Elkeid 是字節(jié)跳動(dòng)開源的一個(gè)云原生的基于主機(jī)的安全(入侵檢測(cè)與風(fēng)險(xiǎn)識(shí)別)解決方案。

Elkeid 架構(gòu)

Elkeid 主機(jī)能力

• Elkeid Agent?用戶態(tài) Agent，負(fù)責(zé)管理各個(gè)端上能力組件，與?Elkeid Server?通訊
• Elkeid Driver?在 Linux Kernel 層采集數(shù)據(jù)的組件，兼容容器環(huán)境，并能夠提供Rootkit檢測(cè)能力。與Elkeid Agent管理的Driver插件通訊
• Elkeid RASP?支持 CPython、Golang、JVM、NodeJS 的運(yùn)行時(shí)數(shù)據(jù)采集探針，支持動(dòng)態(tài)注入到運(yùn)行時(shí)。
• Elkeid Agent Plugin List
  • Driver Plugin: 負(fù)責(zé)與Elkeid Driver通信，處理其傳遞的數(shù)據(jù)等
  • Collector Plugin: 負(fù)責(zé)端上的資產(chǎn)/關(guān)鍵信息采集工作，如用戶，定時(shí)任務(wù)，包信息等等
  • Journal Watcher: 負(fù)責(zé)監(jiān)測(cè)systemd日志的插件，目前支持ssh相關(guān)日志采集與上報(bào)
  • Scanner Plugin: 負(fù)責(zé)在端上進(jìn)行靜態(tài)檢測(cè)惡意文件的插件，目前支持yara
  • RASP Plugin: 負(fù)責(zé)管理RASP組件以及處理RASP采集的數(shù)據(jù)，還未開源

以上組件可以提供以下數(shù)據(jù)：??

Elkeid 后端能力

• Elkeid AgentCenter?負(fù)責(zé)與Agent進(jìn)行通信，采集Agent數(shù)據(jù)并簡(jiǎn)單處理后匯總到消息隊(duì)列集群，同時(shí)也負(fù)責(zé)對(duì)Agent進(jìn)行管理包括Agent的升級(jí)，配置修改，任務(wù)下發(fā)等
• Elkeid ServiceDiscovery?后臺(tái)中的各個(gè)服務(wù)模塊都需要向該組件定時(shí)注冊(cè)、同步服務(wù)信息，從而保證各個(gè)服務(wù)模塊中的實(shí)例相互可見，便于直接通信
• Elkeid Manager?負(fù)責(zé)對(duì)整個(gè)后臺(tái)進(jìn)行管理，并提供相關(guān)的查詢、管理接口

Elkeid 優(yōu)勢(shì)

當(dāng)前開源模塊缺少規(guī)則引擎和檢測(cè)功能，還不能提供入侵檢測(cè)的能力。 但是目前開源的部分可以輕松地與其他的HIDS/NIDS/XDR解決方案進(jìn)行集成，或者自己對(duì)采集的數(shù)據(jù)進(jìn)行數(shù)處理實(shí)現(xiàn)自己的需求，Elkeid 有以下主要優(yōu)勢(shì)：

• 性能優(yōu)異：端上能力借助Elkeid Driver與很多定制開發(fā)，性能極佳
• 為入侵檢測(cè)而生：數(shù)據(jù)采集以高強(qiáng)度對(duì)抗為前提，對(duì)如Kernel Rootkit，提權(quán)，無文件攻擊等眾多高級(jí)對(duì)抗場(chǎng)景均有針對(duì)性數(shù)據(jù)采集
• 支持云原生：從端上能力到后臺(tái)部署都支持云原生環(huán)境
• 百萬級(jí)生產(chǎn)環(huán)境驗(yàn)證：整體經(jīng)過內(nèi)部百萬級(jí)驗(yàn)證，從端到Server，穩(wěn)定性與性能經(jīng)過考驗(yàn)，Elkeid不僅僅是一個(gè)PoC，是生產(chǎn)級(jí)的；開源版本即內(nèi)部Release Version
• 二次開發(fā)友好：Elkeid 方便二次開發(fā)與定制化需求增加

Quick Start

• 快速部署文檔
• docker體驗(yàn)文檔
• Deploy Question and Answer