- Ein hostbasiertes Sicherheitsüberwachungs-Tool nur für Linux, entwickelt von einem Entwickler, der mit den hohen Kosten von Enterprise-Sicherheitstools (rund 50.000 US-Dollar pro Jahr) und ihrer Windows-zentrierten Auslegung unzufrieden war
- Überwacht Malware, Rootkits und Verschleierungsversuche in Echtzeit durch mehrschichtige Erkennung über User Space und Kernel Space hinweg
- Läuft als einzelnes Bash-Skript, hat kaum Abhängigkeiten, ist daher einfach zu installieren und kann von den meisten Linux-Administratoren direkt gelesen und angepasst werden
- So konzipiert, dass es auch in kostengünstigen Umgebungen eingesetzt werden kann (der Entwickler arbeitete auf einem 500-Dollar-Laptop)
Hauptfunktionen
- Echtzeitüberwachung: Prozess-, Netzwerk- und Dateiüberwachung
- eBPF-basierte Nachverfolgung von Kernel-Ereignissen: Echtzeit-Tracking von Prozessausführungen und Analyse von System Calls
- Erkennung von Malware (Webshells, Reverse Shells, Krypto-Minern) auf Basis von YARA-Regeln
- Bedrohungsabwehr
- Erkennung und Blockierung auffälligen Verhaltens (IP-Sperrung, Prozessbeendigung, Datei-Quarantäne)
- Erkennung von Verschleierungstechniken bei Rootkits und fortgeschrittenen Bedrohungen
- Sicherheitserweiterungen
- Angriffserkennung über Netzwerk-Honeypots (Ports lauschen zum Anlocken von Angreifern)
- Automatische Updates der Threat Intelligence (einschließlich IP-Reputationsabfragen)
- Forensisches Logging und Integritätsprüfung
- Betriebliche Benutzerfreundlichkeit
- Basierend auf einem einzelnen Bash-Skript (keine komplexe Installation erforderlich)
- Web-Dashboard und REST-API verfügbar
- Optimiert für Container-Umgebungen wie Docker
Systemanforderungen
- Linux Kernel 4.9+ (eBPF erforderlich)
- Bash 4.0+
5 Kommentare
Es gibt nur dieses eine REPO, aber bin ich der Einzige, dem das komisch vorkommt?
Wenn der Name erst einmal bekannt wird, wirkt es so, als käme als Nächstes ein Supply-Chain-Angriff.
Sogar der Name des GitHub-Kontos wirkt verdächtig. IHATEGIVINGUSERNAME
Das ergibt Sinn, oder?
Ich hätte nicht gedacht, dass das nur mit Bash geht, aber offenbar wird für das Starten des HTTP-Servers Python aufgerufen oder Ähnliches.
Wow, wenn das stimmt, ist das wirklich der Hammer!