主机安全-开源HIDS字节跳动Elkeid安装使用

概述

什么是HIDS

HIDS（ host-based intrusion detection system，基于主机的入侵检测系统），通过监测主机上的进程、文件、网络等信息来识别入侵风险。

HIDS与NIDS的区别

NIDS基于网络流量来进行入侵检测，和HIDS相比，实时性更高，对主机没有性能影响。一般装在网关等地方获取镜像流量即可，无需安装在每台主机节点，开源NIDS有Suricata等。

EDR、XDR是啥？

EDR（Endpoint Detection and Response，端点检测与响应），相较于传统的HIDS，EDR增加了响应的部分，例如添加SOAR（security orchestration, automation and response，安全编排、自动化与响应系统）、止损手段。

XDR（ eXtended Detection and Response ，可扩展检测与响应），相较于EDR，能够结合多个数据源（云原生安全、电子邮件安全等）。

Elkeid

架构

Elkeid Agent：代理，与Manager节点通信，负责上传日志等信息，管理组件。
Elkeid Driver：负责 Linux Kernel 层采集数据，兼容容器，并能够检测常见 Rootkit。
Elkeid RASP：支持 CPython、Golang、JVM、NodeJS、PHP 的运行时数据采集探针，支持动态注入到运行时。
Elkeid HUB：策略引擎。
AgentCenter：收集Agent 数据，写入到消息队列，给Agent下发指令。
ServiceDiscovery：服务发现。
实时计算模块：消费消息队列数据，进行分析和检测。
离线计算模块：消费消息队列数据
Manager：管理各个模块。

Elkeid Agent && Agent center

参考关于 Elkeid Agent

Agent具有数据通信、资源监控、组件版本控制、文件传输、机器基础信息采集等功能。

Agent拥有多个Plugins，是Agent的插件，Agent的子进程，可以由多种语言实现。

Driver Plugin: 负责与 Elkeid Driver 通信，处理其传递的数据等
Collector Plugin: 负责端上的资产/关键信息采集工作，如用户，定时任务，包信息等
Journal Watcher: 负责监测systemd日志的插件，目前支持ssh相关日志采集与上报
Scanner Plugin:负责在端上进行静态检测恶意文件的插件，支持
Yara RASP Plugin: 分析系统进程运行时，上报运行时信息，处理下发的Attach 指令，收集各个探针上报的数据
Baseline Plugin: 负责在端上进行基线风险识别的插件

Agent Center基于gRPC + ProtoBuf通信，具有以下功能

限流：最大链接数保护
负载均衡：SD服务发现+Manager动态控制
通信链路安全：SSL+HTTPS
上报数据Kafka

Elkeid Driver

参考关于 Elkeid Driver

Elkeid Driver 主要通过 Kprobe Hook Kernel Function 来提供丰富而准确的数据收集 功能，包括内核级进程执行探测，特权升级监控，网络审计等等。，并且支持 Linux Namespace。

主要是Plugins、Hook、Filter、Anti-Rootkit四个功能。

Elkeid RASP

参考Golang-RASP

RASP（Runtime application self-protection，实时应用自我防护），通过探针的方式注入到应用中，在运行时实时防护。

Elkeid HUB

参考：Elkeid HUB

INPUT 数据输入层，社区版仅支持Kafka
RULEENGINE/RULESET 对数据进行检测/外部数据联动/数据处理的核心组件
OUTPUT 数据输出层，社区版仅支持Kafka/ES
SMITH_DSL 用来描述数据流转关系

Service Discovery

服务发现，发现Agent。

负载均衡，

Manager

任务下发，分布式任务分发系统。

安装

根据Elkeid 完整部署进行部署。

数据采集

参考：数据接入指南

规则&告警

参考：HIDS开源策略列表

以hids_detect的reverse_shell_detect_argv为例，正则如下：

powershell 复制代码

(?:\bnc(?:\s+-+\w+\s*[^\x3B\x7C]*\s+-\w*e\w*\b|\s+-\w*e\w*|\s+[\d\.\s]+\s+-\w*e\w*)|\bnc.openbsd(?:\s+-+\w+\s*[^\x3B\x7C]*\s+-\w*e\w*\b|\s+-\w*e\w*|\s+[\d\.\s]+\s+-\w*e\w*)|\bnc.traditional(?:\s+-+\w+\s*[^\x3B\x7C]*\s+-\w*e\w*\b|\s+-\w*e\w*|\s+[\d\.\s]+\s+-\w*e\w*)|\bnc.linux(?:\s+-+\w+\s*[^\x3B\x7C]*\s+-\w*e\w*\b|\s+-\w*e\w*|\s+[\d\.\s]+\s+-\w*e\w*)|\bnetcat(?:\s+-+\w+\s*[^\x3B\x7C]*\s+-\w*e\w*\b|\s+-\w*e\w*|\s+[\d\.\s]+\s+-\w*e\w*))

攻击payload如下：

powershell 复制代码