz"

# Giải nén
tar -xvf tetragon-${TETRAGON_VERSION}-amd64.tar.gz

# Di chuyển vào thư mục và chạy script cài đặt
cd tetragon-${TETRAGON_VERSION}-amd64/
sudo ./install.sh

# Kiểm tra trạng thái dịch vụ
sudo systemctl status tetragon

Sau khi khởi chạy thành công, Tetragon sẽ mặc định ghi lại các sự kiện cơ bản về vòng đời tiến trình. Bạn có thể theo dõi luồng log thời gian thực bằng công cụ CLI tetra đi kèm:

sudo tetra getevents -o compact

---

4. Xây dựng TracingPolicy bảo mật: Theo dõi thực thi file bất thường

Sức mạnh thực sự của Tetragon nằm ở cấu trúc chính sách linh hoạt gọi là TracingPolicy. Chúng ta sẽ tạo một cấu hình giám sát chuyên sâu để phát hiện các hành vi thực thi file bất thường sau đây:

Thực thi bất kỳ file nào từ các thư mục tạm như /tmp, /dev/shm, /var/tmp (đây là hành vi kinh điển của tin tặc khi tải và chạy backdoor).
Thực thi các lệnh can thiệp hệ thống nhạy cảm từ người dùng không phải root.

Tạo file cấu hình TracingPolicy

Hãy tạo một file cấu hình tại đường dẫn /etc/tetragon/tetragon.tp.d/file-execution-monitor.yaml:

apiVersion: cilium.io/v1alpha1
kind: TracingPolicy
metadata:
  name: "detect-suspicious-exec"
spec:
  kprobes:
    - call: "sys_execve"
      syscall: true
      args:
        - index: 0
          type: "string"
      selectors:
        - matchArgs:
            - index: 0
              operator: "Prefix"
              values:
                - "/tmp/"
                - "/dev/shm/"
                - "/var/tmp/"
          matchActions:
            - action: Log

Giải thích chi tiết cấu trúc cấu hình:

kprobes: Tetragon sẽ đặt một điểm giám sát (kernel probe) vào hàm quản lý hệ thống.
call: "sys_execve": Hook trực tiếp vào syscall chịu trách nhiệm thực thi các chương trình/binary trên Linux.
args / index: 0: Đối số đầu tiên của lệnh execve chính là đường dẫn của file đang được yêu cầu thực thi.
selectors / matchArgs: Bộ lọc thông minh thực hiện ngay trong kernel. Chỉ khi đường dẫn file bắt đầu bằng (Prefix) các thư mục nằm trong danh sách values, sự kiện mới được kích hoạt.
matchActions / action: Log: Khi phát hiện, ghi lại sự kiện ra file nhật ký để phân tích.

Sau khi lưu file, hãy khởi động lại dịch vụ Tetragon để áp dụng chính sách mới:

sudo systemctl restart tetragon

---

5. Thử nghiệm thực tế và phân tích Event Logs

Bây giờ, hãy đóng vai một kẻ tấn công đang tìm cách khai thác VPS của bạn để kiểm tra tính hiệu quả của cấu hình.

Kịch bản giả lập tấn công

Đăng nhập vào VPS và cố tình tạo, thực thi một đoạn script ngắn nằm trong thư mục /tmp:

echo '#!/bin/sh\necho "Malicious Code Executed"' > /tmp/backdoor.sh
chmod +x /tmp/backdoor.sh
/tmp/backdoor.sh

Phân tích dữ liệu Tetragon thu thập

Sử dụng lệnh tetra getevents kết hợp định dạng JSON và công cụ lọc jq để xem chi tiết sự kiện ghi nhận được:

sudo tetra getevents | jq 'select(.process_exec.binary | contains("/tmp/"))'

Kết quả trả về sẽ là một cấu trúc JSON giàu ngữ cảnh như dưới đây:

{
  "process_exec": {
    "process": {
      "exec_id": "Z2VuZXJpYy12cHM6NTQzMjE6OTg3NjU=",
      "pid": 54321,
      "uid": 1001,
      "binary": "/tmp/backdoor.sh",
      "arguments": "",
      "flags": "execve",
      "start_time": "2026-05-27T17:20:00Z",
      "parent": {
        "pid": 54300,
        "binary": "/bin/bash",
        "uid": 1001
      }
    }
  }
}

Dựa vào cấu trúc log, chuyên viên bảo mật có thể dễ dàng xác định: Tiến trình cha là gì (/bin/bash), định danh người dùng thực thi trái phép (uid: 1001), mã tiến trình cụ thể (pid) và thời gian chính xác của hành vi xâm nhập.

---

6. Nâng cao: Tự động ngăn chặn hành vi độc hại (Runtime Enforcement)

Chỉ quan sát và ghi log đôi khi là chưa đủ đối với các cuộc tấn công tự động tốc độ cao (như botnet đào tiền ảo hoặc mã hóa dữ liệu ransomware). Tetragon cho phép bạn thay đổi hành động từ Log thành Sigkill để chặn đứng tiến trình vi phạm ngay tại tầng kernel trước khi nó kịp gây hại.

Cập nhật thuộc tính matchActions trong file cấu hình TracingPolicy của bạn như sau:

          matchActions:
            - action: Sigkill

Khi cấu hình này được áp dụng, bất kỳ nỗ lực thực thi file nào từ /tmp sẽ ngay lập tức bị hệ điều hành chấm dứt (Terminated/Killed). Kẻ tấn công sẽ chỉ nhận được thông báo lỗi "Killed" ngắn gọn trên terminal của chúng.

---

7. Tổng kết và Khuyến nghị vận hành sản xuất

Ứng dụng công nghệ eBPF thông qua Cilium Tetragon mang lại giải pháp bảo mật tối tân, toàn diện và có hiệu năng vượt trội cho hệ thống VPS doanh nghiệp. Việc theo dõi thực thi file thời gian thực giúp bạn luôn chủ động trước mọi biến cố an ninh.

Để vận hành Tetragon hiệu quả trong môi trường production, doanh nghiệp cần lưu ý:

Tích hợp SIEM: Cấu hình luồng xuất log của Tetragon (mặc định tại /var/log/tetragon/tetragon.log) về các hệ thống tập trung như ELK Stack, Wazuh hoặc Splunk để thiết lập cảnh báo tự động qua Telegram/Slack.
Kiểm thử kỹ lưỡng: Luôn triển khai chính sách với chế độ action: Log trước từ 1-2 tuần để rà soát các trường hợp loại trừ (False Positive) từ các phần mềm hợp pháp của hệ thống, trước khi chuyển sang chế độ nghiêm ngặt Sigkill.