hardenedvault/ved-ebpfمراقب أمان نواة تشغيل يعتمد على eBPF، يكتشف الثغرات (exploits) وبرامج الجذور الخفية (rootkits) عبر سلامة تدفق التحكم (wCFI) وكشف تصعيد الامتيازات (PSD) لأنظمة لينكس.
VED-eBPF (الدفاع عن استغلال النواة Vault) يستخدم eBPF (مرشح حزم بيركلي الموسع) لتنفيذ مراقبة أمن النواة في وقت التشغيل وكشف الاستغلال لأنظمة لينكس.
eBPF هي آلة افتراضية داخل النواة تسمح بتنفيذ الكود في النواة دون تعديل مصدر النواة نفسه. يمكن ربط برامج eBPF بنقاط التتبع (tracepoints) و kprobes وأحداث النواة الأخرى لتحليل التنفيذ وجمع البيانات بكفاءة.
يستخدم VED-eBPF تقنية eBPF لتتبع سلوكيات النواة الحساسة أمنياً وكشف الحالات الشاذة التي قد تشير إلى استغلال أو روت كيت. يوفر كشفين رئيسيين:
يقوم VED-eBPF بربط برامج eBPF بوظائف النواة لتتبع تدفقات التنفيذ واستخراج الأحداث الأمنية. تقوم برامج eBPF بإرسال هذه الأحداث عبر مخازن perf المؤقتة إلى مساحة المستخدم للتحليل.
يتتبع wCFI مكدس الاستدعاءات عن طريق الارتباط بالوظائف المحددة في سطر الأوامر. عند كل استدعاء، يقوم بتفريغ المكدس، وتعيين معرف المكدس، والتحقق من عناوين الإرجاع مقابل خريطة بت محسوبة مسبقًا لمواقع الاستدعاء الصالحة المُنشأة من objdump و /proc/kallsyms.
إذا تم اكتشاف عنوان إرجاع غير صالح، مما يشير إلى مكدس تالف، فإنه يُنشئ حدث wcfi_stack_event يحتوي على:
يتم إرسال هذا الحدث الأمني عبر مخازن perf المؤقتة إلى مساحة المستخدم.
كما يتتبع برنامج wCFI eBPF التغييرات في مؤشر المكدس ومنطقة نص النواة للحفاظ على صحة التحقق.
يتتبع PSD التعديلات على بنية بيانات الاعتماد عن طريق الارتباط بوظائف مثل commit_creds و prepare_kernel_cred. عند كل استدعاء، يستخرج معلومات مثل:
يقارن بيانات الاعتماد قبل وبعد الاستدعاء لكشف التغييرات غير المصرح بها. إذا تم اكتشاف تصعيد امتياز غير قانوني، فإنه يُنشئ حدث psd_event يحتوي على حقول بيانات الاعتماد ويُرسله عبر مخازن perf المؤقتة.
يتطلب VED-eBPF:
VED-eBPF حالياً هو إثبات مفهوم يوضح إمكانية كشف استغلال النواة وروت كيت القائم على eBPF. يشمل العمل الجاري:
يظهر VED-eBPF إمكانيات eBPF لبناء مراقبة أمنية فعالة ومنخفضة التكلفة للنواة دون تعديل النواة. من خلال الاستفادة من تتبع eBPF ومخازن perf المؤقتة، يمكن استخراج الأحداث الأمنية الحرجة في الوقت الفعلي وتحليلها لتحديد التهديدات الناشئة للنواة في البيئة السحابية الأصلية.
