AgentSmith-HIDS

--O nome deste projeto foi inspirado pelo filme - The Matrix

ESTE REPOSITÓRIO É ANTIGO

VERSÃO DE LANÇAMENTO: https://github.com/bytedance/Elkeid

Sobre o AgentSmith-HIDS

Tecnicamente, o AgentSmith-HIDS não é um Sistema de Detecção de Intrusão Baseado em Host (HIDS) devido à falta de mecanismo de regras e função de detecção. No entanto, pode ser usado como um 'Agente de Coleta de Informações do Host' de alto desempenho como parte da sua própria solução HIDS. A abrangência das informações que podem ser coletadas por este agente foi uma das métricas mais importantes durante o desenvolvimento deste projeto, portanto, foi construído para funcionar na pilha do kernel e obter uma enorme vantagem em comparação com aqueles que funcionam na pilha do usuário, como:

Melhor desempenho, As informações necessárias são coletadas na pilha do kernel para evitar ações suplementares adicionais, como a travessia de '/proc'; e para melhorar o desempenho do transporte de dados, os dados coletados são transferidos via memória compartilhada em vez de netlink.
Difícil de ser contornado, A coleta de informações foi alimentada por um driver de kernel especialmente projetado, tornando quase impossível contornar a detecção de software malicioso como rootkit, que pode deliberadamente se esconder.
Fácil de integrar, O AgentSmith-HIDS foi construído para integrar com outras aplicações e pode ser usado não apenas como ferramenta de segurança, mas também como uma boa ferramenta de monitoramento, ou até mesmo um bom detector de seus ativos. O agente é capaz de coletar usuários, arquivos, processos e conexões de internet para você, então imagine quando você o integrar com CMDB, poderá obter um mapa abrangente composto por sua rede, host, contêiner e negócios (até dependências). E se você também tiver uma ferramenta de auditoria de banco de dados à mão? O mapa pode ser estendido para conter o relacionamento entre seu banco de dados, usuário do banco, tabelas, campos, aplicações, rede, host e contêineres, etc. Pensando na possibilidade de integração com sistema de detecção de intrusão de rede e/ou inteligência de ameaças, etc., maior rastreabilidade também pode ser alcançada. Nunca fica obsoleto.
Pilha do kernel + Pilha do usuário, O AgentSmith-HIDS também fornece módulo de pilha do usuário, para estender ainda mais a funcionalidade quando trabalha com o módulo de pilha do kernel.

Principais capacidades do AgentSmith-HIDS：

O módulo de pilha do kernel intercepta comportamentos de execve, connect, injeção de processo, criar arquivo, consulta DNS, carregar LKM via Kprobe, e também é capaz de monitorar contêineres sendo compatível com Linux namespace.
O módulo de pilha do usuário utiliza funções de detecção internas que incluem consultas de Lista de Usuários, Lista de portas de escuta, Lista de RPMs do sistema, Tarefas agendadas
AntiRootkit, De: Tyton , por enquanto adiciona os recursos PROC_FILE_HOOK, SYSCALL_HOOK, LKM_HIDDEN, INTERRUPTS_HOOK, mas funciona apenas no Kernel > 3.10.
Monitoramento de mudança de Cred (exceto sudo/su/sshd)
Monitoramento de login de usuário

Cenários/métodos de uso do AgentSmith-HIDS (a ser adicionado)

Como detectar shell reverso com AgentSmith HIDS

Sobre a compatibilidade com a versão do Kernel

Kernel > 2.6.25
AntiRootKit > 3.10

Sobre a compatibilidade com Contêineres

Origem	Nome do nó
Host	hostname
Docker	nome do contêiner
k8s	nome do pod

Composição do AgentSmith-HIDS

Módulo de pilha do kernel (LKM) Intercepta funções chave via Kprobe para capturar informações necessárias.
Módulo de pilha do usuário Coleta dados capturados pelo módulo de pilha do kernel, realiza o processamento necessário e os envia para o Kafka; Continua enviando pacotes de heartbeat para o servidor para que a integridade do processo possa ser identificada; Executa comandos recebidos do servidor.
Servidor do Agente(Opcional) Envia comandos para o módulo de pilha do usuário e monitora o status do módulo de pilha do usuário.

Hook de Execve

Alcançado interceptando sys_execve()/sys_execveat()/compat_sys_execve()/compat_sys_execveat(), exemplo:

{
    "uid":"0",
    "data_type":"59",
    "run_path":"/tmp",
    "exe":"/opt/ltp/testcases/bin/growfiles",
    "argv":"growfiles -W gf26 -D 0 -b -i 0 -L 60 -u -B 1000b -e 1 -r 128-32768:128 -R 512-64000 -T 4 -f gfsmallio-35861 -d /tmp/ltp-Ujxl8kKsKY ",
    "pid":"35861",
    "ppid":"35711",
    "pgid":"35861",
    "tgid":"35861",
    "comm":"growfiles",
    "nodename":"test",
    "stdin":"/dev/pts/1",
    "stdout":"/dev/pts/1",
    "sessionid":"3",
    "sip":"192.168.165.1",
    "sport":"61726",
    "dip":"192.168.165.128",
    "dport":"22",
    "sa_family":"1",
    "pid_tree":"1(systemd)->1384(sshd)->2175(sshd)->2177(bash)->2193(fish)->35552(runltp)->35711(ltp-pan)->35861(growfiles)",
    "tty_name":"pts1",
    "socket_process_pid":"2175",
    "socket_process_exe":"/usr/sbin/sshd",
    "SSH_CONNECTION":"192.168.165.1 61726 192.168.165.128 22",
    "LD_PRELOAD":"/root/ldpreload/test.so",
    "user":"root",
    "time":"1579575429143",
    "local_ip":"192.168.165.128",
    "hostname":"test",
    "exe_md5":"01272152d4901fd3c2efacab5c0e38e5",
    "socket_process_exe_md5":"686cd72b4339da33bfb6fe8fb94a301f"
}

Hook de Bind

Alcançado interceptando sys_bind(), exemplo:

{
    "uid":"0",
    "data_type":"49",
    "sa_family":"2",
    "exe":"/usr/bin/python2.7",
    "pid":"109640",
    "ppid":"215496",
    "pgid":"109640",
    "tgid":"109640",
    "comm":"python",
    "nodename":"n225-117-018",
    "sip":"0.0.0.0",
    "sport":"8000",
    "res":"0",
    "sessionid":"30",
    "user":"root",
    "time":"1587540231936",
    "local_ip_str":"10.225.117.18",
    "hostname_str":"n225-117-018",
    "exe_md5":"4f458165a2129ba549f1b6605ee87e74"
}

Hook de Connect

Alcançado interceptando tcp_v4_connect()/tcp_v6_connect()/ip4_datagram_connect()/ip6_datagram_connect(), exemplo:

{
    "uid":"0",
    "data_type":"42",
    "sa_family":"2",
    "connect_type":"4",
    "dport":"1025",
    "dip":"180.101.49.11",
    "exe":"/usr/bin/ping",
    "pid":"6294",
    "ppid":"1941",
    "pgid":"6294",
    "tgid":"6294",
    "comm":"ping",
    "nodename":"test",
    "sip":"192.168.165.153",
    "sport":"45524",
    "res":"0",
    "sessionid":"1",
    "user":"root",
    "time":"1575721921240",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"735ae70b4ceb8707acc40bc5a3d06e04"
}

Hook de Consulta DNS

Alcançado interceptando udp_recvmsg()/udpv6_recvmsg(), exemplo:

{
    "uid":"0",
    "data_type":"601",
    "sa_family":"2",
    "dport":"53",
    "dip":"192.168.165.2",
    "exe":"/usr/bin/ping",
    "pid":"6294",
    "ppid":"1941",
    "pgid":"6294",
    "tgid":"6294",
    "comm":"ping",
    "nodename":"test",
    "sip":"192.168.165.153",
    "sport":"53178",
    "qr":"1",
    "opcode":"0",
    "rcode":"0",
    "query":"www.baidu.com",
    "sessionid":"1",
    "user":"root",
    "time":"1575721921240",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"39c45487a85e26ce5755a893f7e88293"
}

Hook de Criar Arquivo

Alcançado interceptando security_inode_create(), exemplo:

{
    "uid":"0",
    "data_type":"602",
    "exe":"/usr/lib/jvm/java-1.8.0-openjdk-1.8.0.232.b09-0.el7_7.x86_64/jre/bin/java",
    "file_path":"/tmp/kafka-logs/replication-offset-checkpoint.tmp",
    "pid":"3341",
    "ppid":"1",
    "pgid":"2657",
    "tgid":"2659",
    "comm":"kafka-scheduler",
    "nodename":"test",
    "sessionid":"3",
    "user":"root",
    "time":"1575721984257",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"215be70a38c3a2e14e09d637c85d5311",
    "create_file_md5":"d41d8cd98f00b204e9800998ecf8427e"
}

Hook de Injeção de Processo

Alcançado interceptando sys_ptrace(), exemplo:

{
    "uid":"0",
    "data_type":"101",
    "ptrace_request":"4",
    "target_pid":"7402",
    "addr":"00007ffe13011ee6",
    "data":"-a",
    "exe":"/root/ptrace/ptrace",
    "pid":"7401",
    "ppid":"1941",
    "pgid":"7401",
    "tgid":"7401",
    "comm":"ptrace",
    "nodename":"test",
    "sessionid":"1",
    "user":"root",
    "time":"1575722717065",
    "local_ip":"192.168.165.153",
    "hostname":"test",
    "exe_md5":"863293f9fcf1af7afe5797a4b6b7aa0a"
}

Hook de Carregar Arquivo LKM

Alcançado interceptando load_module(), exemplo:

{
    "uid":"0",
    "data_type":"603",
    "exe":"/usr/bin/kmod",
    "lkm_file":"/root/ptrace/ptrace",
    "pid":"29461",
    "ppid":"9766",
    "pgid":"29461",
    "tgid":"29461",
    "comm":"insmod",
    "nodename":"test",
    "sessionid":"13",
    "user":"root",
    "time":"1577212873791",
    "local_ip":"192.168.165.152",
    "hostname":"test",
    "exe_md5":"0010433ab9105d666b044779f36d6d1e",
    "load_file_md5":"863293f9fcf1af7afe5797a4b6b7aa0a"
}

Hook de Mudança de Cred

Alcançado interceptando commit_creds(), exemplo:

{
    "uid":"0",
    "data_type":"604",
    "exe":"/tmp/tt",
    "pid":"27737",
    "ppid":"26865",
    "pgid":"27737",
    "tgid":"27737",
    "comm":"tt",
    "old_uid":"1000",
    "nodename":"test",
    "sessionid":"42",
    "user":"root",
    "time":"1578396197131",
    "local_ip":"192.168.165.152",
    "hostname":"test",
    "exe_md5":"d99a695d2dc4b5099383f30964689c55"
}

{
    "data_type":"1001",
    "status":"Failed",
    "type":"password",
    "user_exsit":"false",
    "user":"sad",
    "from_ip":"192.168.165.1",
    "port":"63089",
    "processor":"ssh2",
    "time":"1578405483119",
    "local_ip":"192.168.165.128",
    "hostname":"localhost.localdomain"
}

Alerta de Hook de Arquivo PROC

{
    "uid":"-1",
    "data_type":"700",
    "module_name":"autoipv6",
    "hidden":"0",
    "time":"1578384987766",
    "local_ip":"192.168.165.152",
    "hostname":"test"
}

Alerta de Hook de Syscall

{
    "uid":"-1",
    "data_type":"701",
    "module_name":"diamorphine",
    "hidden":"1",
    "syscall_number":"78",
    "time":"1578384927606",
    "local_ip":"192.168.165.152",
    "hostname":"test"
}

Alerta de LKM Oculto

{
    "uid":"-1",
    "data_type":"702",
    "module_name":"diamorphine",
    "hidden":"1",
    "time":"1578384927606",
    "local_ip":"192.168.165.152",
    "hostname":"test"
}

Alerta de Hook de Interrupções

{
    "uid":"-1",
    "data_type":"703",
    "module_name":"syshook",
    "hidden":"1",
    "interrupt_number":"2",
    "time":"1578384927606",
    "local_ip":"192.168.165.152",
    "hostname":"test"
}

Sobre o Desempenho do AgentSmith-HIDS

Ambiente de Teste (VM):

CPU	Intel(R) Xeon(R) Platinum 8260 CPU @ 2.40GHz 4Core
RAM	8GB
SO/Kernel	Debian9 / 4.14.81.bm.19-amd64

Carga de Teste：

ltp -f syscalls

Resultado do Teste (1min):

Dados Originais do Teste:

Dados de Benchmark

Teste cyclictest

cyclictest -p 90 - m -c 0 -i 200 -n -h 100 -q -l 1000000

Desinstalar Smith：

# Total: 000999485
# Min Latencies: 00002
# Avg Latencies: 00007
# Max Latencies: 13905
# Histogram Overflows: 00515

Instalar Smith：

# Total: 000999519
# Min Latencies: 00002
# Avg Latencies: 00007
# Max Latencies: 15216
# Histogram Overflows: 00481

time -v /opt/ltp/testcases/bin/execve05 -n 30000

10 vezes

Instalar Smith：

Tempo Médio do Usuário (s)	Tempo Médio do Sistema (s)
22.329	14.885

Desinstalar Smith：

Tempo Médio do Usuário (s)	Tempo Médio do Sistema (s)
22.271	14.395

Documentos para implantação e teste:

Guia de Início Rápido

Agradecimentos Especiais (Sem ordem específica)

Wechat do desenvolvedor

Canal Wechat do '灾难控制局'

Forneceremos constantemente informações sobre as funcionalidades do AgentSmith-HIDS através deste canal, um bom lugar para receber as notícias mais atualizadas :)

Licença

O módulo de kernel do AgentSmith-HIDS é distribuído sob a licença GNU GPLv2.

connect_entry_handler	0.2914	6.7627	0.355	0.3012
connect_handler	2.1406	18.3801	12.102	7.832
execve_entry_handler	5.9320	13.7034	9.908	8.334
execve_handler	6.8826	26.0584	15.9976	12.6260
security_inode_create_entry_handler	1.9963	9.3042	6.7730	4.6816
security_inode_create_handler	4.2114	13.2165	8.83775	6.534

AgentSmith-HIDS

Mais Populares

AgentSmith-HIDS

ESTE REPOSITÓRIO É ANTIGO

VERSÃO DE LANÇAMENTO: https://github.com/bytedance/Elkeid

Sobre o AgentSmith-HIDS

Principais capacidades do AgentSmith-HIDS：

Cenários/métodos de uso do AgentSmith-HIDS (a ser adicionado)

Sobre a compatibilidade com a versão do Kernel

Sobre a compatibilidade com Contêineres

Composição do AgentSmith-HIDS

Hook de Execve

Hook de Bind

Hook de Connect

Hook de Consulta DNS

Hook de Criar Arquivo

Hook de Injeção de Processo

Hook de Carregar Arquivo LKM

Hook de Mudança de Cred

Alerta de Login de Usuário

Alerta de Hook de Arquivo PROC

Alerta de Hook de Syscall

Alerta de LKM Oculto

Alerta de Hook de Interrupções

Sobre o Desempenho do AgentSmith-HIDS

Documentos para implantação e teste:

Agradecimentos Especiais (Sem ordem específica)

Wechat do desenvolvedor

Canal Wechat do '灾难控制局'

Licença