El Berkeley Packet Filter (BPF) o Berkeley Filter puede ser de utilidad para todos los sistemas operativos similares a Unix como, por ejemplo, Linux. La principal tarea de esta “máquina virtual para fines especialesˮ desarrollada en 1992 es filtrar los paquetes de datos de las redes e integrarlos en el núcleo del sistema operativo. El BPF forma una interfaz de capas de seguridad de la unidad de datos o de los programas. Estas capas de seguridad tienen la función de garantizar la transmisión fiable de paquetes de datos y regular el acceso a estos paquetes.
Si uno de estos paquetes de datos llega al destinatario, el BPF lee los datos de las capas de seguridad del paquete y busca errores. De este modo, el destinatario puede resolverlos. Asimismo, permite comparar los datos con las definiciones de los filtros y así aceptar o rechazar un paquete que no se considere pertinente. Esto puede ahorrar mucha capacidad de computación.
Para realizar sus funciones, el Berkeley Packet Filter se integró como un intérprete de código máquina dentro de una máquina virtual. Como resultado, el BPF ejecuta unas instrucciones en formato predefinido. Como intérprete, Berkeley Filter lee los archivos de origen, los analiza y ejecuta sus instrucciones sucesivamente. Traduce las instrucciones en código máquina para permitir la ejecución directa.
Berkeley Filter utiliza las llamadas al sistema (SysCalls), que son llamadas a funciones específicas del sistema, listas para ser utilizadas, para hacer peticiones al núcleo del sistema operativo, también llamado núcleo. Este se encarga de comprobar los derechos de acceso antes de confirmar o rechazar la solicitud. Entre las aproximadamente 330 SysCalls de Linux están las siguientes:
Como el BPF está en constante desarrollo, hoy en día funciona como una máquina universal y virtual directamente en el núcleo del sistema operativo, donde tiene lugar todo el procesamiento y la organización de los datos. Con muchas nuevas características, el filtro se conoce como Extended BPF o por su abreviatura eBPF. Con esto, puede ejecutar cualquier código intermedio (código de bytes) de forma segura y durante el tiempo de ejecución (compilación just in time) directamente en el núcleo operativo. Extended BPF funciona en el núcleo operativo dentro de un entorno de pruebas y por lo tanto está protegido. Este entorno de pruebas, conocido también como sandbox o caja de arena, ayuda a minimizar el riesgo de que el sistema afecte negativamente a la lógica del núcleo operativo.
El Berkeley Filter puede funcionar tanto en modo núcleo (acceso máximo a los recursos de la máquina) como en modo usuario (acceso limitado a los recursos de la máquina).
El eBPF permite filtrarlos paquetes de datos para evitar que los datos irrelevantes ralenticen el rendimiento de tu PC. Así, los registros de datos inutilizables o defectuosos pueden ser rechazados o reparados desde el principio. Además, Extended BPF proporciona mayor seguridad gracias a las llamadas al sistema, ya que permite medir fácilmente el rendimiento o realizar un seguimiento con las llamadas al sistema.
En 2007 la implementación de BPF se amplió con las Zero Copy buffer extensions. Estas extensiones permiten a los controladores de los dispositivos guardar los paquetes de datos recibidos directamente en el programa sin tener que copiar los datos primero.
En el modo de usuario, se pueden definir filtros individuales para la interfaz de Berkeley Filter en cualquier momento. Anteriormente, los códigos correspondientes se escribían a mano y se traducían a un código de bytes BPF. Hoy en día, gracias al Compilador de Clang LLVM, los códigos de bytes se pueden compilar directamente.
Las bibliotecas del núcleo operativo también contienen programas de ejemplo que simplifican la definición de los programas de eBPF. Existen también varias funciones de ayuda que te facilitarán la tarea.
La ejecución de llamadas al sistema en el núcleo siempre está asociada a algunos riesgos de seguridad y estabilidad. Antes de que se cargue una llamada al sistema de eBPF, esta debe pasar una serie de comprobaciones:
Los tipos de SysCall tienen estas cuatro funciones aproximadamente: dónde se puede adjuntar el programa, a qué funciones de ayuda del núcleo se puede acceder, si se puede acceder directamente a los datos de los paquetes de red o no, y qué tipo de objeto se pasa con prioridad en una llamada al sistema.
En la actualidad, los siguientes tipos de SysCall de eBPF son compatibles con el núcleo:
Existen numerosas suposiciones acerca de Linux – por ejemplo, que estos sistemas operativos son mucho más seguros que Windows, pero también mucho más complicados. Por esto, es común que cientos de usuarios aún no usen sistemas de código abierto en sus ordenadores personales, sino que por el contrario, el uso de Linux se haya extendido hacia el campo de los servidores. ¿En qué consiste realmente...
Si gestionas tu propio servidor o alquilas uno tendrás que encargarte de protegerlo frente a caídas y accesos no autorizados. Para ello, se puede comenzar con la configuración del servidor, pero siempre y cuando tengas los derechos de administrador necesarios. En especial en el caso de conexiones remotas cifradas con el protocolo SSH, la configuración correcta puede ser tu arma secreta y aumentar...
En Linux, todas las acciones que se pueden ejecutar en una interfaz gráfica de usuario con ratón y monitor se pueden llevar a cabo también en una consola con comandos, siempre y cuando se conozca la orden adecuada y su sintaxis. Para facilitarte la introducción en el trabajo con el terminal, hemos elaborado un listado con los comandos básicos de Linux que incluye una detallada descripción y...
DevSecOps es el enfoque más adecuado para conseguir una gran velocidad en el desarrollo de software sin tener que renunciar a la seguridad: con DevSecOps, las cuestiones de seguridad se integran directamente en el proceso de desarrollo. Te revelamos sus ventajas y desventajas y te presentamos diferentes formas de implementarlo.
Ofrece un servicio fiable y de alto rendimiento a tus clientes con un pack hosting de IONOS.
Ver packs
