云服务器入侵检测：基于 Linux auditd 与云安全中心的异常行为监控

1. 核心原理

• Linux auditd：内核级审计系统，监控系统调用、文件访问和用户操作，记录事件到审计日志。关键能力包括：
  • 实时捕获进程行为：$ \text{进程ID} \times \text{系统调用} \rightarrow \text{日志} $
  • 敏感文件监控：$$ \text{规则示例：} \quad \texttt{-w /etc/shadow -p wa -k shadow_access} $$
• 云安全中心：提供日志聚合、AI分析和威胁图谱，实现：
  • 多节点日志关联：$ \log_{\text{server1}} \oplus \log_{\text{server2}} \rightarrow \text{攻击链} $
  • 动态基线建模：$$ \text{异常检测：} \quad | \text{当前行为} - \text{历史基线} | > \theta \Rightarrow \text{告警} $$

2. 部署架构

  +---------------------+      +-------------------+      +-------------------+
  | Linux 服务器         |      | 日志采集器         |      | 云安全中心         |
  | - auditd 规则引擎    |----->| (如 Fluentd)       |----->| - 行为分析引擎     |
  | - 实时事件捕获       |      | - 日志格式化       |      | - 威胁情报库       |
  +---------------------+      +-------------------+      +-------------------+

3. 关键配置步骤

3.1 auditd 规则配置
监控敏感操作（示例）：

# 监控SSH配置文件修改
-w /etc/ssh/sshd_config -p wa -k ssh_config_change

# 监控root权限变更
-a always,exit -F arch=b64 -S setuid -F auid>=1000 -k privilege_escalation

3.2 云安全中心集成

• 日志输入：通过Syslog或API上传auditd日志
• 分析规则示例：

  {
    "rule_name": "异常文件删除",
    "condition": "event.type=unlink AND user.uid=0 AND file.path IN ('/bin/*', '/sbin/*')",
    "severity": "critical"
  }
  

4. 异常检测模型

• 统计模型：
  定义正常行为均值 $\mu$ 和标准差 $\sigma$，当事件频率 $x$ 满足：
  $$ |x - \mu| > 3\sigma \Rightarrow \text{异常} $$
• 序列分析：
  检测非常规操作序列（如：进程创建 → 敏感文件读取 → 外联传输）

5. 典型攻击场景检测

攻击类型	auditd 监控点	云中心响应策略
暴力破解	高频ssh_login失败事件	自动IP封禁
提权攻击	setuid()异常调用链	进程冻结 + 告警
数据外泄	大文件read()+send()	网络连接阻断

6. 性能优化建议

• 规则精简：避免全量监控，使用针对性规则（如只监控/etc和/usr/sbin）
• 日志轮转：配置auditd.conf限制日志大小：

  max_log_file = 50   # 单位MB
  num_logs = 5        # 保留5个历史日志
  

• 采样分析：对高并发场景启用1%采样率：$$ \text{采样事件} = \text{原始事件} \times 0.01 $$

7. 验证与测试

1. 触发测试事件：

   sudo touch /etc/cron.hourly/test_file  # 模拟可疑文件创建
   

2. 检查日志：

   ausearch -k file_tamper | grep "test_file"
   

3. 确认云中心告警是否触发，平均检测延迟应满足：$$ T_{\text{detect}} < 60 \text{秒} $$

注：实际部署需结合云平台特性（如AWS GuardDuty/AliCloud SSO）定制响应流程，并定期更新威胁情报规则库。