1. 威胁建模与监控目标
1.1 识别关键资产与攻击面
在开展 Linux exploit 攻击的检测前，必须明确关键资产与<强>攻击面，以便聚焦日志与基线监控的重点区域。常见的关键资产包括 数据库服务器、Web 应用、SSH 入口、容器主机以及持续集成环境，这些位置一旦被破坏往往直接影响业务连续性。攻击面则涵盖暴露的端口、未打补丁的内核、错误配置的 ACL，以及过度授权的服务账户等。
为了确保检测覆盖率，需要将监控目标与组织的威胁模型对齐，明确哪些行为属于合法运维活动，哪些属于潜在入侵迹象。这样可以在日常日志中快速定位异常模式，并建立初步的告警边界。系统日志与安全日志的完整性也成为评估基线的重要基础。
# 资产清单示例（示意）
资产清单=("数据库: 10.0.0.20""SSH: 22/tcp""Web 服务: 80,443""容器宿主: 172.16.0.5"
)
1.2 确立基线指标与阈值
基线是判断异常的前提，常用维度包含 CPU、内存、磁盘 I/O、进程创建速率、以及 登录失败率、异常命令执行率等。通过对历史数据的统计可以设定 阈值范围，用于触发初步告警与人工复核。基线不仅要覆盖系统层面的指标，还应包含应用与中间件的关键参数。
在建立基线时，建议以分层方式定义阈值：主机级别、应用级别、以及 网络行为级别，这样可以在不同维度发现异常而避免误报。基线的维护还需要考虑业务波动 与<强>季节性负载，以减少误报警报散。
# 基线监控的简易示例（示意）
uptime
ps aux --sort=-%mem | head -n 5
iostat -x 1 5
2. 日志分析的核心流程
2.1 日志数据源与聚合
日志数据源是检测 Linux exploit 攻击的第一道防线，核心包括 系统日志（syslog/journal）、认证日志、审计日志（auditd）、以及内核消息。集中化聚合能够在单一入口进行检索、避免日志分散导致的线索丢失，提升威胁可观测性。
在收集阶段，需确保日志的时间同步、日志完整性与日志轮转策略，以便对齐跨主机事件的时间线，并为后续的事件重建打下基础。对日志源进行分层标签，如 认证相关、命令执行相关、内核事件相关，有助于快速筛选与查询。
# 将多源日志聚合到集中系统的示例（伪代码）
sudo systemctl restart rsyslog
journalctl -o json-pretty > /var/log/journal.json
# 或将日志发送到集中日志服务器
logger "测试日志：SSH 登录尝试"
2.2 事件时间线与命令轨迹
对潜在利用的检测，重建事件时间线与命令轨迹非常关键。关注的核心是 命令执行痕迹、进程树关系、以及父子进程继承关系，以识别覆写、逃逸或反制操作的行为模式。结合 MITRE ATT&CK 框架进行映射，有助于理解攻击阶段与技术细节的对应关系。
通过对历史命令与系统调用的比对，可以发现异常执行路径，例如在非交互会话中触发的 shell、远程下载器执行、以及可疑的持久化行为。对高危命令的检测可以显著提升早期告警的命中率。
# 使用 auditd 收集命令执行痕迹的示例
ausearch -m SYS_EXECVE --checkpoint 0
ausearch -ts today -m SYS_EXECVE
# 结合日志聚合系统的查询
grep -iE "sudo|su|bash -i|nc|wget|curl" /var/log/auth.log
2.3 异常行为检测方法
异常检测的核心在于识别<时间序列上的偏离，对比基线的<波动区间与<强>跨主机的一致性。同时，应将检测结果与 ATT&CK 模型对照，帮助判断攻击步骤、影响范围与应对优先级。
常用的方法包括 规则匹配（如可疑命令、异常网络活动）、基线偏移统计、以及异常分布模型（如基于高斯分布的异常点）。在高安全要求场景下，可以结合 时序聚类 与 异常分数进行多维度评估。
# 简单的异常检测示例（伪代码）
def detect_anomaly(ts, window=60):baseline = ts.rolling(window).mean()return ts - baseline
# 应用于日志中某字段的时间序列
3. 基线监控的落地实现
3.1 使用 Auditd 与 Baseline
Auditd 是 Linux 上可审计性最直接的工具之一，结合基线监控可以实现对系统调用、文件访问等关键行为的持续监控与溯源能力。通过配置审计规则，可以对高风险操作触发日志记录，形成可查询的证据链。
在实际落地中，首先需要确保 auditd 服务正常运行，并设定合理的 审计规则，随后将审计日志集中分析，结合基线进行偏离检测。
# 安装并启用 auditd
sudo apt-get update
sudo apt-get install -y auditd audispd-plugins
sudo systemctl enable --now auditd
# 查看最近的系统调用
ausearch -m SYS_EXECVE --start today
3.2 基线生成与差异监控工具
基线监控工具用于在系统级别建立“完好状态”的参照，常用工具包括 AIDE、Tripwire 等。通过定期对比当前系统状态与基线数据库，可以快速发现未授权的变更、非预期的文件修改等异常。
生成基线后，要设定差异报告的阈值与告警策略，以便在变更超过正常波动时触发通知。对于容器化环境，可将基线结果推送至集中监控平台，实现跨主机的一致性检查。
# 初始化 AIDE 基线
sudo aideinit
# 生成差异报告（对比基线与当前系统状态）
sudo aide --check
3.3 实时监控与告警策略
实时监控应覆盖<强>主机级别、应用级别以及网络行为级别的告警规则。告警策略要明确告警等级、通知渠道、以及与响应流程的对接方式，以确保在检测到可疑行为时能够快速诊断与处置，同时避免告警疲劳。
最小化可观测性差异的关键是统一时间戳、统一字段命名以及一致的日志格式，以提高跨系统查询与关联分析的效率。
4. 实战案例与工具集成
4.1 日志分析工具
在大规模环境中，集中式日志分析与可视化能力是提升检测效率的核心。常见组合包括 Elastic Stack（Elasticsearch、Logstash、Kibana）或 OpenSearch，用于索引、搜索与告警可视化。通过对日志的快速检索、相关性分析，可以迅速定位潜在的 exploit 行为。
通过构建查询与仪表盘，可以将 认证异常、命令执行痕迹、内核异常 等线索在一个界面上呈现，方便安全运维人员进行及时响应。
# 使用 Elasticsearch 进行日志搜索示例
curl -X GET "localhost:9200/logs/_search" -H 'Content-Type: application/json' -d'
{"query": {"bool": {"must": [{"match": {"message": "sudo"}}]}}
}'
4.2 规则与检测模式示例
为了实现持续的检测能力，可以将规则以可移植的格式编写，如 SIGMA、YAML 或自定义规则，覆盖常见的 linux explot 攻击模式，例如异常的进程创建、可疑的远程下载、持久化脚本等。通过规则驱动的检测，可以在日志中快速定位兴趣点并关联上下文信息。
下面给出一个简化的检测规则示例，便于快速理解规则结构及应用场景。
title: Linux Suspicious Process Spawn
logsource:product: linux
detection:selection:EventID: SYS_EXECVEcondition: selection
4.3 结合 MITRE ATT&CK 框架的对照
将检测能力映射到 MITRE ATT&CK 框架，可以帮助理解检测到的行为属于入侵侦测的哪个阶段（如 Initial Access、Execution、Credential Access、Discovery、Lateral Movement 等），并据此设计更精准的告警与响应流程。通过对照表，安全团队可以动态调整检测侧重点，以覆盖新的攻击技巧与组合。
在实际操作中，建议将日志表达的字段与 ATT&CK 技术进行关联，并在仪表盘中展示“阶段—技术”对应关系，提升对威胁情报的利用效率。
