mc493/kshield緊急時のゼロダウンタイムLinuxカーネル防御および攻撃対象領域の無効化ツール。CVE-2026-98432（MPTCP RCE）、CVE-2024-1086、CVE-2026-53266に対するアクティブなホットパッチ適用とSeccompサンドボックス化。
-red.svg){kind=icon}
-darkred.svg){kind=icon}
-orange.svg){kind=icon}
-black?style=flat-square){kind=icon}
kshield（Universal Kernel Defense Framework / UKDF を実装）は、カーネルの再コンパイル、再起動、本番サービス停止を必要とせずに、悪用可能な Linux カーネル攻撃対象領域を体系的に排除するために設計されたエンタープライズ向けシステム防御エンジンです。
これは、以下に関連する重大な認証前およびローカル権限昇格プリミティブを標的とした、即時かつ依存関係ゼロの Day-0 補償制御とエクスプロイト経路の防止を提供します:
nf_tables ダブルフリー権限昇格。ebtables ARP テーブル破損。AF_ALG ソケット整数切り捨て。io_uring、fsopen ヒープオーバーフロー、および route4 use-after-free。すべての防御アクションは暗号学的に連鎖され、デュアルウィットネス追記専用 WORM 監査台帳 を介して独立して公証されます。
重大な脆弱性が CISA の Known Exploited Vulnerabilities (KEV) カタログに追加されると、kshield は即座に検証済みの運用上の緩和策を提供します:
| 対象 CVE | 影響を受けるサブシステム | 攻撃ベクトル | kshield 補償制御 | ゼロダウンタイムメカニズム |
|---|---|---|---|---|
| CVE-2026-98432 | IPv4 / Multipath TCP | リモート認証前 root RCE | net.mptcp.enabled = 0 | Sysctl 無効化 + /run/sysctl.d インジェクション |
| CVE-2026-53266 | Netfilter (ebtables) | ローカルカーネルメモリ破損 | モジュールローダーの無効化 (/bin/true) | RAM 退避 (modprobe -r) + 揮発性 /run/modprobe.d オーバーライド |
| CVE-2025-39964 | Crypto Netlink (AF_ALG) | コンテナブレイクアウト / LPE | 同期 Seccomp ゲーティング | ring-0 ディスパッチ前に socket(38) で EACCES (SCMP_ACT_ERRNO) を返す |
| CVE-2024-1086 | Netfilter (nf_tables) | ダブルフリーカーネル LPE | 休眠プロトコルの退避 | 非特権ユーザー名前空間の制限 + ローダーブロック |
| CVE-2022-2602 | io_uring コア | 非同期 I/O 権限昇格 | システムコール Seccomp インターセプト | ランタイムレイテンシへの影響ゼロで io_uring_setup をブロック |
[!NOTE] アーキテクチャと研究上の明確化:
Universal Kernel Defense Framework（UKDF）とそのリファレンスエンジンkshieldは、Day-0 の補償制御、Seccomp サンドボックス化、および追記専用の暗号学的 WORM 公証のために設計された、独立したシステムエンジニアリングアーキテクチャを表します。これは、類似の用語や頭字語を使用する先行の学術研究論文や学術的防御プロトタイプ（例えば kShield と題された学術的な eBPF ランタイム防御論文など）とはいかなる提携関係もアーキテクチャ上の関連も持ちません。UKDF はカーネル内 eBPF インストルメンテーションを用いずに明示的に動作し、代わりに決定論的な syscall ゲーティング、modprobe ローダーの封印、および標準ライブラリの POSIX 暗号学的チェーンに依拠します。
┌─────────────────────────────────────────────────────────────────────────────┐
│ UNIVERSAL KERNEL DEFENSE FRAMEWORK (UKDF) │
│ Reference Engine & Unified CLI: kshield │
├─────────────────────┬─────────────────────┬─────────────────────────────────┤
│ 1. Attack Surface │ 2. Targeted Seccomp │ 3. Cryptographic Dual-Witness │
│ Audit & Disarm │ Exploit Gating │ Append-Only Ledger │
├─────────────────────┼─────────────────────┼─────────────────────────────────┤
│ • Scans 40+ dormant │ • Drops io_uring, │ • Sequential SHA-256 hash chain │
│ legacy protocols │ userfaultfd, │ • Sub-100µs NVMe append latency │
│ • Prunes attackable │ kexec, AF_ALG │ • Sub-2ms cross-node replication│
│ code paths in RAM │ • Sub-microsecond │ • 60-second Dead-Man Switch │
│ • 60s rollback timer│ syscall overhead │ • >70,000 records/sec verify │
└─────────────────────┴─────────────────────┴─────────────────────────────────┘
kshield）： 標準ライブラリのPythonとC-typesのlibcラッパーのみを使用して書かれています。コアCLIはサードパーティパッケージを一切必要とせず、コンパイル手順も不要で、最小限のコンテナからエンタープライズサーバーまでどこでも実行できます。POSIXアドバイザリファイルロックを用いたネイティブな台帳追記（fcntl.flockを使用するrecord-event）と暗号学的検証（verify-ledger）の両方を含み、さらにdaemon/requirements.txtで依存関係を分離したオプションの分散パブリッシャー/ウィットネスデーモンペアも提供します。kshieldは自動的に暗号学的スナップショットへロールバックします。本番システムエンジニアリングの基本原則は、異なる運用レイヤーにわたる多層防御です。
主要なエンタープライズディストリビューションが提供する公式の商用ライブパッチおよびカーネルメンテナンスサービスは、利用可能な場合はどこでも強く推奨されます。 上流のカーネルエンジニアリングチームは、複雑なCパッチのバックポートと本番フリート全体での認定カーネル安定性の維持という、卓越した重要な作業を行っています。
Universal Kernel Defense Framework（kshieldによって実装）は、システムコールとモジュールの境界で機能する補完的なゼロ依存の防御レイヤーとして動作します：
暫定的な開示の地平：
最近のサイバーセキュリティ勧告（CISAの2026年9月のQuality Era Frameworkなど、2026年だけで67,000件を超えるCVEが公開されたことを指摘）で強調されているように、自動化されたエクスプロイト発見の速度は、ゼロデイの兵器化とコンパイル済みの署名付きバイナリ更新の到着との間に避けられない運用上の間隔を生み出します。kshieldは、その初期の期間に防衛線を維持するための即時のDay-0補償制御として機能します。
攻撃面の刈り込み（CIS / STIGベースライン衛生）：
上流の汎用カーネルは、膨大な種類のハードウェアと歴史的なユースケースをサポートするように構築されています。デフォルトでは、現代のコンテナホストやクラウドインスタンスが決して実行しない、数十の休眠したレガシープロトコルや廃止されたファイルシステムを含んでいます。休眠中のサブシステムを無効化することで、ホストの総露出が減少し、メモリ内に存在する脆弱なコードパスが少なくなります。
異種・エッジ環境：
主要な商用ライブパッチソリューションは、主要なx86_64エンタープライズディストリビューションのビルドで優れていますが、現代のインフラストラクチャには、異種のエッジシリコン、カスタムARM64ボード、または独自の商用ライブパッチエージェントが展開されていないエアギャップノードが含まれることがよくあります。kshieldは、あらゆる標準的なLinuxインストールにわたって軽量でゼロ依存の攻撃面ガバナンスをもたらします。
アーキテクチャの安全性と不変条件の保証：
内部カーネル実行をショートサーキットしようとする投機的なランタイムフック（スピンロックや参照カウントをリークするリスクがある）とは異なり、kshieldは境界でシステムコール番号全体をゲートし（TOCTOUフリー）、不要なカーネルモジュールをローダーレベル（/bin/true）で無効化します。カーネル実行パスの変更やランタイムフックの挿入を避け、代わりにシステムコールとモジュールの境界でポリシーを適用し、kernel.unprivileged_bpf_disabled = 1を明示的に強制します。
sudo ./install.sh
kshield status
# Human-readable vulnerability and dormant module report
kshield audit
# Structured JSON for CI/CD or SIEM ingestion
kshield audit --json | jq .
# Preview changes in dry-run mode (zero host modifications)
sudo kshield disarm --dry-run
# Apply live with a 60-second safety watchdog
sudo kshield disarm --enforce --timeout 60
kshield verify-sandbox --iterations 100000
# Fast tail audit & consensus query
kshield verify-ledger
# Complete historical SHA-256 cryptographic chain verification
kshield verify-ledger --full
# Machine-parseable consensus assertion
kshield verify-ledger --json | jq .consensus