AgentSmith-HIDS

                        --اسم هذا المشروع مستوحى من فيلم - الماتريكس

الإنجليزية | 简体中文

هذا المستودع قديم

الإصدار الحالي: https://github.com/bytedance/Elkeid

حول AgentSmith-HIDS

من الناحية التقنية، AgentSmith-HIDS ليس نظام كشف التسلل القائم على المضيف (HIDS) بسبب نقص محرك القواعد ووظيفة الكشف. ومع ذلك، يمكن استخدامه كـ 'عامل جمع معلومات مضيف' عالي الأداء كجزء من حل HIDS الخاص بك. كانت شمولية المعلومات التي يمكن جمعها بواسطة هذا العامل أحد أهم المقاييس أثناء تطوير هذا المشروع، وبالتالي تم بناؤه ليعمل في حزمة النواة وحقق ميزة كبيرة مقارنة بتلك التي تعمل في حزمة المستخدم، مثل:

• أداء أفضل، يتم جمع المعلومات المطلوبة في حزمة النواة لتجنب إجراءات إضافية مثل اجتياز '/proc'؛ ولتعزيز أداء نقل البيانات، يتم نقل البيانات المجمعة عبر ذاكرة مشتركة بدلاً من netlink.
• يصعب تجاوزها، تم تعزيز جمع المعلومات بواسطة مشغل نواة مصمم خصيصًا، مما يجعل من المستحيل تقريبًا تجاوز الكشف عن البرامج الضارة مثل rootkit، التي يمكنها إخفاء نفسها عمدًا.
• سهل التكامل، تم بناء AgentSmith-HIDS للتكامل مع التطبيقات الأخرى ويمكن استخدامه ليس فقط كأداة أمان ولكن أيضًا كأداة مراقبة جيدة، أو حتى كاشف جيد لأصولك. العامل قادر على جمع المستخدمين والملفات والعمليات واتصالات الإنترنت لك، لذا تخيل عندما تقوم بتكاملها مع CMDB، يمكنك الحصول على خريطة شاملة تتكون من شبكتك ومضيفك وحاوية وأعمالك (حتى التبعيات). ماذا لو كان لديك أيضًا أداة تدقيق قاعدة بيانات في متناول اليد؟ يمكن توسيع الخريطة لتشمل العلاقة بين قاعدة البيانات الخاصة بك ومستخدم قاعدة البيانات والجداول والحقول والتطبيقات والشبكة والمضيف والحاويات وما إلى ذلك. التفكير في إمكانية التكامل مع نظام كشف التسلل الشبكي و/أو استخبارات التهديدات وما إلى ذلك، يمكن أيضًا تحقيق تتبع أعلى. الأمر لا يصبح قديمًا أبدًا.
• حزمة النواة + حزمة المستخدم، يوفر AgentSmith-HIDS أيضًا وحدة حزمة المستخدم، لزيادة توسيع الوظائف عند العمل مع وحدة حزمة النواة.

القدرات الرئيسية لـ AgentSmith-HIDS:

• تقوم وحدة حزمة النواة بربط execve، connect، process inject، create file، DNS query، load LKM السلوكيات عبر Kprobe، وهي أيضًا قادرة على مراقبة الحاويات من خلال التوافق مع Linux namespace.
• تستخدم وحدة حزمة المستخدم وظائف الكشف المضمنة بما في ذلك استعلامات قائمة المستخدمين، قائمة المنافذ المستمعة، قائمة RPM النظام، المهام المجدولة
• مكافحة الجذور الخفية، من: Tyton ، في الوقت الحالي تمت إضافة ميزات PROC_FILE_HOOK، SYSCALL_HOOK، LKM_HIDDEN، INTERRUPTS_HOOK، ولكنها تعمل فقط على Kernel > 3.10.
• مراقبة تغيير بيانات الاعتماد (باستثناء sudo/su/sshd)
• مراقبة تسجيل دخول المستخدم

سيناريوهات/طرق استخدام AgentSmith-HIDS (سيتم إضافتها)

• كيفية كشف الصدفة العكسية بواسطة AgentSmith HIDS

حول التوافق مع إصدارات Kernel

• Kernel > 2.6.25
• AntiRootKit > 3.10

حول التوافق مع الحاويات

المصدر	اسم العقدة
المضيف	hostname
Docker	اسم الحاوية
k8s	اسم البود

تكوين AgentSmith-HIDS

• وحدة حزمة النواة (LKM) ربط الوظائف الرئيسية عبر Kprobe لالتقاط المعلومات المطلوبة.
• وحدة حزمة المستخدم جمع البيانات التي تم التقاطها بواسطة وحدة حزمة النواة، وإجراء المعالجة اللازمة وإرسالها إلى Kafka؛ الاستمرار في إرسال حزمة نبضات القلب إلى الخادم بحيث يمكن التعرف على سلامة العملية؛ تنفيذ الأوامر المستلمة من الخادم.
• خادم العامل (اختياري) إرسال الأوامر إلى وحدة حزمة المستخدم ومراقبة حالة وحدة حزمة المستخدم.

ربط Execve

تم تحقيقه من خلال ربط sys_execve()/sys_execveat()/compat_sys_execve()/compat_sys_execveat()، مثال:

{
    "uid":"0",
    "data_type":"59",
    "run_path":"/tmp",
    "exe":"/opt/ltp/testcases/bin/growfiles",
    "argv":"growfiles -W gf26 -D 0 -b -i 0 -L 60 -u -B 1000b -e 1 -r 128-32768:128 -R 512-64000 -T 4 -f gfsmallio-35861 -d /tmp/ltp-Ujxl8kKsKY ",
    "pid":"35861",
    "ppid":"35711",
    "pgid":"35861",
    "tgid":"35861",
    "comm":"growfiles",
    "nodename":"test",
    "stdin":"/dev/pts/1",
    "stdout":"/dev/pts/1",
    "sessionid":"3",
    "sip":"192.168.165.1",
    "sport":"61726",
    "dip":"192.168.165.128",
    "dport":"22",
    "sa_family":"1",
    "pid_tree":"1(systemd)->1384(sshd)->2175(sshd)->2177(bash)->2193(fish)->35552(runltp)->35711(ltp-pan)->35861(growfiles)",
    "tty_name":"pts1",
    "socket_process_pid":"2175",
    "socket_process_exe":"/usr/sbin/sshd",
    "SSH_CONNECTION":"192.168.165.1 61726 192.168.165.128 22",
    "LD_PRELOAD":"/root/ldpreload/test.so",
    "user":"root",
    "time":"1579575429143",
    "local_ip":"192.168.165.128",
    "hostname":"test",
    "exe_md5":"01272152d4901fd3c2efacab5c0e38e5",
    "socket_process_exe_md5":"686cd72b4339da33bfb6fe8fb94a301f"
}

ربط Bind

تم تحقيقه من خلال ربط sys_bind()، مثال:

{
    "uid":"0",
    "data_type":"49",
    "sa_family":"2",
    "exe":"/usr/bin/python2.7",
    "pid":"109640",
    "ppid":"215496",
    "pgid":"109640",
    "tgid":"109640",
    "comm":"python",
    "nodename":"n225-117-018",
    "sip":"0.0.0.0",
    "sport":"8000",
    "res":"0",
    "sessionid":"30",
    "user":"root",
    "time":"1587540231936",
    "local_ip_str":"10.225.117.18",
    "hostname_str":"n225-117-018",
    "exe_md5":"4f458165a2129ba549f1b6605ee87e74"
}

ربط Connect

تم تحقيقه من خلال ربط tcp_v4_connect()/tcp_v6_connect()/ip4_datagram_connect()/ip6_datagram_connect()، مثال:

{
    "uid":"0",
    "data_type":"42",
    "sa_family":"2",
    "connect_type":"4",
    "dport":"1025",
    "dip":"180.101.49.11",
    "exe":"/usr/bin/ping",
    "pid":"6294",
    "ppid":"1941",
    "pgid":"6294",
    "tgid":"6294",
    "comm":"ping",
    "nodename":"test",
    "sip":"192.168.165.153",
    "sport":"45524",
    "res":"0",
    "sessionid":"1",
    "user":"root",
    "time":"1575721921240",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"735ae70b4ceb8707acc40bc5a3d06e04"
}

ربط استعلام DNS

تم تحقيقه من خلال ربط udp_recvmsg()/udpv6_recvmsg()، مثال:

{
    "uid":"0",
    "data_type":"601",
    "sa_family":"2",
    "dport":"53",
    "dip":"192.168.165.2",
    "exe":"/usr/bin/ping",
    "pid":"6294",
    "ppid":"1941",
    "pgid":"6294",
    "tgid":"6294",
    "comm":"ping",
    "nodename":"test",
    "sip":"192.168.165.153",
    "sport":"53178",
    "qr":"1",
    "opcode":"0",
    "rcode":"0",
    "query":"www.baidu.com",
    "sessionid":"1",
    "user":"root",
    "time":"1575721921240",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"39c45487a85e26ce5755a893f7e88293"
}

ربط إنشاء ملف

تم تحقيقه من خلال ربط security_inode_create()، مثال:

{
    "uid":"0",
    "data_type":"602",
    "exe":"/usr/lib/jvm/java-1.8.0-openjdk-1.8.0.232.b09-0.el7_7.x86_64/jre/bin/java",
    "file_path":"/tmp/kafka-logs/replication-offset-checkpoint.tmp",
    "pid":"3341",
    "ppid":"1",
    "pgid":"2657",
    "tgid":"2659",
    "comm":"kafka-scheduler",
    "nodename":"test",
    "sessionid":"3",
    "user":"root",
    "time":"1575721984257",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"215be70a38c3a2e14e09d637c85d5311",
    "create_file_md5":"d41d8cd98f00b204e9800998ecf8427e"
}

ربط حقن العملية

تم تحقيقه من خلال ربط sys_ptrace()، مثال: