Renux는 다수의 리눅스 호스트에서 발생하는 시스템 행위를 커널 수준에서 실시간으로 캡처하고, 중앙 서버에서 통합 분석·시각화하는 분산 모니터링 도구입니다. 각 호스트에 상주하는 에이전트(renux)는 eBPF로 시스템 호출 진입점을 직접 후킹하여 탐지 지연을 0ms 수준으로 줄였으며, 사용자 측 우회가 사실상 불가능합니다. 수집된 행위는 TLS 위에서 중앙 마스터(renux_master)로 푸시되어, 이벤트 가중치 누적·위험도 지수 감쇠·알람 버스트 감지를 통해 정량적 위협 신호로 가공됩니다.

저장소에는 작년에 개발한 V1 원격 관리 도구(server_e + client_e)도 그대로 보존되어 있으며, 동일한 보안 유틸리티 모듈(PBKDF2-SHA256 솔트 해싱, OpenSSL TLS 컨텍스트)을 공유합니다.

• eBPF 기반 커널 수준 캡처: execve, tcp_connect, openat, sched_process_fork 네 후킹 포인트에 BPF 프로그램을 부착하여 쉘 실행·외부 TCP 접속·민감 경로 쓰기·웹셸 fork를 0ms 지연으로 탐지합니다. .bashrc 훅이나 inotify와 달리 우회 불가합니다.
• 다중 에이전트 → 단일 마스터 (N:1): 각 호스트의 renux 에이전트가 9000번 포트의 마스터로 TLS 푸시. 마스터는 에이전트별 std::thread로 독립 처리합니다.
• 위험도 평가: 이벤트 종류별 가중치(REVERSE_SHELL +30 / WEBSHELL +25 / ZONE_VIOLATION +15 / FILE +2 / EXEC +1)를 누적, 0–100 점수에 따라 LOW/MEDIUM/HIGH/CRITICAL로 분류합니다. 60초마다 0.7배 지수 감쇠.
• 알람 버스트 감지: 30초 슬라이딩 윈도우 안에 ALERT 3건 이상 발생 시 자동 CRITICAL 격상, 윈도우 만료 시 자동 해제.
• Safe-zone 블랙리스트 룰: /etc/renux.conf에 DANGER_PATH / DANGER_CMD / DANGER_USER로 사이트별 정책 정의. 매치 시 ZONE_VIOLATION 알람 발생 + 위험도 +15.
• 운영자 TUI: ncurses 분할 화면. tm 명령으로 최대 4개 에이전트의 실시간 로그를 동시 모니터링, [g] 키로 이벤트 타입별 이진 스파크라인 그래프 모드 전환.
• Activity Replay: replay <ip|tag> — EXEC와 후속 FILE 이벤트를 그룹화하여 사람이 읽기 쉬운 행동 타임라인으로 재구성. 30초 이상 공백은 --- N s gap --- 구분선으로 시각화.
• 태그 시스템: IP에 사람이 기억하기 쉬운 별칭 부여 (tag 10.0.0.11 web-01). 모든 명령·UI 출력에서 양방향 변환.
• Geolocation: REVERSE_SHELL 알람의 원격 IP를 ip-api.com에 비동기 조회하여 도시·국가 정보를 UI에 표시. 사설 대역은 자동 스킵.
• TLS + 오프라인 버퍼링: 모든 에이전트↔마스터 통신은 OpenSSL TLS. 마스터 연결이 끊겨도 에이전트가 최대 1000개의 로그를 큐에 보관, 재연결 시 자동 flush.
• PBKDF2-SHA256 솔트 해싱: 16-byte 솔트 + 10,000회 반복. djb2 해시는 V1 하위 호환용으로만 유지.

┌──────────────────────────────────────────────────────────────────┐
│                          관리 대상 호스트                          │
│   ┌─────────────────────────────────────────────────────────┐    │
│   │  Kernel Space (Linux ≥ 5.8)                             │    │
│   │   • tp/sys_enter_execve   ─┐                            │    │
│   │   • kprobe/tcp_connect    ─┼─►  BPF Ring Buffer (256KB) │    │
│   │   • tp/sys_enter_openat   ─┤                            │    │
│   │   • tp/sched_process_fork ─┘                            │    │
│   └────────────────────────────┬────────────────────────────┘    │
│                                ▼                                  │
│   ┌────────────────────────────────────────────────────────┐     │
│   │  User Space — renux (monitor.cpp)                      │     │
│   │   ring_buffer__poll → handle_event → check_zone        │     │
│   │   → write_agent_log → /var/log/renux.log               │     │
│   │   → send_log_to_master() (TLS, offline queue)          │     │
│   └────────────────────────────┬───────────────────────────┘     │
└────────────────────────────────┼─────────────────────────────────┘
                                 │ LOG|<ip>|<msg>\n  (TLS, port 9000)
                                 ▼
┌──────────────────────────────────────────────────────────────────┐
│  renux_master (중앙 서버)                                          │
│   per-agent std::thread → log_message():                          │
│     • ALERT 분류 + 위험도 가중치 누적                              │
│     • Alert Burst 감지 (30s/3건 → CRITICAL)                       │
│     • risk_decay_loop (60s마다 ×0.7)                              │
│   central_renux.log + agents/{ip}.log                             │
│   ncurses TUI: list / tm / stats / replay / trace-log / ...      │
└──────────────────────────────────────────────────────────────────┘

BPF verifier 통과를 위해 argv는 30바이트 고정 슬롯 4개 로 분할 캡처, 경로 검사는 256바이트 루프 대신 컴파일 타임 분기로 구현했습니다.

• 에이전트 (Linux 호스트): 커널 5.8+, clang, libbpf-dev, bpftool, libssl-dev, libncurses-dev, CAP_BPF (보통 root)
• 마스터 (모든 플랫폼): g++ (C++17), libssl-dev, libncurses-dev
• V1 (선택): gcc, libncurses-dev, pthreads

git clone https://github.com/junyeong0619/Renux.git
cd Renux

# 전체 빌드 (V1 + V3)
make

# 개별 타겟
make server_e        # V1 서버
make client_e        # V1 클라이언트
make renux           # V3 에이전트 (eBPF, Linux 전용)
make renux_master    # V3 마스터

make renux는 내부적으로 다음을 수행합니다.

clang -O2 -g -target bpf -D__BPF_PROGRAM__ -D__TARGET_ARCH_x86_64 \
      -I monitoring/ -c monitoring/renux.bpf.c -o renux.bpf.o
bpftool gen skeleton renux.bpf.o name renux > renux.skel.h
g++ -std=c++17 -O2 monitoring/monitor.cpp utils/ssl_utils.c \
    -lbpf -lssl -lcrypto -o renux

마스터는 /etc/renux/master.crt, /etc/renux/master.key를 사용합니다. 자체 서명 인증서로 충분합니다.

sudo mkdir -p /etc/renux
sudo openssl req -x509 -newkey rsa:4096 -nodes -days 3650 \
    -keyout /etc/renux/master.key -out /etc/renux/master.crt \
    -subj "/CN=renux-master"
sudo chmod 600 /etc/renux/master.key

sudo ./install.sh
# 또는 수동:
sudo tee /etc/renux.conf <<EOF
MASTER_IP=192.168.1.10
MASTER_PORT=9000

# Safe-zone (블랙리스트) 룰 — 선택
# DANGER_PATH=/etc
# DANGER_PATH=/root/.ssh
# DANGER_CMD=/usr/bin/passwd
# DANGER_USER=root
EOF

# 1. 마스터 (중앙 호스트, 9000번 포트 listen)
./renux_master

# 2. 에이전트 (관리 대상 호스트마다, root 권한 필요)
sudo ./renux

# 3. (선택) V1 원격 관리 도구
./server_e               # 별도 호스트에서, 8080 포트
./client_e 127.0.0.1 8080

systemd 서비스로 등록하려면 ./setup.sh를 실행하세요.

마스터를 띄우면 ncurses 분할 TUI가 뜹니다. 하단 입력창에서 명령어를 입력하며, 탭 완성과 ↑/↓ 히스토리를 지원합니다.

.
├── monitoring/              # V3 모니터링 (eBPF + 마스터)
│   ├── renux.bpf.c          #   eBPF 커널 프로그램 (4개 후킹 포인트)
│   ├── renux_event.h        #   커널-사용자 공유 헤더
│   ├── monitor.cpp          #   에이전트 (libbpf, TLS forwarder)
│   └── master.cpp           #   마스터 (TLS accept, risk score, ncurses TUI)
│
├── server/                  # V1 관리 서버 (legacy)
│   ├── server.c             #   kqueue/epoll 이벤트 루프, 인증
│   ├── service.c            #   명령 처리 (getu, get_proc, set_quota, …)
│   └── tui.c, tui.h
│
├── client/                  # V1 관리 클라이언트 (legacy)
│   ├── client.c             #   서버 접속, 멀티스레드 UI
│   └── tui.c, tui.h
│
├── utils/                   # 공유 모듈
│   ├── ssl_utils.c          #   PBKDF2-SHA256 해싱, TLS 컨텍스트, djb2 (legacy)
│   ├── log.c                #   파일 로깅
│   └── exec_utils.c
│
├── agents/                  # 마스터의 에이전트별 로그 (런타임 생성)
├── docs/                    # 설계 문서
├── install.sh / setup.sh    # 자동 설치 + systemd 등록
├── Makefile / CMakeLists.txt
└── README.md

리눅스 커널에 안전하게 사용자 코드를 주입하는 기술. clang -target bpf로 컴파일하여 libbpf의 skeleton 인터페이스로 로드합니다.

• 링 버퍼 (BPF_MAP_TYPE_RINGBUF): 256KB 크기, 커널 → 사용자 공간 단방향 전달
• Verifier 제약 회피: argv는 30바이트 고정 슬롯, 경로 검사는 컴파일 타임 분기 (256바이트 루프 대신)

• std::thread, std::mutex: 에이전트별 핸들러, risk decay, UI, geolocation 비동기 스레드의 동기화
• std::map<std::string, AgentData>: 에이전트별 상태 저장 (로그 deque, 위험도, 이벤트 카운터, 알람 타임스탬프)
• std::deque<std::time_t>: 슬라이딩 윈도우 기반 알람 버스트·그래프용 이벤트 타임라인

• TLS 컨텍스트: create_server_ssl_ctx() / create_client_ssl_ctx()로 마스터·에이전트 양쪽 구성
• PBKDF2-SHA256: hash_password_salted() — 16-byte 랜덤 솔트 + 10,000회 반복. 저장 포맷 <32-hex-salt>:<64-hex-hash>

• 분할 화면: 상단 로그 스트림 + 하단 명령 입력
• Trace Monitor: 1·2·3·4 패널로 동적 레이아웃, ALERT 상태에 따른 테두리 색상 변화
• 이진 스파크라인: 그래프 모드에서 이벤트 종류별로 | / 공백 표시

-Wall -O2 -fstack-protector-all -D_FORTIFY_SOURCE=2
-Wformat -Wformat-security
-Wl,-z,relro,-z,now    (Linux 전용)

작년에 개발한 1:N 관리 채널이 그대로 보존되어 있습니다. 8080 포트에서 동작하며, kqueue(macOS) / epoll(Linux)을 사용하는 단일 스레드 이벤트 루프 위에서 다중 클라이언트를 처리합니다.

다중 응답은 END_OF_LIST\n 센티넬로 종결됩니다. V1 인증은 djb2 해시 기반이며, 새로 도입한 PBKDF2 해시로의 점진적 교체가 진행 중입니다.

• 마스터 클러스터화: 분산 합의(Raft 등)로 단일 장애점 제거
• ML 기반 이상 탐지: 누적 로그를 학습 데이터로 활용, 호스트별 평상시 분포에서의 outlier 탐지
• SBOM·바이너리 무결성: 에이전트·마스터 바이너리 서명과 측정값 부착으로 교체·무력화 시나리오 대비
• V1 인증 마이그레이션: server_e의 인증을 djb2 → PBKDF2로 완전 교체

• docs/EBPF_IMPL.md — eBPF 구현 상세
• docs/EBPF_REPORT.md — eBPF 도입 결과 보고서
• docs/PLAN.md — V2 → V3 로드맵
• docs/REPORT.md — 종합 보고서
• docs/REVIEW_ANALYSIS.md — 코드 리뷰 분석
• docs/TEST_REPORT.md — 테스트 결과