SysTrace

Ein Linux-Werkzeug zur Systemaufruf-Überwachung und verhaltensbasierten Sicherheitsanalyse, das ptrace-basiertes Tracing, leichte Namespace-Isolation und Klassifikation durch maschinelles Lernen kombiniert.

SysTrace beobachtet das Laufzeitverhalten eines Zielprogramms auf Systemaufruf-Ebene, extrahiert Verhaltensmerkmale und klassifiziert die beobachtete Aktivität mithilfe eines trainierten Random-Forest-Modells als gutartig oder bösartig. Es ist hauptsächlich in C für Tracing und Isolation auf niedriger Ebene geschrieben, mit einer Python/scikit-learn-Komponente für Klassifikation und Berichterstattung.

Überblick

SysTrace verfolgt einen Zielprozess mithilfe von ptrace und erfasst Systemaufrufe in Bezug auf Dateizugriff, Prozesserstellung, Netzwerkaktivität und Speicheroperationen. Das erfasste Verhalten wird zu Syscall-Statistiken und einem Merkmalsvektor zusammengefasst, der einem trainierten Random-Forest-Klassifikator übergeben wird, um eine Gutartig/Bösartig-Vorhersage zu erzeugen. Die Ergebnisse werden in einem strukturierten HTML-Sicherheitsbericht zusammengestellt.

Das Projekt enthält außerdem eine leichte Sandbox-Schicht auf Basis von Linux-Namespaces, die verwendet wird, um den Zielprozess während des Tracings zu isolieren.

Architektur

Kernfunktionen

Systemaufruf-Tracing

• Basierend auf Linux-ptrace, um Zielprozesse anzuhängen und zu untersuchen, einschließlich Syscall-Argumenten und Registern.
• Verfolgt eine breite Palette von Syscalls in vier Verhaltenskategorien:
  • Dateioperationen — open/openat, read, close, chmod
  • Prozessaktivität — execve, fork, clone, kill
  • Netzwerkaktivität — socket, connect
  • Speicheraktivität — mmap, mprotect

Regelbasierte Erkennung

Heuristische Regeln kennzeichnen verdächtige Verhaltensmuster, darunter:

• Zugriff auf sensible Dateien
• Übermäßige Dateioperationen
• Übermäßige Prozesserstellung
• Verdächtiges Speicherverhalten (z. B. ungewöhnliche mmap/mprotect-Nutzung)
• Verdächtige Netzwerkaktivität

Leichte Sandbox-/Isolationsschicht

Eine Isolationsschicht, die direkt auf Linux-Namespace-Primitiven aufbaut:

• clone() mit CLONE_NEWUSER, CLONE_NEWPID, CLONE_NEWNS
• Mount-Namespace-Konfiguration über MS_PRIVATE
• Root-Dateisystemwechsel mit pivot_root und umount2
• Minimales Root-Dateisystem auf tmpfs-Basis, zur Laufzeit unter /tmp/systrace-root erstellt

Dies bietet eine grundlegende Prozess-, PID- und Mount-Isolation für das getracete Ziel — es ist kein Ersatz für eine Container-Laufzeit.

Maschinelle-Lernen-Klassifikation

• Merkmalsvektoren werden aus Syscall-Statistiken abgeleitet, mit Feldern wie: file, process, network, fork, connect, execve, read, open, close, memory, chmod, kill, label
• Ein RandomForestClassifier (scikit-learn) wird auf diesen Vektoren trainiert, um gutartiges von bösartigem Verhalten zu unterscheiden.
• Das trainierte Modell wird in ml/syscall_model.pkl serialisiert.
• Der DATASET

Berichterstattung

• Strukturierte Ausgabe als features.json (Roh-Feature-Daten) und report.html (menschenlesbarer Bericht).
• Der HTML-Bericht fasst überwachte Aktivität, ausgelöste Sicherheitsregeln/-ereignisse, Syscall-Statistiken und die endgültige ML-Klassifikation zusammen.

Beispiel-Merkmalsvektor

[file, process, network, fork, connect, execve, read, open, close, memory, chmod, kill]
[15,   2,       0,       0,    0,       2,      1,    10,   4,     14,     6,     0]

Technologien

Projektstruktur

linux-syscall-monitor/
├── include/
├── src/
│   ├── tracer.c            # Core ptrace-based syscall tracer
│   ├── syscall.c           # Syscall interception/handling
│   ├── namespace.c         # Namespace/clone setup
│   ├── set_root.c          # pivot_root / minimal rootfs setup
│   ├── file_monitor.c      # File operation monitoring
│   ├── process_monitor.c   # Process creation/execution monitoring
│   ├── network_monitor.c   # Network activity monitoring
│   ├── memory_monitor.c    # Memory-related activity monitoring
│   ├── fd_tables.c         # File descriptor tracking
│   ├── rules.c             # Rule-based detection logic
│   ├── alert.c             # Security alert generation
│   ├── stat.c               # Syscall statistics aggregation
│   └── dataset.c           # Feature vector / dataset generation
├── ml/
│   ├── train.py             # Random Forest training script
│   ├── predict.py           # Classification / inference script
│   └── syscall_model.pkl    # Trained model
├── dashboard/                # Report/dashboard assets
├── tests/
├── Makefile
├── dataset.csv
└── README.md

Einschränkungen

• Die Sandbox ist eine pädagogische, leichte Isolationsschicht — sie ist keine produktionsreife Container-Laufzeit und keine gehärtete Malware-Analyse-Sandbox.
• Die Namespace-Isolation deckt nur Benutzer-, PID- und Mount-Namespaces ab; sie implementiert keine Netzwerk-Namespace-Isolation, kein seccomp-Filtering und keine cgroup-Ressourcenlimits.
• ptrace-basiertes Tracing verursacht beobachtbaren Overhead und kann von hinreichend ausgefeilter Malware erkannt und umgangen werden.
• Der ML-Klassifikator wird auf einem begrenzten Merkmalssatz (aggregierte Syscall-Zählungen) und Datensatz trainiert; die Klassifikationsgenauigkeit hängt von der Qualität und Vielfalt der Trainingsdaten ab.
• Nicht für das Tracing von nicht vertrauenswürdigen oder tatsächlich bösartigen Binärdateien außerhalb einer ordnungsgemäß isolierten Forschungsumgebung vorgesehen.

Sicherheitshinweis

SysTrace ist ein Forschungs- und Lernprojekt, das Linux-Interna, Systemaufruf-Tracing, Namespace-basierte Isolation und verhaltensbasierte Malware-Erkennung mittels maschinellem Lernen untersucht. Es ist kein zertifiziertes oder produktionsreifes Sicherheitswerkzeug und sollte nicht als einzige Verteidigung gegen bösartige Software verwendet werden. Nur in isolierten, kontrollierten Umgebungen einsetzen.

Zweck

Dieses Projekt wurde entwickelt, um Folgendes zu untersuchen und zu demonstrieren:

• Linux-Interna und Systemaufruf-Tracing mit ptrace
• Prozess-, Datei-, Netzwerk- und Speicherüberwachung
• Dateisystem-Isolation mit Linux-Namespaces (clone, pivot_root, Mount-Namespaces)
• Sandbox-Architekturdesign
• Verhaltensbasierte Sicherheitsanalyse
• Anwendung von maschinellem Lernen (Random Forest) auf Klassifikationsprobleme in der Cybersicherheit