Kemon macOS內(nèi)核監(jiān)控框架

Kemon 是滴滴開源的一款用于 macOS 內(nèi)核監(jiān)控的前后回調(diào)框架。

什么是 Kemon ？

Kemon 框架可為任意系統(tǒng)內(nèi)核函數(shù)擴展前、后過濾功能。簡言之，在前回調(diào)接口中，第三方可為內(nèi)核擴展輸入參數(shù)過濾功能；在后回調(diào)接口中，第三方可為內(nèi)核擴展返回數(shù)據(jù)過濾功能。

簡言之，借助 Kemon 的強大功能，我們可以輕松實現(xiàn) LPC 通信監(jiān)控，MAC 策略過濾，內(nèi)核驅(qū)動防火墻等。從攻擊者的角度來看，這個框架可以幫助實現(xiàn)更強大的 Rootkit 。從防御的角度來看，Kemon 可以幫助構(gòu)建更精細的監(jiān)控功能。

開發(fā)團隊還通過這個框架實現(xiàn)了一個內(nèi)核模糊測試器，幫助找到了許多漏洞，例如：CVE-2017-7155，CVE-2017-7163，CVE-2017-13883等。

主要特性

Kemon 的功能包括：

• 文件操作監(jiān)控

• 流程創(chuàng)建監(jiān)控

• 動態(tài)庫和內(nèi)核擴展監(jiān)控

• 網(wǎng)絡流量監(jiān)控

• 強制訪問控制（MAC）策略監(jiān)控等

此外，Kemon 項目還可以為任意 macOS 內(nèi)核函數(shù)擴展前后回調(diào)監(jiān)控接口。