Kunai เป็นเครื่องมือโอเพ่นซอร์สที่ออกแบบมาเพื่อให้การตรวจสอบเหตุการณ์ด้านความปลอดภัยบนระบบ Linux อย่างลึกซึ้งและแม่นยำ แตกต่างจากเครื่องมืออื่นๆ ตรงที่ไม่ได้อาศัยเพียงการดักจับ syscalls หรือการ hook ฟังก์ชันของเคอร์เนลเพียงอย่างเดียว แต่ใช้แนวทางที่ล้ำหน้ากว่าโดยการเชื่อมโยงเหตุการณ์ที่เกิดขึ้นบนโฮสต์ และให้ข้อมูลเชิงลึกที่มีคุณภาพสูง
สิ่งนี้ช่วยลดจำนวนเหตุการณ์ที่ไม่จำเป็น ทำให้การตรวจจับแม่นยำขึ้น ลดภาระของระบบบันทึกล็อก และช่วยให้สามารถติดตามกิจกรรมภายในระบบได้อย่างมีประสิทธิภาพมากขึ้น
คุณสมบัติเด่นของ Kunai
- การเรียงลำดับเหตุการณ์ตามเวลาอย่างแม่นยำ
Kunai รับประกันว่าเหตุการณ์จะถูกประมวลผลและส่งต่อในลำดับที่เกิดขึ้นจริง ซึ่งช่วยลดข้อผิดพลาดและเพิ่มความแม่นยำในการตรวจสอบทางนิติวิทยาศาสตร์ - การเชื่อมโยงเหตุการณ์บนโฮสต์
ด้วยระบบเพิ่มข้อมูลเชิงลึกและกลไกเชื่อมโยงเหตุการณ์ที่ฝังอยู่ในเครื่องมือ ทำให้ทีมรักษาความปลอดภัยสามารถเข้าใจบริบทของเหตุการณ์ที่เกิดขึ้นในระบบได้ดียิ่งขึ้น - รองรับการตรวจสอบคอนเทนเนอร์
Kunai รองรับ Linux namespaces และเทคโนโลยีคอนเทนเนอร์ ทำให้สามารถติดตามกิจกรรมของคอนเทนเนอร์ได้ ซึ่งเป็นฟีเจอร์สำคัญสำหรับสภาพแวดล้อม cloud-native สมัยใหม่
Kunai ใช้เทคโนโลยี eBPF (Extended Berkeley Packet Filter) ซึ่งช่วยให้สามารถดักจับและวิเคราะห์เหตุการณ์ด้านความปลอดภัยที่สำคัญแบบเรียลไทม์โดยตรงจากเคอร์เนล ข้อมูลที่รวบรวมได้จะถูกส่งไปยังโปรแกรมในระดับผู้ใช้ (userland) ซึ่งทำหน้าที่จัดเรียง ปรับปรุง และเชื่อมโยงข้อมูล เพื่อให้สามารถวิเคราะห์เหตุการณ์ได้อย่างแม่นยำ
Quentin Jerome ผู้สร้าง Kunai เปิดเผยว่า ทีมพัฒนากำลังวางแผนปรับปรุงเครื่องมือให้มีประสิทธิภาพมากขึ้น โดยหนึ่งในแนวทางที่สำคัญคือการสร้าง เซิร์ฟเวอร์ส่วนกลาง เพื่อช่วยในการใช้งานกฎตรวจจับ จัดการ Indicators of Compromise (IoCs) และบริหารจัดการล็อกอย่างมีประสิทธิภาพ นอกจากนี้ ทีมงานยังมุ่งเน้นการปรับปรุงโค้ด eBPF ให้สอดคล้องกับการอัปเดตล่าสุดของเคอร์เนล Linux เพื่อให้แน่ใจว่า Kunai จะยังคงทำงานได้อย่างเสถียร
นอกจากนี้ ทีมพัฒนายังอยู่ระหว่างการวิจัย รูปแบบเหตุการณ์ใหม่ๆ เพื่อเสริมความสามารถในการตรวจจับมัลแวร์ และขยายขีดความสามารถของ กฎตรวจจับภัยคุกคามที่ขับเคลื่อนโดยชุมชน เพื่อเพิ่มประสิทธิภาพในการตรวจสอบและตอบสนองต่อภัยคุกคาม
Kunai กำลังกลายเป็นเครื่องมือสำคัญสำหรับการรักษาความปลอดภัยบน Linux และเป็นโซลูชันที่สามารถช่วยองค์กรและนักวิจัยด้านความปลอดภัยเฝ้าระวังภัยคุกคามได้อย่างมีประสิทธิภาพมากขึ้น
รายละเอียดเพิ่มเติมที่นี่ – HNS
