VIP10

本课程属于：061-Linux内核系统调用 Linux内核与驱动 · 共 10 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

系统调用审计日志分析：Linux安全事件溯源实践

共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

安全事件溯源概述

溯源的定义 · 溯源在安全运营中的价值 · Linux环境下的溯源挑战

安全事件溯源概述溯源的定义

系统调用基础

系统调用的概念 · 用户态与内核态切换 · 常见系统调用分类（文件

系统调用基础系统调用的概念

审计框架介绍

Linux审计系统架构 · auditd组件 · 内核审计子系统

审计框架介绍Linux

auditd安装与配置

安装auditd · 启动与停止服务 · auditd.conf核心配置项解析

审计规则基础

auditctl命令 · 文件监控规则 · 目录监控规则

审计规则基础auditctl

审计规则进阶

键值标签 · 排除规则 · 永久规则配置（/etc/audit/…

审计规则进阶键值标签

审计日志格式解析

日志行结构 · type字段 · msg字段

审计日志格式解析日志行结构

ausearch工具使用

ausearch基本语法 · 按时间搜索 · 按UID搜索

ausearch工具使用

aureport工具使用

aureport概要报告 · 按用户统计 · 按事件类型统计

aureport工具使用

日志实时监控

audispd架构 · 配置实时告警 · 将日志转发到syslog

日志实时监控audispd

文件完整性监控

监控/etc/passwd · 监控/bin目录 · 监控配置文件变更

文件完整性监控etc/passwd

进程执行审计

监控execve系统调用 · 记录命令行参数 · 追踪父进程链

进程执行审计execve

网络连接审计

监控socket/connect/b… · 记录源目IP和端口

网络连接审计socket/conne…

用户行为审计

监控用户登录/登出 · sudo命令执行 · 用户切换（su）

用户行为审计监控用户登录

权限提升检测

监控setuid/setgid调用 · 监控capset系统调用 · 检测提权行为

权限提升检测setuid/setgi…

横向移动检测

监控SSH连接 · 监控scp/rsync文件传输 · 监控远程命令执行

横向移动检测SSH

数据泄露检测

监控文件读取（open/read） · 监控网络发送（sendto/writ… · 监控大文件操作

数据泄露检测open/read

恶意软件行为分析

监控文件创建 · 监控进程注入 · 监控异常系统调用序列

恶意软件行为分析监控文件创建

日志关联分析

多主机日志聚合 · 时间戳对齐 · 事件链重构

日志关联分析多主机日志聚合

audit日志与ELK集成

Filebeat采集audit日志 · Logstash解析 · Elasticsearch存储与Ki…

audit日志与Splunk集成

Splunk通用转发器配置 · 字段提取 · 仪表板创建

自定义审计规则编写

根据MITRE ATT&CK框架编写… · 针对特定CVE的规则

自定义审计规则编…MITRE

性能调优与最佳实践

审计队列大小调整 · 速率限制 · 避免日志洪泛

性能调优最佳实践

常见误报处理

白名单机制 · 规则优化 · 噪声过滤策略

常见误报处理白名单机制

事件响应实战（一）

检测WebShell上传 · 分析文件创建与执行链

事件响应实战WebShell

事件响应实战（二）

检测挖矿程序 · 分析异常网络连接与CPU消耗

事件响应实战检测挖矿程序

事件响应实战（三）

检测勒索软件 · 分析文件加密与删除行为

事件响应实战检测勒索软件

事件响应实战（四）

检测后门持久化 · 分析cron/SSH密钥/启动项修改

事件响应实战检测后门持久化

取证与报告生成

提取关键审计事件 · 时间线重建 · 生成事件响应报告

取证报告生成

课程总结与未来展望

auditd局限性 · eBPF技术对比 · Linux安全审计发展趋势

课程总结未来展望