添加内存修改探针和相应的core组件 · Pull Request !21 · openEuler/secDetector

添加一个case：内存修改探针
探针包含两个workflow：（A）隐蔽内核模块识别;（B）系统安全开关监控。
（A）隐蔽内核模块识别
使用自定义workflow func的方式，遍历两种kmodule list，识别其中差异。
（B）系统安全开关监控
使用预设workflow func的方式，指定预置的collect unit，analyze unit和response unit。由core自行串联组装。

对预设workflow机制的完善：
（1）使用预设workflow，可以指定一个collect unit list，可以一部分预置unit，也可以一部分自定义。
所有collect unit使用统一的数据输出结构体形态struct collect_data，然后以一个workflow的所有collect unit的输出以链表形式串联起来这些struct collect_data，供analyze unit使用。
    目前支持两类collect_data，一个整形数或一块连续的内存。
    collect unit分为两大类：COLLECT_CURRENT_XXX 和 COLLECT_GLOBAL_XXX，GLOBAL不依赖当前执行流（例如进程）的上下文信息，而CURRENT则依赖当前执行流的上下文信息。这两类的差异在于输入性参数，CURRENT依赖hook点输入的数据。目前hook点输入的数据格式尚未统一。
（2）使用预设的workflow，可以指定一个analyze unit，可以是预设的，也可以是自定义的。
analyze unit使用统一的格式，输入struct collect_data，输出response_id 和 struct response_data。
目前提供一种预置的 analyze unit ： save_check。即初次访问时，保存一份收集到的数据即测量值作为基线，后续访问时，将测量值与基线比较，如果存在差异，report。
（3）使用预设的workflow，可以不指定response unit list，也可以指定一个response list。
不指定的话，就会使用默认的response list，如果指定的话，可以是预置response unit和自定义response unit的混合list。
一般的，不自定义analyze unit的话，指定一个response list的意义不大，但是理论上是支持的。比如你可以要求让save-check检查到差异之后也不走report响应单元。

openEuler/secDetector .gitee-modal { width: 500px !important; }

搜索帮助

openEuler/secDetector