Siper (Escudo)

Siper é um firewall de lista negra IP de alto desempenho baseado em XDP, construído com Go e C (eBPF). Ele permite descartar tráfego malicioso no estágio mais inicial possível da pilha de rede do Linux—no nível do driver de rede. Ao utilizar o XDP (Express Data Path), o Siper processa pacotes antes mesmo de eles atingirem o subsistema de rede pesado do kernel, proporcionando desempenho extremo mesmo sob condições intensas de DDoS.

Funcionalidades

• Desempenho Impulsionado por XDP: A filtragem de pacotes ocorre no nível do driver de NIC usando XDP_DROP, resultando em uma sobrecarga de CPU significativamente menor em comparação com iptables ou nftables.

• LPM (Longest Prefix Match): Suporta bloqueio baseado em CIDR (ex.: 192.168.1.0/24) usando mapas BPF LPM Trie especializados para consultas eficientes de intervalos IP.

• Configuração Persistente: As regras são gerenciadas por meio de uma lista negra local baseada em JSON, permitindo fácil auditoria e versionamento de endereços bloqueados.

• Observabilidade em Tempo Real: Métricas integradas para rastrear contadores de pacotes e bytes para tráfego descartado e permitido.

• Arquitetura Minimalista: Um objeto BPF compilado lida com o plano de dados, enquanto uma CLI baseada em Go gerencia o plano de controle.

Arquitetura

O Siper opera no princípio de separar o Plano de Controle (Espaço do Usuário) do Plano de Dados (Espaço do Kernel).

O Fluxo de Gerenciamento (Espaço do Usuário)

1. Definição de Regras: O usuário adiciona/remove CIDRs via CLI. Eles são armazenados em um arquivo blacklist.json.
2. Carregamento: Quando siper run é executado, a aplicação Go analisa o JSON, compila/carrega o objeto eBPF e preenche o Mapa BPF com os prefixos IP.
3. Monitoramento: A CLI se comunica com o kernel via chamadas de sistema BPF para despejar métricas e estados atuais do mapa sem interromper o tráfego.

O Fluxo de Pacotes (Espaço do Kernel)

1. Ingresso: Um pacote chega na interface de rede.

2. Consulta: O programa XDP intercepta o pacote e realiza uma consulta no mapa block_list.

3. Veredito:

   • Correspondência: O pacote é descartado imediatamente (XDP_DROP).
   • Sem Correspondência: O pacote é passado para a pilha de rede padrão do Linux (XDP_PASS).

Instalação e Uso

Pré-requisitos

• Kernel Linux: 5.4 ou mais recente (com suporte a XDP).
• Go: 1.21+ instalado.
• Clang/LLVM: Para compilar o programa C eBPF no objeto .o.
• Permissões: Acesso root ou capacidades CAP_NET_ADMIN / CAP_BPF.

1. Compilar o Projeto

make

Vá para o diretório build/

2. Gerenciar a Lista Negra

Adicione ou remova intervalos IP do seu arquivo de configuração local:

# Adicionar um CIDR à lista
sudo ./siper add --cidr 1.2.3.0/24 --comment "Known botnet"

# Excluir uma regra
sudo ./siper del --cidr 1.2.3.0/24

3. Executar o Firewall

Anexe o firewall a uma interface de rede específica:

# Iniciar o firewall
sudo ./siper run --iface eth0 --path ./blacklist.json

# Parar e desanexar o firewall
sudo ./siper stop --iface eth0

4. Monitorar Métricas e Chaves

Veja o que está acontecendo dentro do kernel:

# Ver chaves atualmente ativas no mapa BPF
sudo ./siper dump-keys

# Monitorar estatísticas de descarte/passagem
sudo ./siper dump-metrics

Contribuindo

Pull requests são bem-vindos. Para correções de bugs e pequenas melhorias, envie um pull request. Para mudanças significativas, abra uma issue primeiro para discutir o que você gostaria de alterar.

Licença

Este projeto é software livre; você pode redistribuí-lo e/ou modificá-lo sob os termos da licença GPLv3. Veja LICENSE para detalhes.