AgentSmith-HIDS

                        --이 프로젝트의 이름은 영화 매트릭스에서 영감을 받았습니다.

English | 简体中文

이 저장소는 오래되었습니다

릴리스 버전: https://github.com/bytedance/Elkeid

AgentSmith-HIDS 소개

기술적으로 AgentSmith-HIDS는 규칙 엔진 및 탐지 기능이 부족하기 때문에 호스트 기반 침입 탐지 시스템(HIDS)이 아닙니다. 그러나 자체 HIDS 솔루션의 일부로 고성능 '호스트 정보 수집 에이전트'로 사용될 수 있습니다. 이 에이전트가 수집할 수 있는 정보의 포괄성은 이 프로젝트를 개발하는 동안 가장 중요한 지표 중 하나였으므로 커널 스택에서 작동하도록 구축되었으며 사용자 스택에서 작동하는 것과 비교하여 다음과 같은 큰 이점을 얻었습니다:

• 더 나은 성능 - 필요한 정보가 커널 스택에서 수집되어 '/proc' 탐색과 같은 추가 보충 작업을 피하고, 데이터 전송 성능을 향상시키기 위해 수집된 데이터는 netlink 대신 공유 RAM을 통해 전송됩니다.
• 우회가 어려움 - 정보 수집은 특별히 설계된 커널 드라이브에 의해 이루어지므로, 의도적으로 숨길 수 있는 rootkit과 같은 악성 소프트웨어에 대한 탐지를 우회하는 것이 거의 불가능합니다.
• 통합이 용이함 - AgentSmith-HIDS는 다른 애플리케이션과 통합될 수 있도록 구축되었으며, 보안 도구뿐만 아니라 좋은 모니터링 도구, 심지어 자산 탐지기로도 사용할 수 있습니다. 에이전트는 사용자, 파일, 프로세스 및 인터넷 연결을 수집할 수 있습니다. CMDB와 통합하면 네트워크, 호스트, 컨테이너 및 비즈니스(심지어 종속성)로 구성된 포괄적인 지도를 얻을 수 있습니다. 또한 데이터베이스 감사 도구가 있다면 DB, DB 사용자, 테이블, 필드, 애플리케이션, 네트워크, 호스트 및 컨테이너 등 간의 관계를 포함하도록 지도를 확장할 수 있습니다. 네트워크 침입 탐지 시스템 및/또는 위협 인텔리전스 등과의 통합 가능성을 고려하면 더 높은 추적성도 달성할 수 있습니다. 결코 시대에 뒤떨어지지 않습니다.
• 커널 스택 + 사용자 스택 - AgentSmith-HIDS는 사용자 스택 모듈도 제공하여 커널 스택 모듈과 함께 작업할 때 기능을 더욱 확장할 수 있습니다.

AgentSmith-HIDS의 주요 기능:

• 커널 스택 모듈은 Kprobe를 통해 execve, connect, process inject, create file, DNS query, load LKM 동작을 후킹하며, Linux namespace와 호환되어 컨테이너 모니터링도 가능합니다.
• 사용자 스택 모듈은 사용자 목록, 리스닝 포트 목록, 시스템 RPM 목록, 예약 작업 등의 쿼리를 포함한 내장 탐지 기능을 활용합니다.
• AntiRootkit - 출처: Tyton , 현재 PROC_FILE_HOOK, SYSCALL_HOOK, LKM_HIDDEN, INTERRUPTS_HOOK 기능을 추가했으며, Kernel > 3.10에서만 작동합니다.
• Cred 변경 모니터링 (sudo/su/sshd 제외)
• 사용자 로그인 모니터링

AgentSmith-HIDS 사용 시나리오/방법 (추가 예정)

• AgentSmith HIDS로 리버스 쉘 탐지 방법

커널 버전 호환성

• Kernel > 2.6.25
• AntiRootKit > 3.10

컨테이너 호환성

출처	노드 이름
호스트	hostname
Docker	컨테이너 이름
k8s	pod 이름

AgentSmith-HIDS 구성

• 커널 스택 모듈 (LKM) Kprobe를 통해 주요 함수를 후킹하여 필요한 정보를 캡처합니다.
• 사용자 스택 모듈 커널 스택 모듈이 캡처한 데이터를 수집하고, 필요한 처리를 수행하여 Kafka로 전송합니다. 프로세스 무결성을 식별할 수 있도록 서버에 하트비트 패킷을 지속적으로 전송합니다. 서버로부터 수신한 명령을 실행합니다.
• Agent 서버(선택 사항) 사용자 스택 모듈에 명령을 보내고 사용자 스택 모듈의 상태를 모니터링합니다.

Execve Hook

sys_execve()/sys_execveat()/compat_sys_execve()/compat_sys_execveat() 를 후킹하여 구현됨, 예:

{
    "uid":"0",
    "data_type":"59",
    "run_path":"/tmp",
    "exe":"/opt/ltp/testcases/bin/growfiles",
    "argv":"growfiles -W gf26 -D 0 -b -i 0 -L 60 -u -B 1000b -e 1 -r 128-32768:128 -R 512-64000 -T 4 -f gfsmallio-35861 -d /tmp/ltp-Ujxl8kKsKY ",
    "pid":"35861",
    "ppid":"35711",
    "pgid":"35861",
    "tgid":"35861",
    "comm":"growfiles",
    "nodename":"test",
    "stdin":"/dev/pts/1",
    "stdout":"/dev/pts/1",
    "sessionid":"3",
    "sip":"192.168.165.1",
    "sport":"61726",
    "dip":"192.168.165.128",
    "dport":"22",
    "sa_family":"1",
    "pid_tree":"1(systemd)->1384(sshd)->2175(sshd)->2177(bash)->2193(fish)->35552(runltp)->35711(ltp-pan)->35861(growfiles)",
    "tty_name":"pts1",
    "socket_process_pid":"2175",
    "socket_process_exe":"/usr/sbin/sshd",
    "SSH_CONNECTION":"192.168.165.1 61726 192.168.165.128 22",
    "LD_PRELOAD":"/root/ldpreload/test.so",
    "user":"root",
    "time":"1579575429143",
    "local_ip":"192.168.165.128",
    "hostname":"test",
    "exe_md5":"01272152d4901fd3c2efacab5c0e38e5",
    "socket_process_exe_md5":"686cd72b4339da33bfb6fe8fb94a301f"
}

Bind Hook

sys_bind() 를 후킹하여 구현됨, 예:

{
    "uid":"0",
    "data_type":"49",
    "sa_family":"2",
    "exe":"/usr/bin/python2.7",
    "pid":"109640",
    "ppid":"215496",
    "pgid":"109640",
    "tgid":"109640",
    "comm":"python",
    "nodename":"n225-117-018",
    "sip":"0.0.0.0",
    "sport":"8000",
    "res":"0",
    "sessionid":"30",
    "user":"root",
    "time":"1587540231936",
    "local_ip_str":"10.225.117.18",
    "hostname_str":"n225-117-018",
    "exe_md5":"4f458165a2129ba549f1b6605ee87e74"
}

Connect Hook

tcp_v4_connect()/tcp_v6_connect()/ip4_datagram_connect()/ip6_datagram_connect() 를 후킹하여 구현됨, 예:

{
    "uid":"0",
    "data_type":"42",
    "sa_family":"2",
    "connect_type":"4",
    "dport":"1025",
    "dip":"180.101.49.11",
    "exe":"/usr/bin/ping",
    "pid":"6294",
    "ppid":"1941",
    "pgid":"6294",
    "tgid":"6294",
    "comm":"ping",
    "nodename":"test",
    "sip":"192.168.165.153",
    "sport":"45524",
    "res":"0",
    "sessionid":"1",
    "user":"root",
    "time":"1575721921240",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"735ae70b4ceb8707acc40bc5a3d06e04"
}

DNS Query Hook

udp_recvmsg()/udpv6_recvmsg() 를 후킹하여 구현됨, 예:

{
    "uid":"0",
    "data_type":"601",
    "sa_family":"2",
    "dport":"53",
    "dip":"192.168.165.2",
    "exe":"/usr/bin/ping",
    "pid":"6294",
    "ppid":"1941",
    "pgid":"6294",
    "tgid":"6294",
    "comm":"ping",
    "nodename":"test",
    "sip":"192.168.165.153",
    "sport":"53178",
    "qr":"1",
    "opcode":"0",
    "rcode":"0",
    "query":"www.baidu.com",
    "sessionid":"1",
    "user":"root",
    "time":"1575721921240",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"39c45487a85e26ce5755a893f7e88293"
}

Create File Hook

security_inode_create() 를 후킹하여 구현됨, 예:

{
    "uid":"0",
    "data_type":"602",
    "exe":"/usr/lib/jvm/java-1.8.0-openjdk-1.8.0.232.b09-0.el7_7.x86_64/jre/bin/java",
    "file_path":"/tmp/kafka-logs/replication-offset-checkpoint.tmp",
    "pid":"3341",
    "ppid":"1",
    "pgid":"2657",
    "tgid":"2659",
    "comm":"kafka-scheduler",
    "nodename":"test",
    "sessionid":"3",
    "user":"root",
    "time":"1575721984257",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"215be70a38c3a2e14e09d637c85d5311",
    "create_file_md5":"d41d8cd98f00b204e9800998ecf8427e"
}

Process Inject Hook

sys_ptrace() 를 후킹하여 구현됨, 예:

{
    "uid":"0",
    "data_type":"101",
    "ptrace_request":"4",
    "target_pid":"7402",
    "addr":"00007ffe13011ee6",
    "data":"-a",
    "exe":"/root/ptrace/ptrace",
    "pid":"7401",
    "ppid":"1941",
    "pgid":"7401",
    "tgid":"7401",
    "comm":"ptrace",
    "nodename":"test",
    "sessionid":"1",
    "user":"root",
    "time":"1575722717065",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"863293f9fcf1af7afe5797a4b6b7aa0a"
}

Load LKM File Hook

load_module() 를 후킹하여 구현됨, 예:

{
    "uid":"0",
    "data_type":"603",
    "exe":"/usr/bin/kmod",
    "lkm_file":"/root/ptrace/ptrace",
    "pid":"29461",
    "ppid":"9766",
    "pgid":"29461",
    "tgid":"29461",
    "comm":"insmod",
    "nodename":"test",
    "sessionid":"13",
    "user":"root",
    "time":"1577212873791",
    "local_ip":"192.168.165.152",
    "hostname":"test",
    "exe_md5":"0010433ab9105d666b044779f36d6d1e",
    "load_file_md5":"863293f9fcf1af7afe5797a4b6b7aa0a"
}

Cred Change Hook

commit_creds() 를 후킹하여 구현됨, 예: