# Verificar la configuración actual del kernel
zcat /proc/config.gz 2>/dev/null || cat /boot/config-$(uname -r)

CONFIG_BPF=y
CONFIG_BPF_SYSCALL=y
CONFIG_BPF_LSM=y
CONFIG_DEBUG_INFO_BTF=y

# Verificar si BPF LSM está activo
cat /sys/kernel/security/lsm
# Debería incluir "bpf" en la lista

# Si no, agregar a los parámetros de arranque del kernel:
# Editar /etc/default/grub y añadir a GRUB_CMDLINE_LINUX:
#   lsm=lockdown,capability,landlock,yama,apparmor,bpf

# Luego actualizar grub y reiniciar:
sudo update-grub
sudo reboot

# Crear un script para habilitar BPF LSM
cat > /tmp/enable_bpf_lsm.sh << 'EOF'
#!/bin/bash
GRUB_FILE="/etc/default/grub"
if grep -q "lsm=" "$GRUB_FILE"; then
    sudo sed -i 's/lsm=[^""]*/lsm=lockdown,capability,landlock,yama,apparmor,bpf/' "$GRUB_FILE"
else
    sudo sed -i 's/GRUB_CMDLINE_LINUX="\(.*\)"/GRUB_CMDLINE_LINUX="\1 lsm=lockdown,capability,landlock,yama,apparmor,bpf"/' "$GRUB_FILE"
fi
sudo update-grub
echo "BPF LSM habilitado. Por favor, reinicie."
EOF
chmod +x /tmp/enable_bpf_lsm.sh
sudo /tmp/enable_bpf_lsm.sh

# Instalar Rust
curl --proto '=https' --tlsv1.2 -sSf https://sh.rustup.rs | sh

# Instalar dependencias de compilación (Ubuntu/Debian)
sudo apt-get install -y clang llvm libelf-dev linux-headers-$(uname -r)

# Instalar target BPF para Rust
rustup target add bpfel-unknown-none

cd bpfjail

# Compilar programas BPF
cd bpfjailer-bpf && cargo build --release && cd ..

# Compilar demonio y cliente
cargo build --release

# Ejecutar como root (carga config/policy.json si existe)
sudo RUST_LOG=info ./target/release/bpfjailer-daemon

[INFO] Demonio BpfJailer iniciando...
[INFO] Cargando programas eBPF de BpfJailer con libbpf-rs...
[INFO] ✓ mapa pending_enrollments disponible para inscripción
[INFO] ✓ mapa network_rules disponible para filtrado de puerto/protocolo
[INFO] ✓ mapa task_storage creado exitosamente
[INFO] ✓ Programa task_alloc adjuntado
[INFO] ✓ Programa file_open adjuntado
[INFO] ✓ Programa socket_bind adjuntado
[INFO] ✓ Programa socket_connect adjuntado
[INFO] ✓ Programa bprm_check_security adjuntado
[INFO] Inicializado con roles predeterminados: restricted (1), permissive (2)
[INFO] Política cargada desde config/policy.json
[INFO] Cargados 5 roles
[INFO] Servidor de inscripción escuchando en /run/bpfjailer/enrollment.sock

# Ejecutar pruebas de vulnerabilidad SIN jail (se muestran ataques exitosos)
sudo python3 tests/vulnerable_apps/run_tests.py

# Ejecutar pruebas de vulnerabilidad CON rol restringido (se muestran ataques bloqueados)
sudo python3 tests/vulnerable_apps/run_tests.py --role 1

# Ejecutar una prueba específica
sudo python3 tests/vulnerable_apps/run_tests.py --role 1 --test path

# Listar pruebas y roles disponibles
sudo python3 tests/vulnerable_apps/run_tests.py --list

============================================================
PRUEBA: Path Traversal / Lectura Arbitraria de Archivos
============================================================
Intentando leer /etc/passwd mediante path traversal...
BLOQUEADO - Permiso denegado (BpfJailer bloqueó el acceso al archivo)

============================================================
PRUEBA: Inyección de Comandos
============================================================
Intentando inyección de comandos...
BLOQUEADO - Permiso denegado (BpfJailer bloqueó exec)

============================================================
PRUEBA: Reverse Shell / Exfiltración de Datos
============================================================
Prueba 1: Conexión reverse shell a 127.0.0.1:4444
BLOQUEADO - Permiso denegado (BpfJailer bloqueó connect)

#!/usr/bin/env python3
import socket
import json
import os

# Conectar al demonio
sock = socket.socket(socket.AF_UNIX, socket.SOCK_STREAM)
sock.connect("/run/bpfjailer/enrollment.sock")

# Inscribir con rol restringido (ID 1)
request = {"Enroll": {"pod_id": 1, "role_id": 1}}
sock.send((json.dumps(request) + "\n").encode())
response = sock.recv(4096).decode()
print(f"Inscripción: {response}")
sock.close()

# Intentar leer un archivo (debería estar bloqueado)
try:
    open("/etc/passwd").read()
    print("Acceso a archivo: PERMITIDO")
except PermissionError:
    print("Acceso a archivo: BLOQUEADO")

{
  "roles": {
    "restricted": {
      "id": 1,
      "name": "restricted",
      "flags": {
        "allow_file_access": false,
        "allow_network": false,
        "allow_exec": false
      },
      "network_rules": []
    },
    "webserver": {
      "id": 3,
      "name": "webserver",
      "flags": {
        "allow_file_access": true,
        "allow_network": true,
        "allow_exec": false
      },
      "network_rules": [
        {"protocol": "tcp", "port": 80, "allow": true},
        {"protocol": "tcp", "port": 443, "allow": true}
      ]
    }
  },
  "pods": []
}

mapa network_rules:
  Clave: { role_id, port, protocol, direction }
  Valor: allowed (1) o denied (0)

// En el código del demonio:
use bpfjailer_daemon::process_tracker::{PROTO_TCP, DIR_CONNECT};

// Permitir solo TCP connect a los puertos 80 y 443
process_tracker.add_network_rule(RoleId(1), 80, PROTO_TCP, DIR_CONNECT, true)?;
process_tracker.add_network_rule(RoleId(1), 443, PROTO_TCP, DIR_CONNECT, true)?;

{
  "network_rules": [
    {"protocol": "tcp", "port": 443, "allow": true},
    {"protocol": "tcp", "port_start": 8000, "port_end": 8100, "allow": true}
  ]
}

┌─────────────────────────────────────────────────────────────┐
│                     Espacio de Usuario                       │
├─────────────────────────────────────────────────────────────┤
│  ┌─────────────┐    ┌──────────────────┐                    │
│  │   Cliente   │───▶│  bpfjailer-daemon │                    │
│  │  (inscribir)│    │                  │                    │
│  └─────────────┘    │  - PolicyManager │                    │
│                     │  - ProcessTracker│                    │
│                     │  - EnrollmentSvr │                    │
│                     └────────┬─────────┘                    │
│                              │ escribe en                    │
│                              ▼                              │
├─────────────────────────────────────────────────────────────┤
│                     Mapas BPF                                │
│  ┌──────────────────┐  ┌─────────────┐  ┌──────────────┐   │
│  │pending_enrollments│  │ role_flags  │  │ task_storage │   │
│  │   (PID → info)   │  │ (rol→flags) │  │(tarea→info)  │   │
│  └──────────────────┘  └─────────────┘  └──────────────┘   │
├─────────────────────────────────────────────────────────────┤
│                     Hooks BPF LSM                            │
│  ┌────────────┐ ┌───────────┐ ┌─────────────┐ ┌──────────┐ │
│  │ task_alloc │ │ file_open │ │socket_bind/ │ │bprm_check│ │
│  │(herencia   │ │(migración │ │  connect    │ │_security │ │
│  │ + init)    │ │ + check)  │ │  (check)    │ │ (check)  │ │
│  └────────────┘ └───────────┘ └─────────────┘ └──────────┘ │
└─────────────────────────────────────────────────────────────┘

# Instalar servicio systemd
sudo cp config/bpfjailer-daemon.service /etc/systemd/system/
sudo cp target/release/bpfjailer-daemon /usr/sbin/
sudo mkdir -p /etc/bpfjailer
sudo cp config/policy.json /etc/bpfjailer/

# Habilitar e iniciar
sudo systemctl daemon-reload
sudo systemctl enable bpfjailer-daemon
sudo systemctl start bpfjailer-daemon

# Instalar servicio bootstrap
sudo cp config/bpfjailer-bootstrap.service /etc/systemd/system/
sudo cp target/release/bpfjailer-bootstrap /usr/sbin/
sudo mkdir -p /etc/bpfjailer
sudo cp config/policy.json /etc/bpfjailer/

# Habilitar (se ejecutará en el próximo arranque)
sudo systemctl daemon-reload
sudo systemctl enable bpfjailer-bootstrap

# O ejecutar manualmente ahora
sudo bpfjailer-bootstrap

ls -la /sys/fs/bpf/bpfjailer/
ls -la /sys/fs/bpf/bpfjailer/maps/
ls -la /sys/fs/bpf/bpfjailer/progs/

# Los eventos se emiten al buffer perf, recogidos por journald
journalctl -f | grep bpfjailer

# Verificar versión del kernel (necesita 5.11+)
uname -r

# Verificar que BPF LSM esté activo
cat /sys/kernel/security/lsm | grep bpf

# Verificar que BTF esté disponible
ls -la /sys/kernel/btf/vmlinux

# Verificar si los programas BPF se pueden cargar
sudo bpftool prog list

# Verificar capacidades
sudo capsh --print | grep cap_bpf

# Asegurarse de que el demonio se ejecute como root
ps aux | grep bpfjailer

# Verificar permisos del socket
ls -la /run/bpfjailer/enrollment.sock

{
  "exec_enrollments": [
    {
      "executable_path": "/usr/bin/nginx",
      "pod_id": 1000,
      "role": "webserver"
    }
  ]
}

{
  "cgroup_enrollments": [
    {
      "cgroup_path": "/sys/fs/cgroup/bpfjailer/sandbox",
      "pod_id": 2000,
      "role": "sandbox"
    }
  ]
}

# Crear cgroup
sudo mkdir -p /sys/fs/cgroup/bpfjailer/sandbox

# Mover proceso al cgroup
echo $$ | sudo tee /sys/fs/cgroup/bpfjailer/sandbox/cgroup.procs

# El proceso ahora está auto-inscrito con el rol sandbox

# Establecer xattrs de inscripción
sudo setfattr -n user.bpfjailer.pod_id -v $(printf '\x01\x00\x00\x00\x00\x00\x00\x00') /ruta/al/binario
sudo setfattr -n user.bpfjailer.role_id -v $(printf '\x03\x00\x00\x00') /ruta/al/binario

# Verificar xattrs
getfattr -d /ruta/al/binario