sheeki03/tirith

해결하는 문제

Tirith는 악성 명령어, 난독화된 페이로드 및 데이터 유출 실행을 방지하기 위해 설계된 터미널용 보안 게이트웨이입니다. 터미널이 Unicode 및 ANSI 이스케이프 시퀀스를 무비판적으로 렌더링하여 발생하는 취약점(시각적으로 유사한 URL을 이용한 동형이의어 공격, pipe-to-shell 익스플로잇, 자격 증명 탈취 등)을 해결합니다.

작동 원리

Tirith는 명령어, 붙여넣은 콘텐츠 및 파일이 실행되기 전에 이를 가로챕니다. 동형이의어 탐지, Base64 디코드-실행 체인, 자격 증명 스캔을 포함한 35개 카테고리의 244개 탐지 규칙을 결합하며, 알려진 악성 패키지, IP 및 호스트 이름이 포함된 서명된 위협 인텔리전스 데이터베이스를 사용합니다. 대화형 셸(zsh, bash, fish)을 위한 셸 훅으로 통합되며, 코드 파일(JS/Python)을 위한 스캔 도구를 제공합니다.

대상 사용자

개발자, DevOps 엔지니어 및 셸 명령어를 실행하는 AI 에이전트 사용자로, 신뢰할 수 없는 코드의 우발적 실행이나 터미널에서 민감한 자격 증명이 의도치 않게 유출되는 것을 방지하고자 하는 분들입니다.

주요 특징

• 동형이의어 공격 방지: 키릴 문자나 그리스 문자의 유사 문자를 사용하여 합법적인 도메인을 모방하는 URL을 차단합니다.
• Pipe-to-Shell 가드: curl | bash 또는 wget | sh와 같은 위험한 패턴을 탐지하고 경고합니다.
• 자격 증명 유출 탐지: 민감한 파일(예: /etc/passwd)이나 환경 변수를 원격 서버로 업로드하는 명령어를 차단합니다.
• 위협 인텔리전스: OpenSSF 및 CISA와 같은 소스에서 제공하는 알려진 악성 패키지 및 인프라의 서명된 로컬 데이터베이스를 사용합니다.
• AI 에이전트 보안: AI 에이전트가 실행하는 명령어를 보호하기 위한 사전 도구 훅(pre-tool hook)을 제공합니다.
• 코드 스캔: JS 및 Python 파일을 스캔하여 난독화된 페이로드 및 동적 코드 실행을 탐지합니다.