الفكرة المحورية

Kunai هي أداة قوية مصممة لتوفير رؤى قابلة للتنفيذ لمهام مثل مراقبة الأمان وصيد التهديدات على أنظمة Linux. يمكن اعتبارها النظير لينكس لأداة Sysmon على ويندوز، وهي مصممة خصيصًا لمراقبة أحداث شاملة ودقيقة.

لماذا تتفوق Kunai

• الأحداث المرتبة زمنيًا: يتم معالجة الأحداث وتسليمها بالترتيب الدقيق الذي تحدث به.
• الربط على المضيف: قدرات مدمجة لإثراء الأحداث وربطها لتوفير سياق أعمق.
• متوافقة مع الحاويات: متوافقة تمامًا مع نطاقات الأسماء (namespaces) وتقنيات الحاويات في لينكس، مما يتيح تتبعًا كاملًا لأنشطة الحاويات.

كيف تعمل

تستفيد Kunai من تقنية eBPF (مرشح الحزم الموسع من بيركلي)، مع مجسات على مستوى النواة تلتقط الأحداث الهامة. ترسل هذه المجسات البيانات إلى برنامج في مساحة المستخدم (userland) مسؤول عن مهام مثل إعادة الترتيب والإثراء وربط الأحداث المجمعة.

على جانب التنفيذ، كُتبت Kunai بشكل أساسي بلغة Rust، باستخدام مكتبة Aya القوية. يضمن هذا التصميم ملفًا ثنائيًا قائمًا بذاته، يضم كلًا من مجسات eBPF ومنطق المعالجة في مساحة المستخدم لسهولة النشر.

الأسئلة الشائعة

• هل الأداة متوافقة مع نظام التشغيل/النواة الخاصة بي ؟ : اطلع على صفحة التوافق
• ما نوع الأحداث التي يمكنني الحصول عليها ؟ : يرجى قراءة توثيق الأحداث
• أي إصدار يجب أن أستخدمه ؟: إذا كان الأمر مجرد اختبار للأداة، استخدم أحدث بناء فهو دائمًا الأفضل من حيث الميزات وإصلاح الأخطاء. لكن ضع في اعتبارك أن الأحداث في الإصدارات غير المستقرة قابلة للتغيير.

كيفية بناء المشروع؟

قبل المتابعة، يرجى ملاحظة أن نسخة Kunai مُجمَّعة مسبقًا ومستقلة عن التوزيعة متوفرة في صفحة الإصدارات. إذا كنت تريد ببساطة تجربة Kunai، فربما لا تحتاج إلى بناء المشروع بنفسك.

باستخدام صورة Docker

يمكنك استخدام صورة Docker تحتوي على كل ما تحتاجه لبناء المشروع بسهولة: صورة Docker لبناء Kunai.
هذا الحل الشامل يجب أن يعمل على أي توزيعة لينكس.

فعل كل شيء يدويًا

المتطلبات

قبل أن تتمكن من بناء كل شيء، تحتاج إلى تثبيت بعض الأدوات.

• لبناء العديد من مشاريع Rust (بما في ذلك هذا المشروع)، تحتاج إلى rustup
• لبناء kunai تحتاج إلى: clang وlibbpf-dev وbpf-linker

أمثلة لأوامر تثبيت المتطلبات على Ubuntu/Debian:

sudo apt update
sudo apt install -y clang libbpf-dev lld musl-tools

# بافتراض أن لديك rustup و cargo مثبتين
cargo install bpf-linker

بناء Kunai

بمجرد تثبيت المتطلبات، يصبح كل شيء جاهزًا.

بناء نسخة التصحيح (debug)

cargo build
# ستجد الملف التنفيذي في: ./target/debug/kunai

بناء نسخة الإنتاج

للنشر في الإنتاج، نوصي ببناء ملف ثنائي ثابت باستخدام MUSL:

# بناء ملف ثنائي ثابت للإصدار
cargo build --release --target x86_64-unknown-linux-musl

# سيكون الملف الثنائي الثابت متاحًا في:
./target/x86_64-unknown-linux-musl/release/kunai

لماذا MUSL؟ ينتج MUSL ملفات ثنائية ثابتة أكثر قابلية للنقل عبر توزيعات لينكس المختلفة، مما يتجنب مشاكل الاعتماد على إصدارات glibc. هذا مهم بشكل خاص لنشر الإنتاج حيث قد لا تتحكم في البيئة المستهدفة.

التجميع المتقاطع (Cross-compiling)

aarch64

لتجميع kunai بشكل متقاطع لـ aarch64:

1. أضف هدف aarch64 musl:

   root@kitploit:~

   rustup target add aarch64-unknown-linux-musl
   

2. ثبّت سلسلة أدوات التجميع المتقاطع (مثال Ubuntu/Debian):

   root@kitploit:~

   sudo dpkg --add-architecture arm64
   sudo apt update
   sudo apt install -y git clang libbpf-dev lld musl-tools
   sudo apt install -y crossbuild-essential-arm64 musl-tools:arm64
   

3. قم بالبناء لـ aarch64:

   root@kitploit:~

   cargo build --release --target aarch64-unknown-linux-musl
   

4. سيكون الملف الثنائي المُجمَّع بشكل متقاطع متاحًا في:

   root@kitploit:~

   ./target/aarch64-unknown-linux-musl/release/kunai
   

تحليل الذاكرة

إذا اعتقد أحد أن Kunai بها مشكلة في الذاكرة، إليك طريقة لتحليلها.

# ترجمة kunai مع معلومات التصحيح لجميع الحزم
RUSTFLAGS="-g" cargo build

# استخدام heaptrack
sudo heaptrack kunai

أعمال ذات صلة

Sysmon For Linux: https://github.com/Sysinternals/SysmonForLinux

شكر وتقدير

• شكر لجميع الأشخاص الذين يقفون وراء Aya، هذا الشيء رائع
• شكر خاص لـ @alessandrod و @vadorovsky
• شكر لجميع الأشخاص المعتادين الذين يدعمون دائمًا أفكاري المجنونة

التمويل

مشروع NGSOTI مخصص لتدريب الجيل القادم من مشغلي مراكز العمليات الأمنية (SOC)، مع التركيز على الجانب البشري في الأمن السيبراني. يؤكد المشروع على أهمية تزويد مشغلي SOC بالمهارات اللازمة والأدوات مفتوحة المصدر لمواجهة تحديات مثل هندسة الكشف، الاستجابة للحوادث، وتحليل استخبارات التهديدات. يشمل المشروع شركاء رئيسيين مثل CIRCL وRestena وTenzir وجامعة لوكسمبورغ، ويهدف إلى إنشاء بنية تحتية تشغيلية حقيقية للتدريب العملي. تدمج هذه المبادرة المناهج الأكاديمية مع رؤى الصناعة، وتقدم خبرة عملية في ميادين السيبرانية.

NGSOTI ممول جزئيًا بموجب برنامج أوروبا الرقمية (DEP) عبر المركز الأوروبي للكفاءة في الأمن السيبراني (ECCC).