SysTrace 2.0

ptraceベースのLinuxシステムコールモニターおよびELFバイナリ解析用サンドボックス。

SysTraceは対象を分離されたLinux名前空間環境内で実行し、そのシステムコールと子プロセスをトレースし、ルールベースの検出と重み付きリスクスコアリングを適用した後、二次的なシグナルとしてRandom Forest分類器を使用します。

機能

• ptraceシステムコールトレース
• fork、vfork、clone、execveの追跡
• Linuxユーザー、PID、マウント名前空間
• 最小限のpivot_rootサンドボックス
• ファイル、プロセス、メモリ、ネットワークの監視
• プロセスごとおよび集計のシステムコール統計
• SIGKILL強制を伴うルールベース検出
• 0～100の重み付きリスクスコア
• Random Forest機械学習分類
• HTMLセキュリティレポート
• JSONおよびテキストログ
• 生のシステムコールトレース

クイックスタート

リポジトリをクローンします:

git clone https://github.com/tracebyte8/SysTrace.git
cd SysTrace

設定スクリプトを実行可能にします:

chmod +x config.sh

コンパイル済みの ELF バイナリに対して SysTrace を実行します:

./config.sh ./tests/bin/mal_fileopen

config.sh は自動的に以下を実行します：

1. gcc、make、python3 をチェック
2. .venv を作成
3. 必要な Python 依存関係をインストール
4. SysTrace をビルド
5. モニターを通じてターゲットを実行
6. セキュリティレポートを生成

手動での Python パッケージのインストールは不要です。

ターゲットはすでにコンパイル済みの ELF バイナリである必要があります。.c ソースファイルを直接渡すことはできません。

アーキテクチャ

Target ELF
    │
    ▼
Namespace Sandbox
    │
    ├── CLONE_NEWUSER
    ├── CLONE_NEWPID
    ├── CLONE_NEWNS
    └── pivot_root
    │
    ▼
ptrace Tracer
    │
    ├── Syscall tracing
    ├── fork/vfork/clone following
    └── exec following
    │
    ▼
System Call Monitors
    │
    ├── File
    ├── Process
    ├── Memory
    └── Network
    │
    ▼
Statistics
    │
    ▼
Rule Engine
    │
    ├── Alerts
    └── SIGKILL enforcement
    │
    ▼
Risk Scoring
    │
    ├── features.json
    │
    └── Random Forest
             │
             ▼
      security_report.html

監視対象

カテゴリ	追跡されるシステムコール
ファイル	open、openat、read、close
プロセス	execve、fork、clone、wait4、ptrace
メモリ	mmap、mprotect
ネットワーク	socket、connect、sendto、recvfrom、bind、listen、accept

その他のシステムコールも、システムコールテーブルに名前が存在する場合は syscall.txt に書き込まれます。

検出ルール

トリガー	条件	アクション
機密ファイルへのアクセス	/etc/passwd または /etc/shadow	アラート + SIGKILL
過剰なファイルオープン	open > 100	アラート + SIGKILL
過剰な読み取り	read > 29	アラート + SIGKILL
過剰なフォーク	fork/clone > 8	アラート + SIGKILL
過剰な再実行	execve > 8	アラート + SIGKILL
ネットワーク接続	任意の connect()	アラート + SIGKILL
ネットワーク送信	追跡対象の送信システムコール	アラート + SIGKILL
メモリ保護の変更	mprotect > 5	アラート + SIGKILL
プロセス間トレース	任意の ptrace()	アラート + SIGKILL
高リスク	スコア ≥ 70	アラート + SIGKILL
中程度のリスク	40 ≤ スコア < 70	アラート

killit はルールエンジンによって実行された SIGKILL アクションを記録します。

リスクスコアリング

SysTrace は重み付けされた行動スコアを計算します:

score =
    (sum of weighted syscall counts)
    / (total syscalls × 6.0)
    × 100

スコアは 0–100 にクランプされます。

ルールエンジンがプロセスを強制終了した場合、リスクスコアは少なくとも 90 に強制されます。

重み

動作	重み
ptrace	6.0
connect	5.0
ネットワーク	4.0
execve	3.0
mprotect	3.0
fork	2.0
プロセス	1.5
open	0.5
mmap	0.5
ファイル	0.3
read	0.2
close	0.1

機械学習

SysTrace は二次的な行動シグナルとして Random Forest 分類器を使用します。

モデルは次の場所にあります:

ml/syscall_model.pkl

監視対象のシステムコール統計は次にエクスポートされます:

features.json

ml/predict.py は最新の特徴量レコードを読み取り、以下を生成します:

prediction.txt

例:

Program: ./tests/bin/mal_fileopen

Prediction: MALICIOUS
Confidence: 91.42%

MLの結果は二次的なシグナルとして扱うべきであり、決定的な判定ではありません。

このリポジトリには、元のトレーニングデータセットや公開されたモデル精度は含まれていません。

レポートとログ

ファイル	説明
security_report.html	最終的なHTMLセキュリティレポート
alerts.json	JSONセキュリティアラート
features.json	ML特徴量レコード
prediction.txt	最新のML予測
log.txt	人間が読める形式のアラート
syscall.txt	生のシステムコールトレース

features.json、alerts.json、log.txt、syscall.txt は実行ごとにレコードが蓄積されます。

security_report.html と prediction.txt は実行ごとに上書きされます。

ダッシュボード

HTMLレポートには以下が含まれます：

• ルールエンジンのスコア
• ML予測
• ML信頼度
• 最終的な危険度パーセンテージ
• セキュリティイベント
• 行動統計

プロジェクト構成

SysTrace/
├── src/
│   ├── tracer.c
│   ├── namespace.c
│   ├── set_root.c
│   ├── file_monitor.c
│   ├── process_monitor.c
│   ├── memory_monitor.c
│   ├── network_monitor.c
│   ├── rules.c
│   ├── score.c
│   ├── stat.c
│   └── dataset.c
│
├── include/
├── dashboard/
│   ├── index.c
│   └── style.css
│
├── ml/
│   ├── train.py
│   ├── predict.py
│   └── syscall_model.pkl
│
├── tests/
│   └── bin/
│
├── image/
├── Makefile
├── config.sh
└── README.md

手動ビルド

config.sh を使用したくない場合:

make

プロジェクトをクリーンアップします:

make clean

再ビルド:

make re

手動でのPythonセットアップ:

python3 -m venv .venv
source .venv/bin/activate
pip install numpy scikit-learn

テストプログラム

プログラム	動作
benign_idle.c	スリープして終了する
benign_fileread.c	一時ファイルを作成、読み取り、削除する
mal_fileopen.c	複数のファイルを開く/読み取る/閉じる
mal_forkbomb.c	上限付きの数の子プロセスを生成する
mal_connect.c	複数のネットワーク接続を試みる
mal_mmap_mprotect.c	mmap/mprotect 操作を繰り返す

例:

./config.sh ./tests/bin/mal_forkbomb

次に開きます:

xdg-open security_report.html

セキュリティと制限事項

SysTrace は研究/学習用の動的解析ツールであり、堅牢なセキュリティ境界や本番環境向け EDR ではありません。

重要な制限事項:

• 1回の実行で解析されるターゲットは1つだけです。
• 強制措置は検出後の SIGKILL によって行われ、カーネルレベルのシステムコールブロックではありません。
• サンドボックスは Linux の user/PID/mount 名前空間と pivot_root を使用します。
• 非特権ユーザー名前空間が有効になっている必要があります。
• 最小限のルートファイルシステムには、ターゲットと選択されたランタイムライブラリのみが含まれます。
• 追加の依存関係を持つ動的リンクバイナリは、サンドボックス内で失敗する可能性があります。
• サンドボックスのランタイムは現在、x86-64 のライブラリパスを前提としています。
• ファイルディスクリプタの追跡は PID 単位ではなくグローバルです。
• ML モデルには公開された精度保証はありません。
• ルールエンジンと ML 分類器は、偽陽性および偽陰性を生成する可能性があります。
• サンドボックスは VM や堅牢化されたコンテナの代替として扱うべきではありません。

SysTrace は、自身が所有する、または解析を許可されているバイナリに対してのみ実行してください。

信頼できないバイナリの場合は、専用の VM またはその他適切に分離された環境を使用してください。

バージョン

SysTrace 2.0