‏SysWarden؛ سیستم دفاع میزبان لینوکس که کامل با Go نوشته شده

به گفته سازنده، SysWarden یه سیستم تشخیص و پیشگیری نفوذ میزبان (HIDS/HIPS) در سطح سازمانیه که مخصوص زیرساخت‌های حیاتی لینوکس طراحی شده و ۱۰۰٪ با Go بومی نوشته شده. کارش اینه که به‌عنوان خط اول دفاع، سخت‌سازی خودکار در سطح CIS Level 2 رو اعمال کنه، Threat Intelligence جهانی رو یکپارچه کنه و دفاع شبکه رو هم تو لایه‌های شبکه (L2/L3/L4) و هم لایه اپلیکیشن (L7) هماهنگ کنه.

محور اصلی نسخه ۲ اینه که کاملاً تو Go بازنویسی شده تا اجرای مبتنی بر shell حذف بشه. به گفته پروژه، همه اسکریپت‌های قدیمی bash کنار گذاشته شدن و تولید فایروال، راه‌اندازی systemd و عملیات تله‌متری همه تو حافظه Go انجام می‌شه؛ همینه که ادعا می‌شه ریسک تزریق فرمان سیستمی (CWE-78)، خرابی حافظه (CWE-119) و مصرف بیش از حد منابع (CWE-400) رو به‌شدت کم می‌کنه و مسیر انطباق با ISO 27001، NIS2 و CIS رو کوتاه‌تر می‌کنه.

از نظر دفاع شبکه، SysWarden داده‌های تهدید رو مستقیم تو جدول netdev زیر nftables تزریق می‌کنه تا بسته‌های مخرب همون‌جا کنار کارت شبکه (NIC) دور ریخته بشن و مسیریابی کرنل دور زده بشه؛ به گفته سازنده همین باعث می‌شه موقع حمله‌های حجمی DDoS تقریباً هیچ باری رو CPU نیاد. کلاینت‌های Go هم فیدهای GeoIP، هاستر‌های مجرمانه و ASNهای مخرب رو دانلود و همگام می‌کنن.

تو لایه ۷، یه daemon به اسم syswarden-core نقش WAF رو بازی می‌کنه و به گفته پروژه بیش از ۵۶ سرویس مهم مثل Docker، Nginx و دیتابیس‌ها رو محافظت می‌کنه و حمله‌هایی مثل SQLi، RCE و LFI رو هدف می‌گیره. یه بخش تحلیل brute-force بومی هم داره که ادعا می‌شه جایگزین کامل Fail2ban می‌شه: لاگ‌های دسترسی Traefik و Nginx و Apache رو بلادرنگ می‌خونه و با ردیابی پنجره لغزان، تلاش‌های پرتکرار روی خطاهای HTTP 401/403/404 رو با nftables بن می‌کنه.

این ابزار خوشه High Availability هم داره که وقتی یه مهاجم رو یه نود بن می‌شه، همون بن فوری به بقیه نودها هم می‌رسه. مدیریتش با یه CLI یکپارچه به اسم syswarden-cli و یه رابط ترمینالی (TUI) انجام می‌شه که هیچ پورت وبی باز نمی‌کنه. باید حواس‌مون باشه که خیلی از این ادعاها زبان بازاریابی خود پروژه‌ست؛ خود ابزار متن‌باز و تحت لایسنس GPLv3‌ـه و روی توزیع‌های اصلی مثل Debian، Ubuntu، RHEL و Fedora پشتیبانی می‌شه.

نکات کلیدی:

• SysWarden v2 یه HIDS/HIPS سازمانی برای لینوکسه که کاملاً با Go بومی نوشته شده
• ادعای اصلیش حذف کامل اسکریپت‌های bash برای کم‌کردن ریسک تزریق فرمان (CWE-78) و خرابی حافظه‌ست
• تهدیدها رو تو جدول netdev زیر nftables کنار NIC دور می‌ریزه تا بار DDoS رو CPU نیفته
• یه WAF لایه ۷ (syswarden-core) داره و ادعا می‌کنه جایگزین کامل Fail2ban می‌شه
• خوشه HA، یکپارچگی SIEM، متن‌باز تحت GPLv3 و آماده انطباق با ISO 27001، NIS2 و CIS