使用tracee编写规则追踪系统安全事件

最新推荐文章于 2025-06-10 09:17:04 发布

原创

最新推荐文章于 2025-06-10 09:17:04 发布 · 916 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #网络安全 #渗透测试 #安全漏洞

本文介绍了Linux运行时安全工具Tracee，通过eBPF技术追踪系统和应用，检测可疑行为。讲解了安装tracee的条件及步骤，使用tracee-rules检测包括Fileless Execution在内的安全事件，以及如何创建自定义规则来监控特定命令如whoami。

一、何为tracee

Tracee 是 Linux 的运行时安全和取证工具。它使用 Linux eBPF 技术在运行时跟踪您的系统和应用程序，并分析收集到的事件以检测可疑的行为模式。Tracee 由以下子项目组成：

Tracee-eBPF - 使用 eBPF 的 Linux 跟踪和取证程序

Tracee-Rules - 运行时安全规则检测引擎

『技术资料』

二、安装tracee

运行tracee的必要条件

Linux 内核版本 >= 4.18

Linux 内核头文件在常规位置下可用

系统库 libelf 和 zlib

快速开始安装

docker run --name tracee --rm --pid=host --privileged -v /tmp/tracee:/tmp/tracee -it aquasec/tracee:latest trace

本条命令将仅启动原始跟踪 (Tracee-eBPF)，没有检测引擎 (Tracee-Rules)，用户将会看到如下的大量的原始事件输出：

[root@localhost ~]# docker run --name tracee --rm --pid=host --privileged -v /tmp/tracee:/tmp/tracee -it aquasec/tracee:latest trace
TIME             UID    COMM             PID     TID     RET              EVENT                ARGS
06:16:20:529134  0      assist_daemon    719     759     0                security_file_open   pathname: /proc/stat, flags: O_RDONLY|O_LARGEFILE, dev: 5, inode: 4026532025
06:16:20:529094  0      assist_daemon    719     759     7                open                 pathname: /proc/stat, flags: O_RDONLY|O_LARGEFILE|O_CLOEXEC, mode: 0
06:16:

最低0.47元/天解锁文章