🛡 LKRG - защита Linux-ядра во время работы системы

LKRG - это Linux Kernel Runtime Guard, модуль ядра, который следит за целостностью Linux прямо во время работы системы.

Он помогает обнаруживать:

▪️ попытки эксплуатации уязвимостей ядра;
▪️ подозрительные изменения в kernel memory;
▪️ вмешательство в критичные структуры ядра;
▪️ атаки, похожие на работу rootkit;
▪️ попытки обхода защит через ROP/CFI-подобные техники.

Главный плюс LKRG - это не патч ядра, а загружаемый kernel module. Его можно собрать и подключить поверх разных mainline и дистрибутивных ядер без пересборки самого ядра.

Проект поддерживает x86-64, x86, ARM64 и ARM, а версия 1.0.1 тестировалась на ядрах от RHEL/CentOS 7 до свежих сборок Fedora.

Из интересного:

profile_validate — профили проверки от light до paranoid
kint_enforce — реакция на нарушение целостности ядра
pint_enforce — реакция на подмену credentials процесса
pcfi_validate — простая CFI-проверка для функций, полезных в ROP-цепочках
umh_validate — контроль usermodehelper, который часто удобен эксплойтам

LKRG не делает Linux «неуязвимым», но добавляет дополнительный слой защиты: если эксплойт уже пытается менять состояние ядра, модуль может это заметить, залогировать, убить задачу или даже отправить систему в panic в зависимости от настроек.

Полезно для серверов, hardened-систем, исследовательских стендов и админов, которым нужен runtime-контроль ядра без патчинга kernel source.

GitHub: https://github.com/lkrg-org/lkrg

📲 Мы в MAX

🔐 @xakep_2