SysTrace

Linux सिस्टम-कॉल मॉनिटरिंग और व्यवहारिक सुरक्षा विश्लेषण उपकरण जो ptrace-आधारित ट्रेसिंग, हल्का नेमस्पेस अलगाव और मशीन लर्निंग वर्गीकरण को जोड़ता है।

SysTrace सिस्टम-कॉल स्तर पर लक्ष्य प्रोग्राम के रनटाइम व्यवहार का अवलोकन करता है, व्यवहारिक विशेषताओं (features) को निकालता है, और एक प्रशिक्षित Random Forest मॉडल का उपयोग करके देखी गई गतिविधि को हानिरहित या दुर्भावनापूर्ण के रूप में वर्गीकृत करता है। यह मुख्य रूप से C में निम्न-स्तरीय ट्रेसिंग और अलगाव के लिए बनाया गया है, जिसमें वर्गीकरण और रिपोर्टिंग के लिए Python/scikit-learn घटक शामिल है।

अवलोकन

SysTrace ptrace का उपयोग करके लक्ष्य प्रक्रिया को ट्रेस करता है, और फ़ाइल एक्सेस, प्रक्रिया निर्माण, नेटवर्क गतिविधि और मेमोरी ऑपरेशन से संबंधित सिस्टम कॉल्स को कैप्चर करता है। कैप्चर किया गया व्यवहार syscall आँकड़ों और एक feature vector में एकत्रित किया जाता है, जिसे एक प्रशिक्षित Random Forest क्लासिफायर को भेजा जाता है ताकि हानिरहित/दुर्भावनापूर्ण भविष्यवाणी उत्पन्न की जा सके। परिणाम एक संरचित HTML सुरक्षा रिपोर्ट में संकलित किए जाते हैं।

इस परियोजना में Linux नेमस्पेस पर निर्मित एक हल्की सैंडबॉक्सिंग परत भी शामिल है, जिसका उपयोग ट्रेसिंग के दौरान लक्ष्य प्रक्रिया को अलग करने के लिए किया जाता है।

आर्किटेक्चर

मुख्य विशेषताएँ

सिस्टम-कॉल ट्रेसिंग

• लक्ष्य प्रक्रियाओं को attach करने और उनका निरीक्षण करने के लिए Linux ptrace पर आधारित है, जिसमें syscall तर्क और रजिस्टर शामिल हैं।
• चार व्यवहारिक श्रेणियों में syscalls के व्यापक समूह को ट्रैक करता है:
  • फ़ाइल ऑपरेशन — open/openat, read, close, chmod
  • प्रक्रिया गतिविधि — execve, fork, clone, kill
  • नेटवर्क गतिविधि — socket, connect
  • मेमोरी गतिविधि — mmap, mprotect

नियम-आधारित डिटेक्शन

ह्यूरिस्टिक नियम संदिग्ध व्यवहारिक पैटर्न को फ़्लैग करते हैं, जिनमें शामिल हैं:

• संवेदनशील फ़ाइलों तक पहुँच
• अत्यधिक फ़ाइल ऑपरेशन
• अत्यधिक प्रक्रिया निर्माण
• संदिग्ध मेमोरी व्यवहार (जैसे असामान्य mmap/mprotect उपयोग)
• संदिग्ध नेटवर्क गतिविधि

हल्की सैंडबॉक्स / अलगाव परत

Linux नेमस्पेस प्रिमिटिव पर सीधे निर्मित एक अलगाव परत:

• CLONE_NEWUSER, CLONE_NEWPID, CLONE_NEWNS के साथ clone()
• MS_PRIVATE के माध्यम से mount नेमस्पेस कॉन्फ़िगरेशन
• pivot_root और umount2 के साथ रूट फाइलसिस्टम स्विचिंग
• /tmp/systrace-root के अंतर्गत रनटाइम पर निर्मित tmpfs-आधारित न्यूनतम रूट फाइलसिस्टम

यह ट्रेस किए गए लक्ष्य के लिए बुनियादी प्रक्रिया, PID और mount अलगाव प्रदान करता है — यह कंटेनर रनटाइम का प्रतिस्थापन नहीं है।

मशीन लर्निंग वर्गीकरण

• Feature vectors syscall आँकड़ों से प्राप्त किए जाते हैं, जिनमें ये फ़ील्ड शामिल हैं: file, process, network, fork, connect, execve, read, open, close, memory, chmod, kill, label
• इन vectors पर एक RandomForestClassifier (scikit-learn) को हानिरहित और दुर्भावनापूर्ण व्यवहार के बीच अंतर करने के लिए प्रशिक्षित किया जाता है।
• प्रशिक्षित मॉडल को ml/syscall_model.pkl में serialized किया जाता है।
• डेटासेट: DATASET

रिपोर्टिंग

• संरचित आउटपुट features.json (कच्चा फ़ीचर डेटा) और report.html (मानव-पठनीय रिपोर्ट) के रूप में।
• HTML रिपोर्ट निगरानी की गई गतिविधि, ट्रिगर हुए सुरक्षा नियमों/घटनाओं, syscall आँकड़ों और अंतिम ML वर्गीकरण का सारांश प्रस्तुत करती है।

उदाहरण Feature Vector

[file, process, network, fork, connect, execve, read, open, close, memory, chmod, kill]
[15,   2,       0,       0,    0,       2,      1,    10,   4,     14,     6,     0]

प्रौद्योगिकियाँ

परियोजना संरचना

linux-syscall-monitor/
├── include/
├── src/
│   ├── tracer.c            # Core ptrace-based syscall tracer
│   ├── syscall.c           # Syscall interception/handling
│   ├── namespace.c         # Namespace/clone setup
│   ├── set_root.c          # pivot_root / minimal rootfs setup
│   ├── file_monitor.c      # File operation monitoring
│   ├── process_monitor.c   # Process creation/execution monitoring
│   ├── network_monitor.c   # Network activity monitoring
│   ├── memory_monitor.c    # Memory-related activity monitoring
│   ├── fd_tables.c         # File descriptor tracking
│   ├── rules.c             # Rule-based detection logic
│   ├── alert.c             # Security alert generation
│   ├── stat.c               # Syscall statistics aggregation
│   └── dataset.c           # Feature vector / dataset generation
├── ml/
│   ├── train.py             # Random Forest training script
│   ├── predict.py           # Classification / inference script
│   └── syscall_model.pkl    # Trained model
├── dashboard/                # Report/dashboard assets
├── tests/
├── Makefile
├── dataset.csv
└── README.md

सीमाएँ

• सैंडबॉक्स एक शैक्षिक, हल्की अलगाव परत है — यह प्रोडक्शन-ग्रेड कंटेनर रनटाइम नहीं है और न ही एक सख्त (hardened) मैलवेयर विश्लेषण सैंडबॉक्स है।
• नेमस्पेस अलगाव केवल user, PID और mount नेमस्पेस को कवर करता है; यह नेटवर्क नेमस्पेस अलगाव, seccomp फ़िल्टरिंग या cgroup संसाधन सीमाएँ लागू नहीं करता है।
• ptrace-आधारित ट्रेसिंग दृश्यमान ओवरहेड उत्पन्न करती है और पर्याप्त रूप से परिष्कृत मैलवेयर द्वारा इसका पता लगाया जा सकता है / इसे evaded किया जा सकता है।
• ML क्लासिफायर एक सीमित फ़ीचर सेट (कुल syscall गणनाएँ) और डेटासेट पर प्रशिक्षित है; वर्गीकरण सटीकता प्रशिक्षण डेटा की गुणवत्ता और विविधता पर निर्भर करती है।
• उचित रूप से अलग किए गए शोध वातावरण के बाहर अविश्वसनीय या वास्तविक दुर्भावनापूर्ण बाइनरी को ट्रेस करने के लिए अभिप्रेत नहीं है।

सुरक्षा अस्वीकरण

SysTrace एक शोध और सीखने की परियोजना है जो Linux आंतरिक तंत्र, सिस्टम-कॉल ट्रेसिंग, नेमस्पेस-आधारित अलगाव और मशीन लर्निंग का उपयोग करके व्यवहारिक मैलवेयर डिटेक्शन का अन्वेषण करती है। यह कोई प्रमाणित या प्रोडक्शन-तैयार सुरक्षा उपकरण नहीं है और दुर्भावनापूर्ण सॉफ़्टवेयर के विरुद्ध इसे एकमात्र सुरक्षा के रूप में निर्भर नहीं किया जाना चाहिए। केवल अलग, नियंत्रित वातावरण में उपयोग करें।

उद्देश्य

यह परियोजना निम्नलिखित का अन्वेषण और प्रदर्शन करने के लिए बनाई गई थी:

• Linux आंतरिक तंत्र और ptrace के साथ सिस्टम-कॉल ट्रेसिंग
• प्रक्रिया, फ़ाइल, नेटवर्क और मेमोरी मॉनिटरिंग
• Linux नेमस्पेस (clone, pivot_root, mount namespaces) का उपयोग करके फाइलसिस्टम अलगाव
• सैंडबॉक्स आर्किटेक्चर डिज़ाइन
• व्यवहारिक सुरक्षा विश्लेषण
• साइबर सुरक्षा वर्गीकरण समस्याओं पर मशीन लर्निंग (Random Forest) लागू करना