وكيل أمني لنقاط النهاية مكتوب بلغة Rust ومستقل، يجمع بين برنامج تشغيل Windows من الحلقة Ring-0 والحجب قبل التنفيذ عبر eBPF في Linux، وكشف YARA، وربط MITRE ATT&CK، ومشاركة التهديدات عبر شبكة P2P متداخلة.
البدء السريع • محرك Siquery-RS بجدول 98 • ميكانيكا استمرارية شبكة العنكبوت • احتواء AgentOctopus متعدد الحلقات • خدمة Windows (OsoosiEDR) • برنامج تشغيل Ring-0 و eBPF • كشف شذوذ الوكيل و EmbeddingGemma 2 • سرب الدفاع الذاتي LangGraph • محرك القرار الهجين • التحليل الجنائي Velociraptor • إعداد DNS و Sysmon • شبكة BFT بين مضيفين • وحدة تحكم RL ذات 6 ركائز • Tarpit النشط وتفريغ الذاكرة • الاختبار العدائي • Canary لمكافحة التعمية • MITRE ATT&CK و ATLAS • مزامنة Wire STIX • استقرار الشبكة • جولة مرئية • تطور WikiSkill • الحوكمة مفتوحة المصدر وخارطة الطريق • مرجع CLI
Ọ̀ṣọ́ọ̀sì (oh-SHAW-aw-see) هو أوريشا اليوروبا للصيد والتتبع والعدالة. في التقليد الكوني اليوروبي، Ọ̀ṣọ́ọ̀sì هو المتتبع الإلهي الذي لا يخطئ هدفه أبدًا — الرامي الذي يجد سهمه هدفه دائمًا. يُستدعى من أجل الدقة، والمطاردة الحثيثة للمذنبين، والإحقاق السريع للعدالة.
هذه هي روح هذا المشروع: وكيل أمني مستقل يطارد التهديدات بدقة لا تخطئ، ويتتبع الخصوم عبر الشبكة المتداخلة، ويحقق عدالة سريعة ومتناسبة من خلال الحجر والعزل والخداع. مثل Ọ̀ṣọ́ọ̀sì، فهو صبور (يراقب السياق، ويفكر قبل الفعل) وحاسم (يتصرف بثقة عندما يكون الهدف واضحًا).
تعمل أدوات أمن نقاط النهاية التقليدية ووكلاء EDR في وضع المستخدم بشكل تفاعلي (بعد التنفيذ). عندما ينفذ خصم شيفرة خبيثة:
ntdll.dll) بسهولة عبر استدعاءات النظام المباشرة (SysWhispers، Hell's Gate)، أو إزالة الخطافات (VirtualProtect)، أو التشفير المبكر لبرامج الفدية في الذاكرة قبل اكتمال التحليل في وضع المستخدم.يلغي OpenỌ̀ṣọ́ọ̀sì نافذة الثغرة هذه جذريًا من خلال الحجب قبل العملية المفروض بالعتاد في مساحة النواة:
driver/windows/): يضع خطافًا على PsSetCreateProcessNotifyRoutineEx. يُنفَّذ رد نداء برنامج التشغيل بشكل متزامن داخل روتين إنشاء العملية في النواة قبل إعادة مقابض العملية إلى وضع المستخدم وقبل أن ينفذ الخيط الأساسي أول تعليمة CPU له. من خلال تعيين CreateInfo->CreationStatus = STATUS_ACCESS_DENIED (0xC0000022)، تُجهض نواة نظام التشغيل إنشاء العملية فورًا.ebpf/): يضع خطافًا على خطاف وحدة الأمن Linux BPF في النواة bprm_check_security (osoosi_bprm_check). عندما يتطابق مسار ثنائي أو تجزئته مع خريطة تجزئة BPF في مساحة النواة، يُرجع الخطاف فورًا -EACCES (-EPERM)، مما يمنع تعيين الثنائي وتنفيذه بالكامل دون الحاجة إلى وحدات نواة خارجية من طرف ثالث.sequenceDiagram
autonumber
participant A as Adversary / Process Caller
participant K as OS Kernel (NTOSKRNL / Linux VFS)
participant D as OpenỌ̀ṣọ́ọ̀sì Kernel Subsystem (Ring-0 / BPF LSM)
participant E as Traditional User-Mode EDR (Sysmon ETW)
participant M as Malicious Binary Payload
rect rgb(255, 235, 235)
Note over A,E: TRADITIONAL USER-MODE EDR (POST-EXECUTION GAP)
A->>K: NtCreateUserProcess("ransomware.exe")
K->>M: Allocates PEB & Launches Initial Thread
M->>M: Executes malicious shellcode / Encrypts files
K-->>E: Asynchronous Sysmon Event 1 (Process Create)
E->>E: User-mode analysis & detection delay
Note over M: Damage inflicted BEFORE EDR can react
end
rect rgb(235, 255, 235)
Note over A,D: OPENỌ̀ṢỌ́Ọ̀SÌ HARDWARE-ENFORCED PRE-OPERATION BLOCKING
A->>K: NtCreateUserProcess("ransomware.exe")
K->>D: Synchronous Kernel Intercept (PsSetCreateProcessNotifyRoutineEx / LSM bprm_check_security)
D->>D: Sub-microsecond Spinlock Path & SHA-256 Rule Match
D-->>K: Set CreationStatus = STATUS_ACCESS_DENIED (0xC0000022) / -EACCES
K-->>A: NTSTATUS 0xC0000022 (Access Denied)
Note over M: Zero CPU instructions executed in user space! PEB discarded.
D->>D: Enqueue Intercept Event in Circular Ring Buffer
end
driver/windows/)برنامج تشغيل Windows Ring-0 (osoosi_driver.sys) هو برنامج تشغيل مرشّح أصلي عالي الأداء يعمل في وضع النواة، مُهندَس بلغة C/NTDDK: