Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Français
Entry № 120

BPF LSM

Qu'est-ce que BPF LSM ?

BPF LSMModule de securite Linux qui permet a des programmes eBPF verifies de s'attacher aux hooks LSM et d'appliquer des decisions de controle d'acces obligatoire personnalisees sur les appels systeme, les fichiers, les sockets et les capabilities.

BPF LSM (BPF Linux Security Module) a ete integre dans Linux 5.7 (2020), porte par KP Singh et d'autres chez Google. Le framework Linux Security Module definit des centaines de hooks de securite dans le noyau (inode_permission, socket_connect, bprm_check, file_open, capable, etc.) sur lesquels s'appuient les LSM traditionnels SELinux, AppArmor, Smack et Tomoyo. BPF LSM permet a des programmes eBPF verifies de s'attacher a ces memes hooks a l'execution, ce qui transforme la politique en bytecode compile plutot qu'en patches noyau. Des outils comme Cilium Tetragon, KubeArmor et bpfd l'exploitent pour appliquer du MAC — par exemple refuser un execve sur les binaires de /tmp dans un conteneur, ou bloquer un ptrace sur un processus sensible — tout en restant rechargeables a chaud et sensibles aux cgroups. Il complete sans remplacer SELinux et AppArmor.

● Exemples

  1. 01

    Charger via KubeArmor un programme BPF LSM qui refuse l'execve de tout binaire en dehors de /usr/bin dans un pod Kubernetes.

  2. 02

    Utiliser Tetragon pour refuser une tentative de ptrace contre un processus durci via le hook bpf/security_ptrace_access_check.

● Questions fréquentes

Qu'est-ce que BPF LSM ?

Module de securite Linux qui permet a des programmes eBPF verifies de s'attacher aux hooks LSM et d'appliquer des decisions de controle d'acces obligatoire personnalisees sur les appels systeme, les fichiers, les sockets et les capabilities. Cette notion relève de la catégorie Identité et accès en cybersécurité.

Que signifie BPF LSM ?

Module de securite Linux qui permet a des programmes eBPF verifies de s'attacher aux hooks LSM et d'appliquer des decisions de controle d'acces obligatoire personnalisees sur les appels systeme, les fichiers, les sockets et les capabilities.

Comment fonctionne BPF LSM ?

BPF LSM (BPF Linux Security Module) a ete integre dans Linux 5.7 (2020), porte par KP Singh et d'autres chez Google. Le framework Linux Security Module definit des centaines de hooks de securite dans le noyau (inode_permission, socket_connect, bprm_check, file_open, capable, etc.) sur lesquels s'appuient les LSM traditionnels SELinux, AppArmor, Smack et Tomoyo. BPF LSM permet a des programmes eBPF verifies de s'attacher a ces memes hooks a l'execution, ce qui transforme la politique en bytecode compile plutot qu'en patches noyau. Des outils comme Cilium Tetragon, KubeArmor et bpfd l'exploitent pour appliquer du MAC — par exemple refuser un execve sur les binaires de /tmp dans un conteneur, ou bloquer un ptrace sur un processus sensible — tout en restant rechargeables a chaud et sensibles aux cgroups. Il complete sans remplacer SELinux et AppArmor.

Comment se défendre contre BPF LSM ?

Les défenses contre BPF LSM combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Quels sont les autres noms de BPF LSM ?

Noms alternatifs courants : LSM BPF, eBPF LSM.

● Termes liés