CDS Host Guardian | Digital Bunker

LSM/BPF

Mount Isolation

Блокировка sb_mount на уровне ядра. Полный иммунитет к container escapes и несанкционированному доступу к ФС.

Anti-Tamper

Memory Shield

Хирургическая блокировка ptrace. Ваша память — ваша собственность. Защита от инъекций шелл-кода и динамического анализа.

Ring 0

Privilege Guard

Интеллектуальный контроль task_fix_setuid. Моментальная блокировка попыток повышения прав через SUID-бинарники.

Network

Egress Jail

Тотальный сетевой карантин для недоверенных cgroups. Никаких Reverse Shell или утечек данных (Data Exfiltration).

Kernel Code Insight

// LSM Hook: Блокировка несанкционированного повышения прав
SEC("lsm/task_fix_setuid")
int BPF_PROG(cds_restrict_setuid, struct cred *new, const struct cred *old) {
    u64 cg_id = bpf_get_current_cgroup_id();
    u32 *is_trusted = bpf_map_lookup_elem(&trusted_groups, &cg_id);

    // Zero Trust Check
    if (new->uid.val == 0 && (!is_trusted || *is_trusted != 1)) {
        bpf_printk("CDS: Privilege escalation blocked for cgroup %llu", cg_id);
        return -EPERM;
    }
    return 0;
}