oyesanyf/oshoosiclawAgent autonome de sécurité des endpoints en Rust combinant un pilote Windows Ring-0 et un blocage pré-exécution eBPF sous Linux, la détection YARA, la cartographie MITRE ATT&CK et le partage de menaces en maillage P2P.
Démarrage rapide • Moteur Siquery-RS à 98 tables • Mécanique du continuum Spider-Web • Confinement multi-anneaux AgentOctopus • Service Windows (OsoosiEDR) • Pilote Ring-0 & eBPF • Anomalies d'agents & EmbeddingGemma 2 • Essaim LangGraph • Moteur de décision hybride • Forensique Velociraptor • Configuration DNS & Sysmon • Maillage BFT à deux hôtes • Contrôleur RL à 6 piliers • Tarpit actif & Hollowing • Tests adversariaux • Canaris anti-aveuglement • MITRE ATT&CK & ATLAS • Synchronisation STIX Wire • Stabilité du maillage • Visite visuelle • Évolution WikiSkill • Gouvernance open source & feuille de route • Référence CLI
Ọ̀ṣọ́ọ̀sì (oh-SHAW-aw-see) est l'Orisha yoruba de la Chasse, du Pistage et de la Justice. Dans la tradition cosmologique yoruba, Ọ̀ṣọ́ọ̀sì est le traqueur divin qui ne manque jamais sa cible — l'archer dont la flèche atteint toujours son but. Il est invoqué pour la précision, la poursuite implacable des malfaiteurs et la prompte administration de la justice.
Tel est l'esprit de ce projet : un agent de sécurité autonome qui traque les menaces avec une exactitude infaillible, piste les adversaires à travers le maillage et rend une justice prompte et proportionnée par la mise en quarantaine, l'isolement et la tromperie. Comme Ọ̀ṣọ́ọ̀sì, il est à la fois patient (observant le contexte, raisonnant avant d'agir) et décisif (agissant avec assurance lorsque la cible est claire).
Les solutions de sécurité des points de terminaison traditionnelles et les agents EDR en mode utilisateur fonctionnent de manière réactive (après exécution). Lorsqu'un adversaire exécute du code malveillant :
ntdll.dll) peuvent être trivialement contournés via des appels système directs (SysWhispers, Hell's Gate), le dé-hooking (VirtualProtect), ou un chiffrement précoce en mémoire par un rançongiciel avant que l'analyse en mode utilisateur ne soit terminée.OpenỌ̀ṣọ́ọ̀sì élimine fondamentalement cette fenêtre de vulnérabilité grâce à un blocage avant opération en espace noyau, appliqué par le matériel :
driver/windows/) : Hooke PsSetCreateProcessNotifyRoutineEx. Le callback du pilote s'exécute de manière synchrone à l'intérieur de la routine de création de processus du noyau avant que les handles de processus ne soient renvoyés en mode utilisateur et avant que le thread principal n'exécute sa première instruction CPU. En définissant CreateInfo->CreationStatus = STATUS_ACCESS_DENIED (0xC0000022), le noyau du système d'exploitation interrompt immédiatement l'instanciation du processus.ebpf/) : Hooke le hook du module de sécurité Linux BPF du noyau bprm_check_security (osoosi_bprm_check). Lorsqu'un chemin ou un hash de binaire correspond à la table de hachage BPF en espace noyau, le hook renvoie instantanément -EACCES (-EPERM), empêchant entièrement le mappage et l'exécution du binaire sans nécessiter de modules noyau tiers hors arbre.sequenceDiagram
autonumber
participant A as Adversary / Process Caller
participant K as OS Kernel (NTOSKRNL / Linux VFS)
participant D as OpenỌ̀ṣọ́ọ̀sì Kernel Subsystem (Ring-0 / BPF LSM)
participant E as Traditional User-Mode EDR (Sysmon ETW)
participant M as Malicious Binary Payload
rect rgb(255, 235, 235)
Note over A,E: TRADITIONAL USER-MODE EDR (POST-EXECUTION GAP)
A->>K: NtCreateUserProcess("ransomware.exe")
K->>M: Allocates PEB & Launches Initial Thread
M->>M: Executes malicious shellcode / Encrypts files
K-->>E: Asynchronous Sysmon Event 1 (Process Create)
E->>E: User-mode analysis & detection delay
Note over M: Damage inflicted BEFORE EDR can react
end