Linux下EDR产品设计：高危命令阻断

概述

本文档详细介绍了在Linux环境下设计EDR(终端检测与响应)产品中高危命令阻断功能的实现方法。该功能主要通过eBPF技术监控和阻断危险系统命令的执行，如rm和killall等可能对系统造成破坏的操作。

技术实现

1. 产品对比

在实现高危命令阻断功能前，需要对不同EDR产品方案进行对比评估：

• 1号产品服务：提供基础命令监控功能
• 2号产品服务：提供更全面的命令阻断和审计功能

2. 核心组件

Probe & Kprobe

使用Linux内核的kprobe机制来监控系统调用：

• kprobe允许在内核函数执行前后插入钩子
• 可以捕获系统调用的参数和返回值
• 特别关注execve系统调用，这是命令执行的关键入口

3. 设计流程

1. 部署准备：

   • 确认系统支持eBPF
   • 安装必要的开发工具和内核头文件

2. eBPF程序开发：

   • 编写内核态eBPF代码
   • 实现命令匹配逻辑
   • 设计阻断机制

3. 用户态程序开发：

   • 编写与eBPF程序交互的用户态代码
   • 实现日志记录和报警功能

4. 系统集成：

   • 将程序打包为系统服务
   • 配置自动启动

4. 具体实现步骤

安装eBPF依赖

# 安装必要的开发工具
sudo apt-get install -y build-essential git make libelf-dev clang llvm

# 安装内核头文件
sudo apt-get install -y linux-headers-$(uname -r)

eBPF代码实现（以rm & killall为例）

// block_execve.c
#include <linux/bpf.h>
#include <linux/version.h>
#include <linux/ptrace.h>
#include <linux/sched.h>
#include <linux/fs.h>
#include <uapi/linux/bpf.h>
#include "bpf_helpers.h"

// 定义需要阻断的命令
static const char *blocked_commands[] = {
    "rm",
    "killall",
    // 可以添加更多危险命令
    NULL
};

SEC("kprobe/sys_execve")
int kprobe__sys_execve(struct pt_regs *ctx)
{
    char comm[16];
    bpf_get_current_comm(&comm, sizeof(comm));
    
    // 检查当前执行的命令是否在阻断列表中
    for (int i = 0; blocked_commands[i] != NULL; i++) {
        if (__builtin_memcmp(comm, blocked_commands[i], strlen(blocked_commands[i])) == 0) {
            // 匹配到危险命令，返回错误码阻断执行
            return -EPERM;
        }
    }
    
    return 0;
}

char _license[] SEC("license") = "GPL";

编译eBPF程序

clang -O2 -target bpf -c block_execve.c -o block_execve.o

用户态代码

// user_program.c
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>
#include <sys/resource.h>
#include <bpf/libbpf.h>
#include "block_execve.skel.h"

int main(int argc, char **argv)
{
    struct block_execve_bpf *obj;
    int err;
    
    // 加载eBPF程序
    obj = block_execve_bpf__open();
    if (!obj) {
        fprintf(stderr, "Failed to open BPF object\n");
        return 1;
    }
    
    // 加载并验证BPF程序
    err = block_execve_bpf__load(obj);
    if (err) {
        fprintf(stderr, "Failed to load BPF object: %d\n", err);
        goto cleanup;
    }
    
    // 附加kprobe
    err = block_execve_bpf__attach(obj);
    if (err) {
        fprintf(stderr, "Failed to attach BPF programs: %d\n", err);
        goto cleanup;
    }
    
    printf("eBPF program loaded and attached. Press Ctrl+C to exit.\n");
    
    // 保持程序运行
    while (1) {
        sleep(1);
    }
    
cleanup:
    block_execve_bpf__destroy(obj);
    return err != 0;
}

查询监控日志

# 查看内核日志中记录的阻断事件
sudo cat /var/log/kern.log | grep "Command blocked"

停止eBPF程序

# 查找并杀死用户态程序
ps aux | grep user_program
kill <pid>

# 卸载eBPF程序
sudo rm /sys/fs/bpf/block_execve

高级功能扩展

1. 动态规则更新：

   • 实现用户态和内核态的通信机制
   • 允许运行时更新阻断命令列表

2. 上下文感知阻断：

   • 结合进程树分析
   • 区分不同用户和环境的执行权限

3. 审计日志增强：

   • 记录完整的命令参数
   • 关联用户信息和时间戳

4. 性能优化：

   • 使用eBPF map优化命令匹配
   • 实现高效的哈希查找

注意事项

1. 内核兼容性：

   • 不同Linux内核版本可能需要调整eBPF代码
   • 测试目标系统内核的eBPF特性支持情况

2. 安全考虑：

   • 保护eBPF程序不被恶意卸载
   • 防止权限绕过攻击

3. 误报处理：

   • 设计白名单机制
   • 实现精细化的命令参数过滤

总结

通过eBPF技术实现Linux下的高危命令阻断功能，能够在不影响系统性能的前提下提供有效的安全防护。该方案具有以下优势：

• 内核级监控，难以被绕过
• 低性能开销
• 灵活的规则配置
• 丰富的审计信息

随着eBPF技术的不断发展，EDR产品的检测和响应能力将得到进一步提升。