eBPF права агента и ограничения

О чём

Предмет проверки — права и системные ограничения агента, который наблюдает за сборкой C/C++ через eBPF. Это не про то, какую систему сборки он понимает (это C C++ build scan make cmake qmake), а про то, при каких привилегиях и в каком окружении захват вообще возможен: версия ядра, поддержка ОС, требуемые capabilities, влияние на сборочный конвейер.

Это самая тонкая тема по объёму подтверждений В исследованных материалах подтверждено лишь то, что C/C++ build scan работает «через агент / eBPF». Конкретные требования к ядру, привилегиям и поддержке отечественных ОС в документации не детализированы. Поэтому ниже почти всё — в разделе «не подтверждено» и в вопросах поставщику. Не домысливаем версии ядра и набор capabilities.

Что подтверждено

• Механизм захвата сборки реализован агентом с использованием eBPF — это подтверждается документацией build scan и материалами демонстрации.
• Агент встраивается в CI/CD; универсальный агент подтверждён для сценариев сборки (GitLab указан как целевой VCS в опроснике Организации).
• Сам факт, что инвентаризация C/C++ опирается на наблюдение за процессом сборки, поставщик подтвердил устно.

Что не подтверждено или ограничено

• Требуемые привилегии агента не детализированы. eBPF-наблюдение за процессами обычно требует повышенных прав (root / специальные capabilities), но конкретный минимальный набор для CodeScoring в материалах не зафиксирован.
• Версия ядра Linux и совместимость eBPF-зонда с ядром, используемым в контуре Организации (в т.ч. отечественные дистрибутивы), не подтверждены.
• Поддержка отечественной ОС для агента отдельно не подтверждена — это прямо вынесено в рекомендуемые правки ТЗ (явно описать ОС, версию ядра, права eBPF).
• Влияние агента на время сборки и совместимость с изолированными/контейнеризованными сборочными окружениями не оценивались.

Риск для ТЗ и эксплуатации Если служба ИБ Организации не готова выдать агенту требуемые привилегии в сборочной среде, либо ядро/ОС не совместимы с eBPF-зондом, ключевой путь инвентаризации C/C++ (build scan) перестаёт работать. Это организационно-технический блокер, который нельзя закрыть на бумаге — только проверкой в целевом окружении.

Что проверить на пилоте

Вопросы и приёмочные проверки - Какой минимальный набор привилегий (root / capabilities) нужен агенту для eBPF build scan? Можно ли без полного root? - Какие версии ядра Linux поддерживаются зондом? Подтверждена ли работа на дистрибутиве и ядре, используемых в контуре Организации? - Поддерживается ли агент на отечественной ОС, заявленной для контура? Получить письменное подтверждение. - Работает ли eBPF-захват внутри контейнеризованной сборки (агент в одном контейнере, сборка в другом)? - Каково влияние на длительность сборки и есть ли деградация на больших проектах? - Зафиксировать процедуру согласования прав агента со службой ИБ Организации до старта пилота.

Связь

• Матрица соответствия требованиям OSA SCA — разрыв № 3 (C/C++ build scan) и рекомендуемая правка ТЗ про права eBPF и ОС.
• C C++ build scan make cmake qmake — что именно агент захватывает на этапе сборки.
• Offline и on-premise архитектура — окружение, в котором развёртывается агент.
• Приемочные сценарии пилота · Вопросы для пилота CodeScoring
• Документация: https://docs.codescoring.ru/en/user-guide/agent/scan-build