Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 120

BPF LSM

Was ist BPF LSM?

BPF LSMLinux-Security-Module, mit dem verifizierte eBPF-Programme an LSM-Hooks andocken und benutzerdefinierte MAC-Entscheidungen fur Syscalls, Dateien, Sockets und Capabilities durchsetzen.

BPF LSM (BPF Linux Security Module) wurde in Linux 5.7 (2020) integriert, federfuhrend von KP Singh und anderen bei Google. Das Linux-Security-Module-Framework definiert hunderte Security-Hooks im Kernel (inode_permission, socket_connect, bprm_check, file_open, capable usw.), an die klassische LSMs wie SELinux, AppArmor, Smack und Tomoyo andocken. BPF LSM lasst verifizierte eBPF-Programme zur Laufzeit dieselben Hooks belegen, sodass Policy als kompiliertes Bytecode statt als Kernel-Patch ausgerollt wird. Werkzeuge wie Cilium Tetragon, KubeArmor und bpfd nutzen BPF LSM fur MAC-Kontrollen — etwa Sperren von execve fur /tmp-Binaries in einem Container oder Verhindern von ptrace auf sensible Prozesse — bleiben dabei hot-loadable und cgroup-bewusst. Es erganzt SELinux und AppArmor, ersetzt sie aber nicht.

● Beispiele

  1. 01

    Via KubeArmor ein BPF-LSM-Programm laden, das execve auf Binaries ausserhalb von /usr/bin im Kubernetes-Pod verbietet.

  2. 02

    Mit Tetragon einen ptrace-Versuch gegen einen gehardeneten Prozess am Hook bpf/security_ptrace_access_check abweisen.

● Häufige Fragen

Was ist BPF LSM?

Linux-Security-Module, mit dem verifizierte eBPF-Programme an LSM-Hooks andocken und benutzerdefinierte MAC-Entscheidungen fur Syscalls, Dateien, Sockets und Capabilities durchsetzen. Es gehört zur Kategorie Identität und Zugriff der Cybersicherheit.

Was bedeutet BPF LSM?

Linux-Security-Module, mit dem verifizierte eBPF-Programme an LSM-Hooks andocken und benutzerdefinierte MAC-Entscheidungen fur Syscalls, Dateien, Sockets und Capabilities durchsetzen.

Wie funktioniert BPF LSM?

BPF LSM (BPF Linux Security Module) wurde in Linux 5.7 (2020) integriert, federfuhrend von KP Singh und anderen bei Google. Das Linux-Security-Module-Framework definiert hunderte Security-Hooks im Kernel (inode_permission, socket_connect, bprm_check, file_open, capable usw.), an die klassische LSMs wie SELinux, AppArmor, Smack und Tomoyo andocken. BPF LSM lasst verifizierte eBPF-Programme zur Laufzeit dieselben Hooks belegen, sodass Policy als kompiliertes Bytecode statt als Kernel-Patch ausgerollt wird. Werkzeuge wie Cilium Tetragon, KubeArmor und bpfd nutzen BPF LSM fur MAC-Kontrollen — etwa Sperren von execve fur /tmp-Binaries in einem Container oder Verhindern von ptrace auf sensible Prozesse — bleiben dabei hot-loadable und cgroup-bewusst. Es erganzt SELinux und AppArmor, ersetzt sie aber nicht.

Wie schützt man sich gegen BPF LSM?

Schutzmaßnahmen gegen BPF LSM kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für BPF LSM?

Übliche alternative Bezeichnungen: LSM BPF, eBPF LSM.

● Verwandte Begriffe