Så fungerar bifrost
Förstå, prioritera, skydda, svara. Det här händer under huven, steg för steg.
Förstå
Driftsätt agenten
Installera bifrost-agenten i dina Kubernetes-kluster med ett Helm-chart. Inga kodändringar. Inga sidecars. Agenten körs som ett DaemonSet på varje nod, och på under 10 minuter får du en första bedömning av vilka CVE:er som går att utnyttja, utifrån dina SBOM:er, CVE-data och varje arbetslasts driftsättningsspecifikation.
Lär in och utvärdera
Lägg till en label och en annotering på en deployment, så börjar bifrost lära sig. Före produktion lär sig bifrost varje nytt bygge: för varje container vilken miljö den körs i och hur den är konfigurerad, vad den innehåller, vilka CVE:er som finns i den (SBOM:en skannas om flera gånger om dagen) och vilka systemanrop, filer och anslutningar den använder för att göra sitt jobb. Sedan utvärderar bifrost beteendet mot sin egen kunskap om hur tjänster byggda på varje ramverk beter sig: den lyfter fram svagheter, även beteende som profilen måste tillåta, och bedömer hur fullständigt arbetslastens beteende har fångats.
Prioritera
Bedöm och prioritera
bifrost läser in SBOM:en för applikationskoden och containerimagen vid varje bygge och korrelerar varje CVE mot det beteende den har lärt sig och utvärderat. Den första bedömningen skärps till ett omdöme per CVE: nåbar, mitigerad av profilen eller aldrig laddad. En vy över alla miljöer och tjänster, utan manuell triagering. Det som når dig är listan över nåbara CVE:er, med bevisen bakom varje omdöme.
Skydda
Generera säkerhetsprofiler
För varje bygge som går till produktion genererar bifrost en skräddarsydd säkerhetsprofil utifrån det inlärda beteendet och sin inbyggda kunskap. Varje profil anger exakt vad just den containerversionen får göra, och inget mer. En ny profil med varje bygge, så det finns inga handskrivna regler att underhålla: manuella regelverk omfattar allt från ~200 till 10 000 regler. Profilerna är läsbara för människor och går att granska i sin helhet.
Aktivera enforce-läget
Skyddet införs stegvis, och ditt team bestämmer när varje arbetslast går vidare: observera medan bifrost lär sig, upptäck för att få avvikelser rapporterade, enforce för att låta kärnan blockera allt som ligger utanför profilen. I enforce-läget blockeras exploits som kräver sådana operationer redan innan det finns en patch, även exploits som ingen har upptäckt än. Patchning behövs fortfarande för det som profilen tillåter. Med varje nytt bygge genererar bifrost en ny profil.
Svara
Nästa CVE, bedömd utifrån det bifrost redan vet
När en ny CVE publiceras bedömer bifrost den utifrån den kontext om arbetslasterna som redan finns, och svaret börjar med skyddsstatus. Om en profil i enforce-läge blockerar det exploiten kräver är CVE:n mitigerad av profilen, med bevisen bifogade, och patchen kan vänta till det vanliga patchfönstret. Sedan kommer omfattningen (vilka tjänster, kluster och miljöer som har den), exponeringen (om koden laddas) och nästa åtgärd, med åtgärdssteg där det behövs. Inget nytt bygge och ingen ny skanning av arbetslasten: varje bygge följs genom alla miljöer, och varje aktiv SBOM skannas om under dagen. Omdömen och blockerade åtgärder går tillbaka till den som skriver nästa ändring, i Slack, Microsoft Teams eller via en webhook.
Upptäckt och skydd i runtime
Skydd grundat i verkligt beteende
Säkerhetsprofilen för varje arbetslast införs i tre lägen, med enforce som mål. Ditt team bestämmer när varje arbetslast går vidare: inlärning före produktion, upptäckt av avvikelser i staging och skydd på kärnnivå i produktion.
Observera.
Nya arbetslaster börjar i läget observera. bifrost lär sig och utvärderar vad arbetslasten gör, och inget blockeras.
Upptäck.
Profilen tillämpas. Avvikelser upptäcks och rapporteras med pod, image och uppgift om vilken åtgärd som försökte utföras, men blockeras inte. Det är ett steg på vägen till enforce-läget, där du stämmer av profilen mot verklig trafik innan du byter läge.
Enforce.
Default-deny. Allt utanför profilen nekas innan det körs och rapporteras som en relevant säkerhetshändelse, med pod, image och uppgift om vilken åtgärd som försökte utföras. Du kan när som helst återgå till läget observera för en arbetslast med en annotering.
I annoteringen heter de tre lägena audit, complain och enforce.
Så är det byggt
bifrost finns där koden körs. Varje arbetslast får en profil som bygger på vad den gör och på bifrosts egen kunskap, och som upprätthålls av kärnan.
- En agent som DaemonSet
- Installeras med Helm. En label och en annotering per arbetslast, och inga kodändringar.
- Skydd på kärnnivå
- Varje säkerhetsprofil är en AppArmor-profil som upprätthålls i kärnan av dess Linux Security Module, inte av en sidecar eller en proxy.
- Under 1 % CPU-overhead
- I produktion, på arbetslasterna den skyddar. Agenten observerar bara beteendesignaler, aldrig applikationsdata.
- Första CVE-bedömningen på under 10 minuter
- Från ett Helm-chart till en första bedömning av vilka CVE:er som går att utnyttja. Den skärps till omdömen allteftersom bifrost lär sig, och varje bygge får en ny profil.
AI bedömer, kärnan upprätthåller. AI bedömer varje arbetslasts beteende för att hitta svagheter, och hur en CVE:s exploit skulle möta det som profilen tillåter. Profilen och skyddet är deterministiska: ingen modell avgör i runtime om en operation får köras.
Teknisk fördjupning
En närmare titt på varje steg i bifrosts pipeline.
Insamling av runtime-data
bifrost-agenten samlar in detaljerade beteendedata: systemanrop (execve, open, connect, bind, mmap), fil-I/O, nätverksaktivitet, processer som startas, miljövariabler och inladdade bibliotek.
Det här samlas inte in:
Applikationsdata, personuppgifter, innehållet i anrop, databasinnehåll och API-svar. Agenten observerar bara beteendesignaler, inte informationsflöden. Uppgifterna aggregeras och anonymiseras.
Under 1 % CPU-overhead i produktion.
SBOM-integration
bifrost läser in SBOM-data för att kartlägga beroendena. Format som stöds: CycloneDX (XML/JSON) och SPDX. Integrationen med SBOM-generatorer sker automatiskt i CI/CD.
SBOM:en ger exakt information om varje beroende, version och känd CVE. bifrost korrelerar den mot runtime-beteendet för att ge varje CVE ett omdöme.
Kontinuerlig omprövning:
Varje aktiv SBOM skannas om under dagen. När CVE-databaserna uppdateras omprövas varje omdöme, utan att du behöver göra ett nytt bygge eller en ny skanning.
Motorn för CVE-korrelation
Varje CVE får exakt ett omdöme. Korrelationsmotorn kommer fram till det i tre steg:
Skanna SBOM:en
Skanna om varje aktiv SBOM under dagen för att hitta CVE:erna i imagen och i koden, per miljö.
Analys av nåbarhet
Stäm av sårbara kodvägar mot det beteende som bifrost har lärt sig och utvärderat. Om ett sårbart bibliotek aldrig anropas eller en funktion aldrig konfigureras är CVE:n aldrig laddad, och omdömet har bevisen bakom sig.
Bedömning av mitigering
AI bedömer hur CVE:ns exploit skulle möta det som profilen tillåter. Om den kräver att en binär körs och profilen inte tillåter det, är CVE:n mitigerad av profilen. Bedömningen ligger till grund för omdömet, och kärnan upprätthåller profilen deterministiskt.
Resultat: varje CVE har ett av tre omdömen:
Nåbar utifrån hur arbetslasten används och inte mitigerad. Kräver uppmärksamhet.
Exploiten kräver något som arbetslasten aldrig gör, och profilen i enforce-läge nekar det innan det körs. Patcha i det vanliga patchfönstret.
Kodvägen körs aldrig, och bevisen visar varför.
Teamen arbetar med listan över nåbara CVE:er, med upp till 90 % färre CVE:er att triagera, och bevisen bakom varje omdöme följer med.
Ett svar, inte ett krismöte
Skyddsstatus först, sedan omfattning och nästa åtgärd. Se hur det fungerar i din miljö: boka en demo på 30 minuter eller prova i ditt eget kluster i 14 dagar.