Alors on peut se demander le rapport avec un driver, mais il faut bien voir que "driver", c'est utiliser dans le sens "module noyau" pour Windows.
Est ce qu'on peut surveiller une machine sans module noyau ? Oui, mais tu vois pas tout. Sous linux, quand tu utilises systemtap, tu compiles un module que tu lances dans le kernel. Tu veux faire de l'EBPF, tu charge le code dans le kernel. Et sinon, tu peux directement faire un module kernel, comme le fait crowdstrike sur RHEL.
Donc bon, on va pas dire que Linux a une architecture différente.
Mais la question est "est ce que ça doit se passer dans le kernel", ce qui implique de savoir ce que "ça" recouvre exactement. De ce que je comprends, Falcon sensor est un outil de monitoring pour la sécurité. Par exemple, tu as un process qui commence à ouvrir des connexions tcp vers tout ton lan sur tout les ports, la plateforme est censé le voir, et c'est signe soit qu'une machine s'est fait pourrir et que les attaquants scannent le lan, soit qu'un salarié faire n'imp. pour faire ça, faut pouvoir intercepter des appels systémes. Y a qu'un endroit pour faire ça, le kernel.
Donc ça tourne niveau kernel. C'est comme les antivirus, si tu veux scanner avant d'ouvrir un fichier, faut le faire dans le kernel.
La ou ça devient intéressant, c'est que comme le fabricant de l'OS (Microsoft, mais ça marche avec n'importe quoi) et le fabricant de la sonde (ici, Crowdstrike) sont 2 boites séparés, le second ne peux pas compter sur le premier pour faire une solution "intégré". Et même une solution integré, ça n'aide pas sur le fait que les clients veulent quelque chose sur le parc existant (ou l'intégration n'existe pas encore), pas le parc futur.
Et donc pourquoi avoir une sonde ? Parce que ça fait parti des obligations grandissantes en matière de sécurité informatiques.
Être capable de voir que quelqu'un est dans ton lan, ça rentre dans ce périmètre, et on peut remercier les différentes lois comme le RGPD, etc, etc pour ça.
[^] # Re: Microsoft -> CrowdStrike
Posté par Misc (site web personnel) . En réponse au lien Une panne géante de Microsoft paralyse de nombreuses entreprises dans le monde. Évalué à 10.
Parce qu'il y a des méchants pirates.
Alors on peut se demander le rapport avec un driver, mais il faut bien voir que "driver", c'est utiliser dans le sens "module noyau" pour Windows.
Est ce qu'on peut surveiller une machine sans module noyau ? Oui, mais tu vois pas tout. Sous linux, quand tu utilises systemtap, tu compiles un module que tu lances dans le kernel. Tu veux faire de l'EBPF, tu charge le code dans le kernel. Et sinon, tu peux directement faire un module kernel, comme le fait crowdstrike sur RHEL.
Donc bon, on va pas dire que Linux a une architecture différente.
Mais la question est "est ce que ça doit se passer dans le kernel", ce qui implique de savoir ce que "ça" recouvre exactement. De ce que je comprends, Falcon sensor est un outil de monitoring pour la sécurité. Par exemple, tu as un process qui commence à ouvrir des connexions tcp vers tout ton lan sur tout les ports, la plateforme est censé le voir, et c'est signe soit qu'une machine s'est fait pourrir et que les attaquants scannent le lan, soit qu'un salarié faire n'imp. pour faire ça, faut pouvoir intercepter des appels systémes. Y a qu'un endroit pour faire ça, le kernel.
Donc ça tourne niveau kernel. C'est comme les antivirus, si tu veux scanner avant d'ouvrir un fichier, faut le faire dans le kernel.
La ou ça devient intéressant, c'est que comme le fabricant de l'OS (Microsoft, mais ça marche avec n'importe quoi) et le fabricant de la sonde (ici, Crowdstrike) sont 2 boites séparés, le second ne peux pas compter sur le premier pour faire une solution "intégré". Et même une solution integré, ça n'aide pas sur le fait que les clients veulent quelque chose sur le parc existant (ou l'intégration n'existe pas encore), pas le parc futur.
Et donc pourquoi avoir une sonde ? Parce que ça fait parti des obligations grandissantes en matière de sécurité informatiques.
Être capable de voir que quelqu'un est dans ton lan, ça rentre dans ce périmètre, et on peut remercier les différentes lois comme le RGPD, etc, etc pour ça.