使用tracee编写规则追踪系统安全事件

最新推荐文章于 2024-11-29 00:21:09 发布

IT老涵

最新推荐文章于 2024-11-29 00:21:09 发布

阅读量860

点赞数

CC 4.0 BY-SA版权

分类专栏：安全漏洞网络文章标签：安全网络安全渗透测试安全漏洞

本文链接：https://blog.youkuaiyun.com/HBohan/article/details/121401219

本文介绍了Linux运行时安全工具Tracee，通过eBPF技术追踪系统和应用，检测可疑行为。讲解了安装tracee的条件及步骤，使用tracee-rules检测包括Fileless Execution在内的安全事件，以及如何创建自定义规则来监控特定命令如whoami。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、何为tracee

Tracee 是 Linux 的运行时安全和取证工具。它使用 Linux eBPF 技术在运行时跟踪您的系统和应用程序，并分析收集到的事件以检测可疑的行为模式。Tracee 由以下子项目组成：

Tracee-eBPF - 使用 eBPF 的 Linux 跟踪和取证程序

Tracee-Rules - 运行时安全规则检测引擎

『技术资料』

二、安装tracee

运行tracee的必要条件

Linux 内核版本 >= 4.18

Linux 内核头文件在常规位置下可用

系统库 libelf 和 zlib

快速开始安装

docker run --name tracee --rm --pid=host --privileged -v /tmp/tracee:/tmp/tracee -it aquasec/tracee:latest trace

本条命令将仅启动原始跟踪 (Tracee-eBPF)，没有检测引擎 (Tracee-Rules)，用户将会看到如下的大量的原始事件输出：

[root@localhost ~]# docker run --name tracee --rm --pid=host --privileged -v /tmp/tracee:/tmp/tracee -it aquasec/tracee:latest trace
TIME             UID    COMM             PID     TID     RET              EVENT                ARGS
06:16:20:529134  0      assist_daemon    719     759     0                security_file_open   pathname: /proc/stat, flags: O_RDONLY|O_LARGEFILE, dev: 5, inode: 4026532025
06:16:20:529094  0      assist_daemon    719     759     7                open                 pathname: /proc/stat, flags: O_RDONLY|O_LARGEFILE|O_CLOEXEC, mode: 0
06:16: