В рамках проекта syswall развивается файервол для системных вызовов
Представлен проект syswall, нацеленный на создание подобия динамического межсетевого экрана для фильтрации доступа приложений к системным вызовам. Код проекта написан на языке Rust, лицензия не указана.
Syswall напоминает интерактивный вариант утилиты strace и позволяет отслеживать каждый выполняемый программой системный вызов. Ключевым отличием является то, что помимо вывода информации о системных вызовах и результатах их выполнения, syswall поддерживает интерактивный режим при котором перед выполнением системного вызова отслеживаемый процесс останавливается и пользователю выводится запрос на продолжение или игнорирование дальнейшей операции. Syswall также может собирать статистику о выполняемых системных вызовах и на ее основе формировать отчет.
Для каждого процесса может подключаться файл конфигурации со списком явно разрешенных или запрещенных системных вызовов. В этом случае запросы на подтверждения будут выводиться только при обращении к определенным или ранее не встречающимся системным вызовам. Конфигурация оформляется в формате JSON и может быть сохранена на основе ответов в интерактивном сеансе.
В процессе интерактивного сеанса возможно разрешение или блокирование как конкретных системных вызовов на данному этапе выполнения, так и любых обращений к данному системному вызову независимо от места обращения в программе. Поддерживается блокировка в режимах "hard" и "soft". В первом случае выполнение системного вызова не производится и процессу выводится код ошибки доступа. Во втором случае системный вызов также не выполняется, но процессу отдается фиктивный успешный код возврата, симулируя успешное выполнение системного вызова.
Проект пока находится на стадии рабочего прототипа и не все задуманные возможности воплощены. Например, в дальнейшем планируется добавить проверки с учетом передаваемых в системный вызов аргументов, возможность сохранения состояния процесса в файл для последующего сравнения активности при разных запусках программы (например, для сравнения списков файлов и сетевых соединений), реализовать опцию для игнорирования загрузки динамических библиотек и добавить поддержку типовых наборов настроек (например, блокировать все сокеты, но разрешить доступ к файлам).
