लिनक्स कर्नेल में कमजोरियों के शोषण से बचाने के लिए एलकेआरजी 0.8 मॉड्यूल का विमोचन

ओपनवॉल प्रोजेक्ट प्रकाशित कर्नेल मॉड्यूल रिलीज़ एलकेआरजी 0.8 (लिनक्स कर्नेल रनटाइम गार्ड), कर्नेल संरचनाओं की अखंडता के हमलों और उल्लंघनों का पता लगाने और उन्हें रोकने के लिए डिज़ाइन किया गया है। उदाहरण के लिए, मॉड्यूल चल रहे कर्नेल में अनधिकृत परिवर्तनों से रक्षा कर सकता है और उपयोगकर्ता प्रक्रियाओं की अनुमतियों (कारनामे के उपयोग का पता लगाने) को बदलने का प्रयास कर सकता है। मॉड्यूल लिनक्स कर्नेल के लिए पहले से ही ज्ञात कारनामों के खिलाफ सुरक्षा व्यवस्थित करने के लिए उपयुक्त है (उदाहरण के लिए, उन स्थितियों में जहां सिस्टम में कर्नेल को अपडेट करना मुश्किल है), और अभी तक अज्ञात कमजोरियों के लिए कारनामों का मुकाबला करने के लिए। परियोजना का कोड द्वारा वितरित GPLv2 के अंतर्गत लाइसेंस प्राप्त।

नए संस्करण में हुए परिवर्तनों में से:

• एलकेआरजी परियोजना की स्थिति बदल दी गई है, जो अब अखंडता की जांच करने और शोषण के उपयोग को निर्धारित करने के लिए अलग-अलग उप-प्रणालियों में विभाजित नहीं है, बल्कि हमलों और विभिन्न अखंडता उल्लंघनों की पहचान करने के लिए एक पूर्ण उत्पाद के रूप में प्रस्तुत किया गया है;
• 5.3 से 5.7 तक लिनक्स कर्नेल के साथ-साथ आक्रामक जीसीसी अनुकूलन के साथ संकलित कर्नेल के साथ, CONFIG_USB और CONFIG_STACKTRACE विकल्पों के बिना या CONFIG_UNWINDER_ORC विकल्प के साथ, साथ ही उन कर्नेल के साथ संगतता प्रदान की जाती है जिनमें एलकेआरजी हुक फ़ंक्शन नहीं हैं, यदि वे कर सकते हैं त्याग दिया जाए;
• निर्माण करते समय, अस्पष्ट क्रैश के बजाय सार्थक त्रुटि संदेश उत्पन्न करने के लिए कुछ अनिवार्य CONFIG_* कर्नेल सेटिंग्स की जाँच की जाती है;
• स्टैंडबाय (एसीपीआई एस3, सस्पेंड टू रैम) और स्लीप (एस4, सस्पेंड टू डिस्क) मोड के लिए समर्थन जोड़ा गया;
• मेकफ़ाइल में DKMS समर्थन जोड़ा गया;
• 32-बिट एआरएम प्लेटफार्मों के लिए प्रायोगिक समर्थन लागू किया गया है (रास्पबेरी पाई 3 मॉडल बी पर परीक्षण किया गया)। रास्पबेरी पाई 64 बोर्ड के साथ अनुकूलता प्रदान करने के लिए पहले से उपलब्ध AArch64 (ARM4) समर्थन का विस्तार किया गया है;
• हेरफेर करने वाले कारनामों की बेहतर पहचान करने के लिए सक्षम() कॉल हैंडलर सहित नए हुक जोड़े गए हैं।क्षमताओं", प्रक्रिया आईडी नहीं (साख);
• नेमस्पेस प्रतिबंधों से बचने के प्रयासों का पता लगाने के लिए नया तर्क प्रस्तावित किया गया है (उदाहरण के लिए, डॉकर कंटेनर से);
• x86-64 सिस्टम पर, एसएमएपी (पर्यवेक्षक मोड एक्सेस प्रिवेंशन) बिट की जांच और लागू किया जाता है, जिसे कर्नेल स्तर पर चल रहे विशेषाधिकार प्राप्त कोड से उपयोगकर्ता स्थान डेटा तक पहुंच को अवरुद्ध करने के लिए डिज़ाइन किया गया है। एसएमईपी (पर्यवेक्षक मोड निष्पादन रोकथाम) सुरक्षा पहले लागू की गई थी;
• ऑपरेशन के दौरान, एलकेआरजी सेटिंग्स को एक मेमोरी पेज में रखा जाता है जो आमतौर पर केवल-पढ़ने के लिए होता है;
• लॉगिंग जानकारी जो हमलों के लिए सबसे उपयोगी हो सकती है (उदाहरण के लिए, कर्नेल में पते के बारे में जानकारी) डिबगिंग मोड (लॉग_लेवल = 4 और उच्चतर) तक सीमित है, जो डिफ़ॉल्ट रूप से अक्षम है।
• प्रक्रिया ट्रैकिंग डेटाबेस की स्केलेबिलिटी बढ़ा दी गई है - एक स्पिनलॉक द्वारा संरक्षित एक आरबी ट्री के बजाय, 512 रीड-राइट लॉक द्वारा संरक्षित 512 आरबी पेड़ों की एक हैश तालिका का उपयोग किया जाता है;
• एक मोड को डिफ़ॉल्ट रूप से कार्यान्वित और सक्षम किया गया है, जिसमें प्रक्रिया पहचानकर्ताओं की अखंडता को अक्सर केवल वर्तमान कार्य के लिए और वैकल्पिक रूप से सक्रिय (जागृत) कार्यों के लिए भी जांचा जाता है। अन्य कार्यों के लिए जो निष्क्रिय अवस्था में हैं या एलकेआरजी द्वारा नियंत्रित कर्नेल एपीआई तक पहुंच के बिना काम कर रहे हैं, जांच कम बार की जाती है।
• एलकेआरजी को फाइन-ट्यूनिंग करने के लिए नए sysctl और मॉड्यूल पैरामीटर जोड़े गए, साथ ही डेवलपर्स द्वारा तैयार फाइन-ट्यूनिंग सेटिंग्स (प्रोफाइल) के सेट से चयन करके सरलीकृत कॉन्फ़िगरेशन के लिए दो sysctl जोड़े गए;
• एक ओर उल्लंघनों का पता लगाने की गति और प्रतिक्रिया की प्रभावशीलता और दूसरी ओर प्रदर्शन पर प्रभाव और झूठी सकारात्मकता के जोखिम के बीच अधिक संतुलित संतुलन प्राप्त करने के लिए डिफ़ॉल्ट सेटिंग्स को बदल दिया गया है;
• एलकेआरजी मॉड्यूल को बूट में जल्दी लोड करने के लिए सिस्टमडी यूनिट फ़ाइल को फिर से डिज़ाइन किया गया है (मॉड्यूल को अक्षम करने के लिए कर्नेल कमांड लाइन विकल्प का उपयोग किया जा सकता है);

नई रिलीज़ में प्रस्तावित अनुकूलन को ध्यान में रखते हुए, एलकेआरजी 0.8 का उपयोग करते समय प्रदर्शन में कमी का अनुमान डिफ़ॉल्ट मोड ("भारी") में 2.5% और लाइट मोड ("लाइट") में 2% है।

हाल ही में आयोजित एक कार्यक्रम में अध्ययन रूटकिट एलकेआरजी का पता लगाने के लिए पैकेजों की प्रभावशीलता पता चला है सर्वोत्तम परिणाम, कर्नेल स्तर पर काम कर रहे 8 में से 9 रूटकिट की पहचान करना, बिना गलत सकारात्मकता के (रूटकिट डायमॉर्फिन, हनी पॉट बियर, लिलीऑफदवैली, Nuk3 Gh0st, पुस्ज़ेक, रेप्टाइल, रूटफू लिनक्स रूटकिट और सुतेख की पहचान की गई, लेकिन कीस्निफ़र, जो एक कर्नेल है) मॉड्यूल, एक कीलॉगर के साथ छूट गया था, शाब्दिक अर्थ में रूटकिट नहीं)। तुलना के लिए, AIDE, OSSEC और रूटकिट हंटर पैकेज ने 2 रूटकिट में से 9 का पता लगाया, जबकि Chkrootkit ने किसी का भी पता नहीं लगाया। साथ ही, एलकेआरजी उपयोगकर्ता स्थान में स्थित रूटकिट का पता लगाने का समर्थन नहीं करता है, इसलिए एआईडीई और एलकेआरजी के संयोजन का उपयोग करते समय सबसे बड़ी दक्षता हासिल की जाती है, जिससे सभी प्रकार के 14 रूटकिट में से 15 की पहचान करना संभव हो जाता है।

इसके अतिरिक्त, यह ध्यान दिया जा सकता है कि वितरण डेवलपर Whonix मैंने शुरू किया गठन डेबियन, व्होनिक्स, क्यूब्स और किकसिक्योर के लिए डीकेएमएस के साथ तैयार पैकेज और एक पैकेज आर्क लिनक्स पहले से ही संस्करण 0.8 में अद्यतन किया गया है। एलकेआरजी वाले पैकेज रूसी में भी उपलब्ध हैं एएलटी लिनक्स и अस्त्र लिनक्स.

एलकेआरजी में अखंडता जांच कर्नेल और मॉड्यूल के वास्तविक कोड और डेटा, कुछ महत्वपूर्ण डेटा संरचनाओं और सीपीयू सेटिंग्स की संग्रहीत हैश या संबंधित मेमोरी क्षेत्रों, डेटा संरचनाओं या रजिस्टरों की प्रतियों के साथ तुलना करके की जाती है। चेक समय-समय पर टाइमर द्वारा और विभिन्न घटनाओं के घटित होने पर सक्रिय किए जाते हैं।

कारनामों के संभावित उपयोग का निर्धारण और हमलों को रोकना कर्नेल द्वारा संसाधनों तक पहुंच प्रदान करने से पहले चरण में किया जाता है (उदाहरण के लिए, फ़ाइल खोलने से पहले), लेकिन प्रक्रिया को अनधिकृत अनुमतियां प्राप्त होने के बाद (उदाहरण के लिए, यूआईडी बदलना)। जब अनधिकृत व्यवहार का पता चलता है, तो प्रक्रियाओं को डिफ़ॉल्ट रूप से समाप्त करने के लिए मजबूर किया जाता है, जो कई कारनामों को रोकने के लिए पर्याप्त है।

स्रोत: opennet.ru