Leitmotiv

Kunai ist ein leistungsstarkes Tool, das umsetzbare Erkenntnisse für Aufgaben wie Sicherheitsüberwachung und Threat Hunting auf Linux-Systemen liefern soll. Betrachten Sie es als das Linux-Gegenstück zu Sysmon unter Windows, maßgeschneidert für eine umfassende und präzise Ereignisüberwachung.

Warum Kunai heraussticht

• Chronologisch geordnete Ereignisse: Ereignisse werden in genau der Reihenfolge verarbeitet und ausgegeben, in der sie auftreten.
• On-Host-Korrelation: Integrierte Funktionen zur Ereignisanreicherung und -korrelation für tiefere Kontextinformationen.
• Container-bewusst: Vollständig kompatibel mit Linux-Namespaces und Container-Technologien, ermöglicht die vollständige Verfolgung von Container-Aktivitäten.

So funktioniert es

Kunai nutzt die eBPF-Technologie (Extended Berkeley Packet Filter) mit Kernel-Level-Probes, die kritische Ereignisse erfassen. Diese Probes senden Daten an ein Userland-Programm, das für Aufgaben wie Neuordnung, Anreicherung und Korrelation der gesammelten Ereignisse zuständig ist.

Auf der Implementierungsseite ist Kunai überwiegend in Rust geschrieben und verwendet die robuste Aya-Bibliothek. Dieses Design gewährleistet eine eigenständige, alleinstehende Binärdatei, die sowohl die eBPF-Probes als auch die Userland-Verarbeitungslogik für eine einfache Bereitstellung enthält.

FAQ

• Ist es mit meinem Betriebssystem/Kernel kompatibel? : Schauen Sie auf der Kompatibilitätsseite nach.
• Welche Art von Ereignissen kann ich erhalten? : Bitte lesen Sie die Ereignisdokumentation.
• Welche Version sollte ich verwenden?: Wenn Sie das Tool nur testen möchten, verwenden Sie den neuesten Build, da dieser immer die besten Funktionen und Fehlerbehebungen bietet. Beachten Sie jedoch, dass Ereignisse in nicht stabilen Versionen Änderungen unterliegen können.

Wie baue ich das Projekt?

Bitte beachten Sie, dass eine distributionsunabhängige, vorkompilierte Version von Kunai auf der Release-Seite verfügbar ist. Wenn Sie Kunai einfach nur ausprobieren möchten, müssen Sie das Projekt wahrscheinlich nicht selbst bauen.

Mit einem Docker-Image

Sie können ein Docker-Image verwenden, das alles enthält, was zum einfachen Bauen des Projekts benötigt wird: Kunai-Build-Docker-Image.
Diese Einheitslösung sollte auf jeder Linux-Distribution funktionieren.

Alles von Hand erledigen

Voraussetzungen

Bevor Sie alles bauen können, müssen Sie einige Tools installieren.

• Um viele Rust-Projekte (einschließlich dieses) zu bauen, benötigen Sie rustup
• Um Kunai zu bauen, benötigen Sie: clang, libbpf-dev und bpf-linker

Beispiel für Befehle zur Installation der Voraussetzungen unter Ubuntu/Debian:

sudo apt update
sudo apt install -y clang libbpf-dev lld musl-tools

# unter der Annahme, dass rustup und cargo installiert sind
cargo install bpf-linker

Kunai bauen

Sobald Sie die Voraussetzungen installiert haben, kann es losgehen.

Debug-Version bauen

cargo build
# Ihre ausführbare Datei finden Sie unter: ./target/debug/kunai

Für die Produktion bauen

Für den Produktionseinsatz empfehlen wir, eine statische Binärdatei mit MUSL zu bauen:

# Statische Release-Binärdatei bauen
cargo build --release --target x86_64-unknown-linux-musl

# Die statische Binärdatei ist verfügbar unter:
./target/x86_64-unknown-linux-musl/release/kunai

Warum MUSL? MUSL erzeugt statische Binärdateien, die über verschiedene Linux-Distributionen hinweg portabler sind und Abhängigkeitsprobleme mit glibc-Versionen vermeiden. Dies ist besonders wichtig für den Produktionseinsatz, wenn Sie die Zielumgebung möglicherweise nicht kontrollieren.

Cross-Kompilierung

aarch64

Um Kunai für aarch64 zu cross-kompilieren:

1. Fügen Sie das aarch64-musl-Target hinzu:

   root@kitploit:~

   rustup target add aarch64-unknown-linux-musl
   

2. Installieren Sie die Cross-Kompilierungs-Toolchain (Ubuntu/Debian-Beispiel):

   root@kitploit:~

   sudo dpkg --add-architecture arm64
   sudo apt update
   sudo apt install -y git clang libbpf-dev lld musl-tools
   sudo apt install -y crossbuild-essential-arm64 musl-tools:arm64
   

3. Für aarch64 bauen:

   root@kitploit:~

   cargo build --release --target aarch64-unknown-linux-musl
   

4. Die cross-kompilierte Binärdatei ist verfügbar unter:

   root@kitploit:~

   ./target/aarch64-unknown-linux-musl/release/kunai
   

Speicherprofilerstellung

Falls jemand glaubt, Kunai habe ein Problem mit dem Arbeitsspeicher, gibt es hier eine Möglichkeit, es zu profilieren.

# Kunai mit Debug-Informationen für alle Pakete kompilieren
RUSTFLAGS="-g" cargo build

# heaptrack verwenden
sudo heaptrack kunai

Verwandte Arbeiten

Sysmon For Linux: https://github.com/Sysinternals/SysmonForLinux

Danksagungen

• Danke an alle Leute hinter Aya, dieses Zeug ist einfach großartig
• Besonderer Dank an @alessandrod und @vadorovsky
• Danke an all die üblichen Leute, die immer meine verrückten Ideen unterstützen

Finanzierung

Das NGSOTI-Projekt widmet sich der Ausbildung der nächsten Generation von Security Operation Center (SOC)-Operatoren, mit Fokus auf den menschlichen Aspekt der Cybersicherheit. Es unterstreicht die Bedeutung, SOC-Operatoren mit den notwendigen Fähigkeiten und Open-Source-Tools auszustatten, um Herausforderungen wie Detection Engineering, Incident Response und Threat-Intelligence-Analyse zu bewältigen. Unter Beteiligung wichtiger Partner wie CIRCL, Restena, Tenzir und der Universität Luxemburg zielt das Projekt darauf ab, eine echte operative Infrastruktur für praktische Schulungen aufzubauen. Diese Initiative integriert akademische Lehrpläne mit Brancheneinblicken und bietet praktische Erfahrung in Cyber Ranges.

NGSOTI wird kofinanziert durch das Digital Europe Programme (DEP) über das ECCC (European cybersecurity competence network and competence centre).