grubby --update-kernel=ALL --args="initcall_blacklist=algif_aead_init"
reboot
# 验证：
cat /proc/cmdline | grep initcall_blacklist

├── README.md                      # 本文件
├── LICENSE                        # MIT 许可证
├── playbook/
│   ├── index.html                 # 交互式 IR 手册（13 个标签页）
│   └── triage_playbook.md         # SOC 分析师分流指南
├── sigma/
│   ├── afalg_socket_creation.yml  # 非 root 创建 AF_ALG 套接字
│   ├── afalg_bind_aead_string.yml # authencsn 算法字符串
│   └── afalg_splice_chain.yml     # 行为链规则
├── auditd/
│   └── cve-2026-31431.rules       # 完整 auditd 规则集
├── falco/
│   └── afalg_container.yml        # 容器 AF_ALG 检测
├── wazuh/
│   └── cve-2026-31431.xml         # Wazuh 关联规则
├── yara/
│   └── copyfail_artifacts.yar     # PoC 文件工件检测
├── ebpf/
│   └── copyfail_monitor.bt        # bpftrace 实时监控器
├── queries/
│   ├── splunk.spl                 # Splunk SPL 狩猎查询
│   ├── defender_sentinel.kql      # Sentinel/MDE KQL 查询
│   ├── elastic.eql                # Elastic EQL 序列
│   └── qradar.aql                 # QRadar AQL 查询
├── mitigate/
│   ├── mitigate_debian.sh         # Debian/Ubuntu 缓解措施
│   └── mitigate_rhel.sh           # RHEL 系（grubby 方法）
└── check/
    └── is_vulnerable.sh           # 安全漏洞检测

# 1. 检查是否存在漏洞
sudo bash check/is_vulnerable.sh

# 2. 应用缓解措施
sudo bash mitigate/mitigate_rhel.sh    # RHEL 系
sudo bash mitigate/mitigate_debian.sh  # Debian/Ubuntu

# 3. 部署 auditd 规则
sudo cp auditd/cve-2026-31431.rules /etc/audit/rules.d/
sudo augenrules --load

# 4. 部署 Wazuh 规则
sudo cp wazuh/cve-2026-31431.xml /var/ossec/etc/rules/local_rules.xml
sudo systemctl restart wazuh-manager

# 5. 部署 Falco 规则（Kubernetes）
sudo cp falco/afalg_container.yml /etc/falco/rules.d/
sudo systemctl restart falco

# 6. 运行 eBPF 监控器（实时）
sudo bpftrace ebpf/copyfail_monitor.bt

# 7. 扫描 PoC 文件
yara yara/copyfail_artifacts.yar /tmp/ /dev/shm/ /var/tmp/