Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Português
Entry № 120

BPF LSM

O que é BPF LSM?

BPF LSMModulo de Seguranca do Linux que permite a programas eBPF verificados ligar-se a hooks LSM e aplicar decisoes personalizadas de controlo de acesso obrigatorio sobre syscalls, ficheiros, sockets e capabilities.

O BPF LSM (BPF Linux Security Module) foi integrado no Linux 5.7 (2020), liderado por KP Singh e outros da Google. O framework Linux Security Module define centenas de hooks de seguranca no kernel (inode_permission, socket_connect, bprm_check, file_open, capable, etc.) sobre os quais assentam LSMs tradicionais como SELinux, AppArmor, Smack e Tomoyo. O BPF LSM permite que programas eBPF verificados se liguem a esses mesmos hooks em tempo de execucao, distribuindo a politica como bytecode compilado em vez de patches ao kernel. Ferramentas como Cilium Tetragon, KubeArmor e bpfd usam-no para aplicar controlos MAC — por exemplo, recusar execve de binarios em /tmp num contentor ou bloquear ptrace sobre um processo sensivel — mantendo hot-loading e consciencia de cgroups. Complementa, sem substituir, o SELinux e o AppArmor.

● Exemplos

  1. 01

    Carregar via KubeArmor um programa BPF LSM que recusa execve a binarios fora de /usr/bin dentro de um pod Kubernetes.

  2. 02

    Usar Tetragon para recusar uma tentativa de ptrace contra um processo endurecido via o hook bpf/security_ptrace_access_check.

● Perguntas frequentes

O que é BPF LSM?

Modulo de Seguranca do Linux que permite a programas eBPF verificados ligar-se a hooks LSM e aplicar decisoes personalizadas de controlo de acesso obrigatorio sobre syscalls, ficheiros, sockets e capabilities. Pertence à categoria Identidade e acesso da cibersegurança.

O que significa BPF LSM?

Modulo de Seguranca do Linux que permite a programas eBPF verificados ligar-se a hooks LSM e aplicar decisoes personalizadas de controlo de acesso obrigatorio sobre syscalls, ficheiros, sockets e capabilities.

Como funciona BPF LSM?

O BPF LSM (BPF Linux Security Module) foi integrado no Linux 5.7 (2020), liderado por KP Singh e outros da Google. O framework Linux Security Module define centenas de hooks de seguranca no kernel (inode_permission, socket_connect, bprm_check, file_open, capable, etc.) sobre os quais assentam LSMs tradicionais como SELinux, AppArmor, Smack e Tomoyo. O BPF LSM permite que programas eBPF verificados se liguem a esses mesmos hooks em tempo de execucao, distribuindo a politica como bytecode compilado em vez de patches ao kernel. Ferramentas como Cilium Tetragon, KubeArmor e bpfd usam-no para aplicar controlos MAC — por exemplo, recusar execve de binarios em /tmp num contentor ou bloquear ptrace sobre um processo sensivel — mantendo hot-loading e consciencia de cgroups. Complementa, sem substituir, o SELinux e o AppArmor.

Como se defender contra BPF LSM?

As defesas contra BPF LSM costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Quais são outros nomes para BPF LSM?

Nomes alternativos comuns: LSM BPF, eBPF LSM.

● Termos relacionados