Hades - 基于eBPF的主机入侵检测系统

英文 | 中文

Hades是一个基于eBPF和netlink(cn_proc)的主机入侵检测系统。目前仍在开发中。欢迎提交PR和问题！

声明：本项目基于Tracee和Elkeid。感谢这些优秀的开源项目。

概述

目前这是一个演示后端，仍在开发中

代理部分主要基于Elkeid 1.7版本。

data

data

这里有21个基于tracepoints/kprobes/uprobes的钩子。字段扩展方式与Elkeid基本相同。

有关这些钩子的详细信息。

<details><summary> eBPF驱动钩子详情 </summary> <p>

钩子	状态和描述	ID
tracepoint/syscalls/sys_enter_execve	开启	700
tracepoint/syscalls/sys_enter_execveat	开启	698
tracepoint/syscalls/sys_enter_memfd_create	开启	614
tracepoint/syscalls/sys_enter_prctl	开启(PR_SET_NAME & PR_SET_MM)	1020
tracepoint/syscalls/sys_enter_ptrace	开启(PTRACE_PEEKTEXT & PTRACE_POKEDATA)	1021
kprobe/security_socket_connect	开启	1022
kprobe/security_socket_bind	开启	1024
kprobe/commit_creds	开启	1011
k(ret)probe/udp_recvmsg	开启(53/5353用于DNS数据)	1025
kprobe/do_init_module	开启	1026
kprobe/security_kernel_read_file	开启	1027
kprobe/security_inode_create	开启	1028
kprobe/security_sb_mount	开启	1029
kprobe/call_usermodehelper	开启	1030
kprobe/security_inode_rename	开启	1031
kprobe/security_inode_link	开启	1032
uprobe/trigger_sct_scan	开启	1200
uprobe/trigger_idt_scan	开启	1201
kprobe/security_file_permission	开启	1202
uprobe/trigger_module_scan	开启	1203
kprobe/security_bpf	开启	1204

</p></details>

S代表同步(实时)，P代表周期性，C代表基于配置

<details><summary> 收集器事件详情 </summary> <p>