기존 FIM 방식:
  디스크에서 파일 읽기 -> 해시 계산 -> 비교 -> 이상 없음 보고

Copy Fail 현실:
  디스크의 파일 = 변경 없음
  페이지 캐시   = 손상됨
  FIM 결과      = 탐지 불가

1단계: socket(38, 5, 0)       AF_ALG 소켓 - 권한 불필요
2단계: bind()                  authencesn에 바인딩 - 취약 코드 활성화
3단계: sendmsg()               AAD 페이로드 제작 - 4~7번째 바이트 = 쓸 값
4단계: splice()          [!]   트리거 - 페이지 캐시 페이지가 쓰기 가능한 SGL에 진입
5단계: recv()                  authencesn이 seqno_lo를 페이지 캐시에 기록
6단계: execve(/usr/bin/su)     손상된 setuid 바이너리가 UID 0으로 셸코드 실행

COPY-FAIL-Detection-with-Wazuh-4.14.4/
│
├── rules/
│   └── local_rules.xml              # Wazuh 탐지 규칙 8개 (199600-199607)
│
├── auditd/
│   └── cve-2026-31431.rules         # auditd syscall 센서 규칙
│
├── sca/
│   └── cve_2026_31431.yml           # SCA 정책 - 커널 버전 무관
│
└── docs/
    ├── pentlab_uid.png               # PoC 실행 - Kali에서 루트 권한 획득
    ├── Rule-199604-TRIGs.png         # 규칙 199604 - pentlab에서 80회 적중
    ├── Rule_199604_Wazuh_Server_only.png  # 규칙 199604 - 첫 검증
    ├── Splice_-_Non-root_process.png # 규칙 199600/199601/199604 발동
    ├── Modprobe_-_Possible_Algif_aed_load_attempt.png  # 규칙 199603
    ├── Pentlab-PoC.png               # pentlab 에이전트의 규칙 199603
    ├── exploit_chain_timeline.svg    # 공격 체인
    └── SCA_CVE-2026-31431.png        # SCA 정책 점수 75%

-a always,exit -F arch=b64 -S socket -F a0=0x26 -F uid!=0 -k copy_fail_af_alg
-a always,exit -F arch=b32 -S socket -F a0=0x26 -F uid!=0 -k copy_fail_af_alg
-a always,exit -F arch=b64 -S splice -F uid!=0 -k copy_fail_splice
-w /usr/bin/su    -p x -k copy_fail_execve_su
-w /usr/bin/kmod  -p x -k copy_fail_modload

# Ubuntu / Debian / Kali
apt install auditd audispd-plugins -y
systemctl enable --now auditd
auditctl -s | grep enabled

# RHEL / Amazon Linux
yum install audit -y
systemctl enable --now auditd

# SUSE
zypper install audit -y
systemctl enable --now auditd

cp auditd/cve-2026-31431.rules /etc/audit/rules.d/
augenrules --load
auditctl -l | grep copy_fail

-a always,exit -F arch=b64 -S socket -F a0=0x26 -F uid!=0 -F key=copy_fail_af_alg
-a always,exit -F arch=b32 -S socket -F a0=0x26 -F uid!=0 -F key=copy_fail_af_alg
-a always,exit -F arch=b64 -S splice -F uid!=0 -F key=copy_fail_splice
-w /usr/bin/su -p x -k copy_fail_execve_su
-w /usr/bin/kmod -p x -k copy_fail_modload

# 옵션 A - 독립 파일
cp rules/local_rules.xml /var/ossec/etc/rules/cve-2026-31431_rules.xml

# 옵션 B - local_rules.xml에 추가
cat rules/local_rules.xml >> /var/ossec/etc/rules/local_rules.xml

# 구문 검증 - 경고 0건으로 종료 코드 0이어야 함
/var/ossec/bin/wazuh-analysisd -t 2>&1 | tail -5

# 매니저 재시작
systemctl restart wazuh-manager

cp sca/cve_2026_31431.yml /var/ossec/etc/shared/default/

<policies>
  <policy>/var/ossec/etc/shared/default/cve_2026_31431.yml</policy>
</policies>

systemctl restart wazuh-manager

<!-- <ossec_config> 안에 추가 -->
<localfile>
  <log_format>audit</log_format>
  <location>/var/log/audit/audit.log</location>
</localfile>

# 필요한 경우 테스트 사용자 생성
useradd -m testuser 2>/dev/null || true

# 신호 1 생성 - AF_ALG 소켓
su - testuser -c "python3 -c \"import socket; socket.socket(38, 5, 0); print('AF_ALG OK')\""

# 신호 3 생성 - /usr/bin/su 실행
su - testuser -c "/usr/bin/su --help 2>/dev/null || true"

# auditd가 이벤트를 캡처했는지 확인
ausearch -k copy_fail_af_alg -ts recent 2>/dev/null | grep "key=\|exe=\|uid=" | head -5

# Wazuh가 알림을 생성했는지 확인
grep -E "199600|199602" /var/ossec/logs/alerts/alerts.log | tail -10

grep -E "31431|cve_2026" /var/ossec/logs/alerts/alerts.log | tail -10

rmmod algif_aead 2>/dev/null || true
echo 'install algif_aead /bin/false' > /etc/modprobe.d/disable-algif-aead.conf

# Ubuntu / Debian
apt update && apt upgrade linux-generic

# RHEL / Amazon Linux
dnf update kernel

# SUSE
zypper update kernel-default