🔍 Kunai: следим за событиями Linux
Kunai — инструмент с открытым исходным кодом, разработанный для глубокого и точного отслеживания событий в Linux-средах.
🚀 Ключевые особенности
➖ Хронологическая последовательность событий: Kunai обрабатывает и доставляет события строго в том порядке, в котором они происходят, что предотвращает несоответствия и повышает точность судебной экспертизы.
➖ Корреляция на уровне хоста: Инструмент включает встроенные механизмы обогащения и корреляции, позволяющие командам безопасности получать контекст событий, происходящих в системе.
➖ Мониторинг контейнеров: Поддержка Linux namespaces и контейнерных технологий позволяет отслеживать активность внутри контейнеров, что особенно важно для современных облачных сред.
🛠️ Технологическая основа
Решение использует технологию eBPF (Extended Berkeley Packet Filter), устанавливая пробелы на уровне ядра для захвата и анализа критически важных событий безопасности в реальном времени. Собранные данные обрабатываются пользовательской программой, отвечающей за упорядочивание, обогащение и корреляцию информации.
Особенностью реализации является использование языка программирования Rust и библиотеки Aya, что обеспечивает создание автономного бинарного файла, включающего как eBPF-пробелы, так и логику обработки на уровне пользователя. Это упрощает развертывание и интеграцию Kunai в существующие процессы обеспечения безопасности.
📈 Преимущества использования Kunai
➖ Снижение шума: Благодаря корреляции событий на уровне хоста, Kunai генерирует меньше, но более информативных событий, снижая нагрузку на системы логирования и облегчая анализ.
➖ Гибкость и расширяемость: Открытая архитектура и поддержка пользовательских правил обнаружения позволяют адаптировать Kunai под специфические потребности организации.
➖ Интеграция с другими инструментами: Поддержка YARA-правил для сканирования файлов и возможность подключения к MISP для реального времени сканирования индикаторов компрометации расширяют функциональность Kunai.
🔧 Планы на будущее и доступность
Команда разработчиков активно работает над улучшением Kunai. В планах — разработка центрального сервера для упрощения развертывания правил обнаружения, управления индикаторами компрометации и эффективной обработки логов с возможной интеграцией с системами хранения логов.
Поддержание актуальности кода eBPF в соответствии с последними изменениями ядра Linux является приоритетом для обеспечения стабильности и производительности. Кроме того, ведутся исследования по добавлению новых типов событий для улучшения обнаружения вредоносного ПО и расширения правил обнаружения, основанных на вкладе сообщества.
🔗 Инструмент доступен бесплатно на GitHub.
Проект ориентирован на сообщество, и разработчики приветствуют обратную связь, предложения и запросы на новые функции.
Stay secure and read SecureTechTalks 📚
#Кибербезопасность #LinuxSecurity #Kunai #ThreatHunting #eBPF #RustLang #SOC #SecureTechTalks #OpenSource #MalwareDetection
Kunai — инструмент с открытым исходным кодом, разработанный для глубокого и точного отслеживания событий в Linux-средах.
🚀 Ключевые особенности
➖ Хронологическая последовательность событий: Kunai обрабатывает и доставляет события строго в том порядке, в котором они происходят, что предотвращает несоответствия и повышает точность судебной экспертизы.
➖ Корреляция на уровне хоста: Инструмент включает встроенные механизмы обогащения и корреляции, позволяющие командам безопасности получать контекст событий, происходящих в системе.
➖ Мониторинг контейнеров: Поддержка Linux namespaces и контейнерных технологий позволяет отслеживать активность внутри контейнеров, что особенно важно для современных облачных сред.
🛠️ Технологическая основа
Решение использует технологию eBPF (Extended Berkeley Packet Filter), устанавливая пробелы на уровне ядра для захвата и анализа критически важных событий безопасности в реальном времени. Собранные данные обрабатываются пользовательской программой, отвечающей за упорядочивание, обогащение и корреляцию информации.
Особенностью реализации является использование языка программирования Rust и библиотеки Aya, что обеспечивает создание автономного бинарного файла, включающего как eBPF-пробелы, так и логику обработки на уровне пользователя. Это упрощает развертывание и интеграцию Kunai в существующие процессы обеспечения безопасности.
📈 Преимущества использования Kunai
➖ Снижение шума: Благодаря корреляции событий на уровне хоста, Kunai генерирует меньше, но более информативных событий, снижая нагрузку на системы логирования и облегчая анализ.
➖ Гибкость и расширяемость: Открытая архитектура и поддержка пользовательских правил обнаружения позволяют адаптировать Kunai под специфические потребности организации.
➖ Интеграция с другими инструментами: Поддержка YARA-правил для сканирования файлов и возможность подключения к MISP для реального времени сканирования индикаторов компрометации расширяют функциональность Kunai.
🔧 Планы на будущее и доступность
Команда разработчиков активно работает над улучшением Kunai. В планах — разработка центрального сервера для упрощения развертывания правил обнаружения, управления индикаторами компрометации и эффективной обработки логов с возможной интеграцией с системами хранения логов.
Поддержание актуальности кода eBPF в соответствии с последними изменениями ядра Linux является приоритетом для обеспечения стабильности и производительности. Кроме того, ведутся исследования по добавлению новых типов событий для улучшения обнаружения вредоносного ПО и расширения правил обнаружения, основанных на вкладе сообщества.
🔗 Инструмент доступен бесплатно на GitHub.
Проект ориентирован на сообщество, и разработчики приветствуют обратную связь, предложения и запросы на новые функции.
Stay secure and read SecureTechTalks 📚
#Кибербезопасность #LinuxSecurity #Kunai #ThreatHunting #eBPF #RustLang #SOC #SecureTechTalks #OpenSource #MalwareDetection
🛡 OSS Rebuild от Google: Проверка на подлог в открытом коде
Google представил решение, которое может радикально изменить подход к безопасности open-source-экосистем. OSS Rebuild — инструмент для автоматической верификации целостности пакетов из PyPI, npm и Crates.io.
💥 В чём суть?
Каждый день тысячи разработчиков устанавливают зависимости из публичных репозиториев — с верой в то, что эти пакеты собраны из «чистого» исходного кода. Но что если в опубликованной версии — вредоносная вставка, которую нет в исходниках?
OSS Rebuild позволяет это выявить. Он пересобирает пакеты из оригинального кода и сравнивает результат с тем, что выложено в реестр. Если совпадают — значит всё чисто. Если нет — возможно, кто-то пытался вас взломать.
🧠 OSS Rebuild использует воспроизводимую сборку: идею, что один и тот же код при тех же условиях должен давать идентичный бинарный результат.
1⃣ Он автоматически анализирует, какие параметры сборки нужны для получения того самого пакета.
2⃣ После успешной пересборки создаётся криптографическая аттестация, которую можно хранить, пересматривать и проверять.
3⃣ Все результаты публикуются в открытом хранилище: ты всегда можешь узнать, проверялась ли нужная тебе версия пакета.
🚨 Что получаем?
🔸 Защита от supply-chain атак
Если злоумышленник получил доступ к учётке мейнтейнера, он может выложить «троянский» билд, не трогая исходники. OSS Rebuild заметит такую подмену.
🔸 Масштабируемость
Инструмент уже проверяет тысячи пакетов автоматически, и это можно встроить в CI/CD или использовать как независимую проверку.
🔸 Прозрачность
Всё, что проверено, снабжается понятным отчётом. Инфраструктура полностью открыта — можно использовать в своих разработках.
🔸 Универсальность
Работает с разными экосистемами: npm (JavaScript), PyPI (Python), Crates.io (Rust). В будущем — больше.
🧩 Есть куда расти
Возможность быстро проверить, действительно ли бинарник сделан из нужного исходника, открывает новые горизонты:
- Сборка «белого списка» доверенных пакетов
- Интеграция с безопасной поставкой ПО (SLSA, SBOM)
- Автоматическая валидация зависимостей при билде
- Верификация уязвимостей: уязвим ли действительно установленный код?
📎 Ссылки:
🔗 GitHub: github.com/google/oss-rebuild
📘 Документация: oss-rebuild.dev
🗞 Блог Google: Introducing OSS Rebuild
Stay secure and read SecureTechTalks 📚
#OSSRebuild #SupplyChainSecurity #OpenSource #GoogleSecurity #PyPI #npm #RustLang #DevSecOps #SLSA #CyberSecurity #SecureTechTalks #ReproducibleBuilds #SoftwareIntegrity #OpenSourceTools #TrustButVerify #SecurityInnovation #CI_CD #SecureDevelopment #SecurityTools #GoogleOpenSource #DigitalDefense
Google представил решение, которое может радикально изменить подход к безопасности open-source-экосистем. OSS Rebuild — инструмент для автоматической верификации целостности пакетов из PyPI, npm и Crates.io.
💥 В чём суть?
Каждый день тысячи разработчиков устанавливают зависимости из публичных репозиториев — с верой в то, что эти пакеты собраны из «чистого» исходного кода. Но что если в опубликованной версии — вредоносная вставка, которую нет в исходниках?
OSS Rebuild позволяет это выявить. Он пересобирает пакеты из оригинального кода и сравнивает результат с тем, что выложено в реестр. Если совпадают — значит всё чисто. Если нет — возможно, кто-то пытался вас взломать.
🧠 OSS Rebuild использует воспроизводимую сборку: идею, что один и тот же код при тех же условиях должен давать идентичный бинарный результат.
1⃣ Он автоматически анализирует, какие параметры сборки нужны для получения того самого пакета.
2⃣ После успешной пересборки создаётся криптографическая аттестация, которую можно хранить, пересматривать и проверять.
3⃣ Все результаты публикуются в открытом хранилище: ты всегда можешь узнать, проверялась ли нужная тебе версия пакета.
🚨 Что получаем?
🔸 Защита от supply-chain атак
Если злоумышленник получил доступ к учётке мейнтейнера, он может выложить «троянский» билд, не трогая исходники. OSS Rebuild заметит такую подмену.
🔸 Масштабируемость
Инструмент уже проверяет тысячи пакетов автоматически, и это можно встроить в CI/CD или использовать как независимую проверку.
🔸 Прозрачность
Всё, что проверено, снабжается понятным отчётом. Инфраструктура полностью открыта — можно использовать в своих разработках.
🔸 Универсальность
Работает с разными экосистемами: npm (JavaScript), PyPI (Python), Crates.io (Rust). В будущем — больше.
🧩 Есть куда расти
Возможность быстро проверить, действительно ли бинарник сделан из нужного исходника, открывает новые горизонты:
- Сборка «белого списка» доверенных пакетов
- Интеграция с безопасной поставкой ПО (SLSA, SBOM)
- Автоматическая валидация зависимостей при билде
- Верификация уязвимостей: уязвим ли действительно установленный код?
📎 Ссылки:
🔗 GitHub: github.com/google/oss-rebuild
📘 Документация: oss-rebuild.dev
🗞 Блог Google: Introducing OSS Rebuild
Stay secure and read SecureTechTalks 📚
#OSSRebuild #SupplyChainSecurity #OpenSource #GoogleSecurity #PyPI #npm #RustLang #DevSecOps #SLSA #CyberSecurity #SecureTechTalks #ReproducibleBuilds #SoftwareIntegrity #OpenSourceTools #TrustButVerify #SecurityInnovation #CI_CD #SecureDevelopment #SecurityTools #GoogleOpenSource #DigitalDefense