Siper (Scudo)

Siper è un firewall di blacklist IP ad alte prestazioni basato su XDP, scritto in Go e C (eBPF). Permette di eliminare il traffico malevolo nella fase più precoce possibile dello stack di rete Linux, a livello del driver di rete. Sfruttando XDP (Express Data Path), Siper elabora i pacchetti prima ancora che raggiungano il pesante sottosistema di rete del kernel, offrendo prestazioni estreme anche in condizioni di forti attacchi DDoS.

Caratteristiche

• Prestazioni basate su XDP: Il filtraggio dei pacchetti avviene a livello del driver della scheda di rete utilizzando XDP_DROP, con un overhead CPU significativamente inferiore rispetto a iptables o nftables.

• LPM (Longest Prefix Match): Supporta il blocco basato su CIDR (es. 192.168.1.0/24) utilizzando mappe BPF LPM Trie specializzate per ricerche efficienti di intervalli IP.

• Configurazione persistente: Le regole sono gestite tramite una blacklist locale basata su JSON, consentendo un facile controllo e versioning degli indirizzi bloccati.

• Osservabilità in tempo reale: Metriche integrate per tracciare i contatori di pacchetti e byte per il traffico eliminato e passato.

• Architettura minimalista: Un oggetto BPF compilato gestisce il data plane, mentre una CLI basata su Go gestisce il control plane.

Architettura

Siper opera sul principio di separare il Control Plane (spazio utente) dal Data Plane (spazio kernel).

Il Flusso di Gestione (Spazio Utente)

1. Definizione delle regole: L'utente aggiunge/rimuove CIDR tramite la CLI. Questi vengono memorizzati in un file blacklist.json.
2. Caricamento: Quando viene eseguito siper run, l'applicazione Go analizza il JSON, compila/carica l'oggetto eBPF e popola la mappa BPF con i prefissi IP.
3. Monitoraggio: La CLI comunica con il kernel tramite syscall BPF per scaricare le metriche e gli stati correnti della mappa senza interrompere il traffico.

Il Flusso di Pacchetti (Spazio Kernel)

1. Ingresso: Un pacchetto arriva all'interfaccia di rete.
2. Ricerca: Il programma XDP intercetta il pacchetto e esegue una ricerca nella mappa block_list.
3. Verdetto:
   • Corrispondenza: Il pacchetto viene immediatamente eliminato (XDP_DROP).
   • Nessuna corrispondenza: Il pacchetto viene passato allo stack di rete Linux standard (XDP_PASS).

Installazione e Utilizzo

Prerequisiti

• Kernel Linux: 5.4 o superiore (con supporto XDP).
• Go: 1.21+ installato.
• Clang/LLVM: Per compilare il programma eBPF C nell'oggetto .o.
• Permessi: Accesso root o capacità CAP_NET_ADMIN / CAP_BPF.

1.Compila il Progetto

make

Spostati nella directory build/

2.Gestisci la Blacklist

Aggiungi o rimuovi intervalli IP dal tuo file di configurazione locale:

# Add a CIDR to the list
sudo ./siper add --cidr 1.2.3.0/24 --comment "Known botnet"

# Delete a rule
sudo ./siper del --cidr 1.2.3.0/24

3.Avvia il Firewall

Collega il firewall a un'interfaccia di rete specifica:

# Start the firewall
sudo ./siper run --iface eth0 --path ./blacklist.json

# Stop and detach the firewall
sudo ./siper stop --iface eth0

4.Monitoraggio di Metriche e Chiavi

Visualizza cosa sta accadendo all'interno del kernel:

# See currently active keys in the BPF map
sudo ./siper dump-keys

# Monitor drop/pass statistics
sudo ./siper dump-metrics

Contributi

I pull request sono benvenuti. Per correzioni di bug e piccoli miglioramenti, invia una pull request. Per modifiche importanti, apri prima un ticket per discutere cosa vorresti cambiare.

Licenza

Questo progetto è software libero; puoi ridistribuirlo e/o modificarlo secondo i termini della licenza GPLv3. Vedi LICENSE per i dettagli.