首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

审计 Linux 系统的操作行为的 5 种方案对比

; 无法记录 shell 脚本内的操作; 过滤规则可能单一; 可能需要不停的更新 bash 版本,工作量大,否则容易被发行版替换; snoopy 记录方式 snoopy 方式相对新颖,本质上是封装了 execv...目前大部分系统执行命令时都通过 execv,execve 系统调用执行,这点就和会话无关,几乎所有的情况下,只要通过这两个系统调用执行命令,就会将操作行为记录下来,从目前的最新版本(2.4.8)来看,snoopy...有几个优点: 难以绕过,只要设置了 PRELOAD,就肯定会记录; 无论是否存在 tty 会话,都会记录 execv,execve 相关的命令行操作,包含详细的进程上下文信息; 可以记录 shell...脚本内部的操作行为,脚本内的命令行操作大部分都会调用 execv,execve; 可以记录操作行为的参数, 比如指定了用户名,密码等; 过滤规则丰富,可以忽略指定 daemon,uid,也可以仅记录指定的...因为其提供了内核层面的支持,所以本质上比起 snoopy(仅封装 execv,execve 系统调用)要更加强大和健全。

1.6K20
领券