logira

अनपेक्षित स्वचालन के लिए OS-स्तरीय रनटाइम ऑडिटिंग।

logira एक केवल-निरीक्षण Linux CLI है जो eBPF के माध्यम से रनटाइम exec, file, और net इवेंट रिकॉर्ड करता है। यह आपको AI एजेंट रन और ऑटोमेशन के अन्य रूपों के दौरान वास्तव में क्या हुआ, यह देखने में मदद करता है, जिसमें प्रति-रन स्थानीय भंडारण ऑडिटिंग, रन के बाद समीक्षा, खोज और डिटेक्शन ट्राइएज के लिए होता है।

logira क्या है?

• eBPF-आधारित रनटाइम संग्रह: प्रक्रिया निष्पादन, फ़ाइल गतिविधि और नेटवर्क गतिविधि।
• cgroup v2 रन-स्कोप्ड ट्रैकिंग, ताकि इवेंट एक एकल ऑडिटेड रन के लिए आरोपित किए जा सकें।
• टाइमलाइन समीक्षा और त्वरित क्वेरी के लिए JSONL और SQLite में प्रति-रन स्थानीय भंडारण।
• अंतर्निहित डिफ़ॉल्ट डिटेक्शन नियम, वैकल्पिक कस्टम YAML नियमों के साथ।
• डिज़ाइन से केवल-निरीक्षण: logira रिकॉर्ड करता है और पहचानता है, लेकिन लागू या ब्लॉक नहीं करता।

logira क्यों?

• ऑडिट करें कि AI एजेंट ने रन के दौरान वास्तव में क्या निष्पादित किया, बदला और किससे जुड़ा (उदाहरण के लिए, codex --yolo या claude --dangerously-skip-permissions)।
• एक विश्वसनीय निष्पादन ट्रेल रखें जो एजेंट के अपने पाठ्य विवरण पर निर्भर न हो।
• जोखिमपूर्ण व्यवहार पैटर्न जैसे क्रेडेंशियल एक्सेस, विनाशकारी कमांड, परसिस्टेंस परिवर्तन और संदिग्ध नेटवर्क एग्रेस का पता लगाएं।
• संरचित इवेंट इतिहास और डिटेक्शन परिणामों का उपयोग करके रन के बाद फोरेंसिक साक्ष्य की समीक्षा और साझा करें।
• वर्कलोड व्यवहार बदले बिना स्थानीय ऑटोमेशन या CI कार्यों में हल्की रनटाइम ऑडिटिंग जोड़ें।

डिफ़ॉल्ट डिटेक्शन

logira में AI एजेंट रन के ऑडिट के उद्देश्य से एक राय-युक्त, केवल-निरीक्षण डिफ़ॉल्ट नियमसेट शामिल है। आप logira run --rules <file> के साथ अपने स्वयं के प्रति-रन नियम YAML भी जोड़ सकते हैं।

• क्रेडेंशियल और सीक्रेट्स लेखन: ~/.ssh, ~/.aws, kube/gcloud/docker कॉन्फ़िग, .netrc, .git-credentials, रजिस्ट्री क्रेड्स।
• संवेदनशील क्रेडेंशियल पठन: SSH निजी कुंजी, AWS क्रेडेंशियल/कॉन्फ़िग, kubeconfig, docker कॉन्फ़िग, .netrc, .git-credentials।
• परसिस्टेंस और कॉन्फ़िग परिवर्तन: /etc के अंतर्गत लेखन, systemd यूनिट्स, cron, उपयोगकर्ता ऑटोस्टार्ट एंट्रीज़, शेल स्टार्टअप फ़ाइलें।
• टेम्प ड्रॉपर्स: /tmp, /dev/shm, /var/tmp के अंतर्गत बनाई गई एक्ज़ीक्यूटेबल फ़ाइलें।
• संदिग्ध exec पैटर्न: curl|sh, wget|sh, टनलिंग/रिवर्स शेल टूल्स और फ्लैग्स, शेल संकेतों के साथ base64 डिकोड।
• एजेंट सुरक्षा विनाशकारी पैटर्न: rm -rf, , , , , और समान कमांड।

इंस्टॉलेशन

स्क्रिप्ट से (अनुशंसित)

विकल्प 1. सुविधाजनक स्क्रिप्ट के माध्यम से इंस्टॉल करें:

curl -fsSL https://raw.githubusercontent.com/melonattacker/logira/main/install.sh | sudo bash

विकल्प 2. रिलीज़ टारबॉल से मैन्युअल इंस्टॉल:

tar -xzf logira_vX.Y.Z_linux-<arch>.tar.gz
cd logira_vX.Y.Z_linux-<arch>
sudo ./install-local.sh

पुनः इंस्टॉल/अपग्रेड के बाद:

• पहली इंस्टॉल: आमतौर पर किसी अतिरिक्त चरण की आवश्यकता नहीं (install.sh systemctl enable --now चलाता है)।
• मौजूदा इंस्टॉल पर पुनःइंस्टॉल/अपग्रेड: नई बाइनरी चल रही है यह सुनिश्चित करने के लिए logirad को पुनरारंभ करें।

sudo systemctl daemon-reload
sudo systemctl restart logirad.service
sudo systemctl status logirad.service --no-pager

स्रोत से

बिल्ड:

make build

रूट डेमॉन प्रारंभ करें (ट्रेसिंग के लिए आवश्यक):

sudo ./logirad

# 1) Generate eBPF objects (only needed if missing)
make generate

# 2) Install the systemd unit
sudo install -D -m 0644 packaging/systemd/logirad.service /etc/systemd/system/logirad.service

# 3) Install the daemon binary (unit defaults to /usr/local/bin/logirad)
sudo install -m 0755 ./logirad /usr/local/bin/logirad

# 4) (Recommended) Point systemd at the eBPF .o files via an environment file.
# This avoids relying on the service working directory.
sudo mkdir -p /etc/logira
sudo tee /etc/logira/logirad.env >/dev/null <<'EOF'
LOGIRA_EXEC_BPF_OBJ=/absolute/path/to/collector/linux/exec/trace_bpfel.o
LOGIRA_NET_BPF_OBJ=/absolute/path/to/collector/linux/net/trace_bpfel.o
LOGIRA_FILE_BPF_OBJ=/absolute/path/to/collector/linux/filetrace/trace_bpfel.o
EOF

# 5) Enable + start
sudo systemctl daemon-reload
sudo systemctl enable --now logirad

# Follow logs
sudo journalctl -u logirad -f

# Check status
systemctl status logirad --no-pager

# Stop + disable
sudo systemctl stop logirad
sudo systemctl disable --now logirad

उपयोग

एजेंट को अपने सामान्य उपयोगकर्ता के रूप में ऑडिट के तहत चलाएं (इवेंट स्वतः सहेजे जाते हैं):

./logira run -- bash -lc 'echo hi > x.txt; curl -s https://example.com >/dev/null'
./logira run --rules ./my-rules.yaml -- bash -lc 'cat ~/.aws/credentials >/dev/null'

Codex CLI चलाएं:

./logira run -- codex --yolo "Update the README to be clearer and add examples."

Claude Code CLI चलाएं:

./logira run -- claude --dangerously-skip-permissions "Find and fix flaky tests."

रन सूचीबद्ध करें:

./logira runs

अंतिम रन देखें और समझाएं:

./logira view last
./logira view last --ts both
./logira view last --color always
./logira explain last
./logira explain last --show-related
./logira explain last --drill 35

इवेंट क्वेरी करें:

./logira query last --type detection
./logira query last --type net --dest 140.82.121.4:443
./logira query last --related-to-detections --type net
./logira query last --contains curl

कमांड्स

• logira run -- <command...>: एक कमांड को ऑडिट के तहत चलाएं और एक नया रन स्वतः सहेजें
• logira runs: सहेजे गए रन सूचीबद्ध करें
• logira view [last|<run-id>]: रन डैशबोर्ड (पुराने टेक्स्ट के लिए --raw का उपयोग करें)
• logira query [last|<run-id>] [filters...]: टाइप-विशिष्ट तालिका आउटपुट के साथ इवेंट खोजें
• logira explain [last|<run-id>]: समूहीकृत डिटेक्शन डिफ़ॉल्ट रूप से (--show-related, --drill)

नियम:

• अंतर्निहित डिफ़ॉल्ट नियमसेट हमेशा सक्रिय रहता है (internal/detect/rules/default_rules.yaml)
• वैकल्पिक प्रति-रन कस्टम नियम logira run --rules <yaml-file> के साथ जोड़े जा सकते हैं
• नमूना कस्टम नियम और परीक्षण कमांड: examples/rules/README.md
• फ़ाइल इवेंट प्रतिधारण फ़ाइल नियमों द्वारा नियम-संचालित है; --watch केवल विरासत संगतता के लिए है

डेटा कहाँ संग्रहीत है?

डिफ़ॉल्ट होम निर्देशिका: ~/.logira (ओवरराइड: LOGIRA_HOME)

प्रत्येक रन यहाँ संग्रहीत है:

~/.logira/
  runs/<run-id>/
    events.jsonl
    index.sqlite
    meta.json

run-id प्रारूप: YYYYMMDD-HHMMSS-<tool>

डॉक्स

• JSONL स्कीमा: docs/jsonl.md
• SQLite स्कीमा: docs/sqlite.md
• कस्टम नियम सिंटैक्स: docs/rules.md
• डेवलपमेंट नोट्स (BPF जनरेशन, परीक्षण): docs/development.md

नोट्स

• Linux कर्नेल 5.8+ आवश्यक है।
• systemd आवश्यक है (सामान्य इंस्टॉल के लिए रूट डेमॉन logirad systemd के तहत चलने की अपेक्षा की जाती है)।
• cgroup v2 आवश्यक है (logira status से जाँचें)।
• ट्रेसिंग के लिए रूट डेमॉन logirad का चलना आवश्यक है; logira run को स्वयं sudo की आवश्यकता नहीं है।
• यदि BPF ऑब्जेक्ट फ़ाइलें गायब हैं, तो LOGIRA_EXEC_BPF_OBJ / LOGIRA_NET_BPF_OBJ / LOGIRA_FILE_BPF_OBJ सेट करें।

इंस्टॉल किए गए पथ (डिफ़ॉल्ट)

इंस्टॉलर ये रखता है:

• बाइनरी: /usr/local/bin/logira, /usr/local/bin/logirad
• BPF ऑब्जेक्ट: /usr/local/lib/logira/bpf/
• systemd यूनिट: /etc/systemd/system/logirad.service
• एनवायरनमेंट फ़ाइल: /etc/logira/logirad.env (LOGIRA_EXEC_BPF_OBJ, LOGIRA_NET_BPF_OBJ, LOGIRA_FILE_BPF_OBJ सेट करती है)

लाइसेंस

Apache लाइसेंस 2.0. विवरण के लिए LICENSE देखें।

collector/linux/ के अंतर्गत eBPF प्रोग्राम दोहरे-लाइसेंस प्राप्त हैं: Apache-2.0 या GPL-2.0-केवल।

यह Linux कर्नेल के साथ संगतता सुनिश्चित करता है जब eBPF प्रोग्राम लोड करते हैं जिन्हें GPL-केवल हेल्पर्स की आवश्यकता होती है।