Leitmotiv

Kunai est un outil puissant conçu pour apporter des informations exploitables pour des tâches telles que la surveillance de la sécurité et la chasse aux menaces sur les systèmes Linux. Considérez-le comme l'équivalent Linux de Sysmon sur Windows, adapté pour une surveillance complète et précise des événements.

Pourquoi Kunai se démarque

• Événements ordonnés chronologiquement : Les événements sont traités et livrés dans l'ordre exact où ils se produisent.
• Corrélation sur l'hôte : Capacités intégrées pour l'enrichissement et la corrélation des événements afin de fournir un contexte plus approfondi.
• Conscient des conteneurs : Entièrement compatible avec les espaces de noms Linux et les technologies de conteneurisation, permettant un traçage complet des activités des conteneurs.

Comment ça fonctionne

Kunai exploite la technologie eBPF (Extended Berkeley Packet Filter), avec des sondes au niveau du noyau qui capturent les événements critiques. Ces sondes envoient les données à un programme en espace utilisateur, chargé de tâches telles que le réordonnancement, l'enrichissement et la corrélation des événements collectés.

Du côté de l'implémentation, Kunai est majoritairement écrit en Rust, en utilisant la bibliothèque robuste Aya. Cette conception garantit un binaire autonome, intégrant à la fois les sondes eBPF et la logique de traitement en espace utilisateur pour faciliter le déploiement.

FAQ

• Est-il compatible avec mon OS/noyau ? : Consultez la page de compatibilité
• Quels types d'événements puis-je obtenir ? : Veuillez lire la documentation des événements
• Quelle version devrais-je utiliser ?: Si c'est juste pour tester l'outil, utilisez la dernière version car elle est toujours la meilleure en termes de fonctionnalités et de corrections de bugs. Cependant, gardez à l'esprit que les événements dans les versions non stables sont sujets à changement.

Comment construire le projet ?

Avant de continuer, veuillez noter qu'une version pré-compilée et indépendante de la distribution de Kunai est disponible sur la page des versions. Si vous voulez simplement essayer Kunai, vous n'avez probablement pas besoin de construire le projet vous-même.

Avec une image Docker

Vous pouvez utiliser une image Docker qui inclut tout le nécessaire pour construire le projet facilement : Image Docker de construction de Kunai.
Cette solution universelle devrait fonctionner sur n'importe quelle distribution Linux.

Faire tout à la main

Prérequis

Avant de pouvoir tout construire, vous devez installer quelques outils.

• pour construire de nombreux projets Rust (celui-ci inclus), vous avez besoin de rustup
• pour construire kunai, vous avez besoin de : clang, libbpf-dev et bpf-linker

Exemple de commandes pour installer les prérequis sur Ubuntu/Debian :

sudo apt update
sudo apt install -y clang libbpf-dev lld musl-tools

# en supposant que rustup et cargo sont installés
cargo install bpf-linker

Construire Kunai

Une fois que vous avez installé les prérequis, vous êtes prêt.

Construction de la version debug

cargo build
# votre exécutable se trouve dans : ./target/debug/kunai

Construction pour la production

Pour un déploiement en production, nous recommandons de construire un binaire statique en utilisant MUSL :

# Construire le binaire statique de release
cargo build --release --target x86_64-unknown-linux-musl

# Le binaire statique sera disponible à :
./target/x86_64-unknown-linux-musl/release/kunai

Pourquoi MUSL ? MUSL produit des binaires statiques plus portables sur différentes distributions Linux, évitant les problèmes de dépendance avec les versions de glibc. Ceci est particulièrement important pour le déploiement en production où vous ne maîtrisez peut-être pas l'environnement cible.

Compilation croisée

aarch64

Pour compiler kunai de manière croisée pour aarch64 :

1. Installez la cible musl aarch64 :

   root@kitploit:~

   rustup target add aarch64-unknown-linux-musl
   

2. Installez la chaîne de compilation croisée (exemple Ubuntu/Debian) :

   root@kitploit:~

   sudo dpkg --add-architecture arm64
   sudo apt update
   sudo apt install -y git clang libbpf-dev lld musl-tools
   sudo apt install -y crossbuild-essential-arm64 musl-tools:arm64
   

3. Construire pour aarch64 :

   root@kitploit:~

   cargo build --release --target aarch64-unknown-linux-musl
   

4. Le binaire compilé de manière croisée sera disponible à :

   root@kitploit:~

   ./target/aarch64-unknown-linux-musl/release/kunai
   

Profilage mémoire

Si l'on pense que Kunai a un problème de mémoire, voici une façon de le profiler.

# compiler kunai avec les informations de débogage pour tous les paquets
RUSTFLAGS="-g" cargo build

# utiliser heaptrack
sudo heaptrack kunai

Travaux connexes

Sysmon For Linux: https://github.com/Sysinternals/SysmonForLinux

Remerciements

• Merci à toutes les personnes derrière Aya, ce truc est tout simplement génial
• Un merci spécial à @alessandrod et @vadorovsky
• Merci à tous les gars habituels qui soutiennent toujours mes idées folles

Financement

Le projet NGSOTI est dédié à la formation de la prochaine génération d'opérateurs de centres opérationnels de sécurité (SOC), en mettant l'accent sur l'aspect humain de la cybersécurité. Il souligne l'importance de fournir aux opérateurs SOC les compétences nécessaires et les outils open source pour relever des défis tels que l'ingénierie de détection, la réponse aux incidents et l'analyse du renseignement sur les menaces. Impliquant des partenaires clés tels que CIRCL, Restena, Tenzir et l'Université du Luxembourg, le projet vise à établir une infrastructure opérationnelle réelle pour une formation pratique. Cette initiative intègre des programmes académiques avec des perspectives industrielles, offrant une expérience pratique dans des cyber ranges.

NGSOTI est cofinancé dans le cadre du programme Europe numérique (DEP) via l'ECCC (réseau et centre de compétences européen en cybersécurité).