進程是作業系統執行的基本單元，亦是木馬、駭客攻擊的主要載體。傳統用戶態工具（ps、top、who、w）雖直觀，但存在實時性差、易被Rootkit替換、無法溯源破壞軌跡等缺陷。本文提出基於內核級實時進程監控的系統化防禦架構。

用戶態常用工具及其局限

工具	功能	局限
who	顯示在線用戶	無法見後台進程、易被utmp/wtmp篡改隱藏
w	顯示用戶及當前活動	同who，僅增強顯示
ps	靜態進程快照	非實時、依賴/proc文件系統、可被Rootkit Hook隱藏進程
top	動態進程監控	佔用前台、採樣間隔有延遲、同樣依賴/proc

四大核心缺陷：① 實時性差、響應慢；② 無法主動識別非法進程、無行為溯源；③ 運行於用戶態，極易被Rootkit替換二進制（如替換ps隱藏惡意進程）；④ 缺乏破壞證據鏈（文件訪問、網絡連接、注冊表修改等）。

重點監控進程清單（核心系統進程）

• init/systemd（PID 1）、kthreadd、ksoftirqd、migration、rcu_sched、watchdog、kworker、khelper、kdevtmpfs、netns、khungtaskd、kswapd、ksmd、khugepaged、fsnotify_mark、crypto、kintegrityd、bioset、kblockd、ata_sff、scsi_eh、kworker/u、jbd2、ext4-rsv、systemd-journald、systemd-udevd、auditd、rsyslogd、sshd、crond、nginx/apache主進程等。

異常變化（消失、參數異常、多實例、非預期子進程）均為高危信號。

內核級實時監控架構設計

1. 建立基線：乾淨環境下全量採集合法進程屬性（PID、名稱、可執行文件路徑、哈希、啟動時間、父進程、命令行參數、環境變量、打開文件、網絡連接），生成「系統安全進程白名單」（簽名+元數據）。
2. 內核掛鉤：利用Linux Security Modules (LSM)、kprobes/ftrace、eBPF在sched_fork、execve、exit等關鍵路徑掛載監控邏輯。
3. 實時比對與決策：新進程創建時即時比對白名單：
   • 白名單內：放行，記錄審計日誌。
   • 白名單外：凍結調度（SIGSTOP），彈出內核告警（netlink/ksyslog），等待管理員裁決（放行加入白名單 / 終止進程 / 隔離取證）。
4. 審計與溯源：記錄進程從誕生到終結的完整行為鏈（文件IO、網絡連接、IPC、權限提升、模塊加載），生成可視化攻擊鏈圖譜。
5. 關鍵進程存活監控：白名單中關鍵進程（sshd、systemd、auditd等）意外退出，立即觸發自動重啟/系統安全模式/告警，並記錄上下文供事後恢復。
6. 用戶放行審計：普通用戶放行進程需記錄用戶身份、時間、進程信息，供超管審核、白名單優化。

工程落地推薦方案

• 開源成熟方案：Falco (Sysdig) — 規則引擎豐富、eBPF/kprobe雙模式、K8s原生支持、CNCF畢業項目。
• 商業級EDR/XDR：CrowdStrike Falcon、SentinelOne、Microsoft Defender for Endpoint、Trend Micro Apex One — 內核傳感器+雲端大腦+自動化響應。
• 自研輕量級Agent：基於bcc/bpftrace編寫eBPF程序，針對性監控高風險系統調用（ptrace、process_vm_writev、memfd_create、bpf命令等）。

總結

用戶態工具僅適合日常運維排查，生產環境必須部署內核級運行時防護。結合基線白名單、實時攔截、全鏈路審計、自動化響應，構建「可見、可控、可溯、可免疫」的進程安全防線，才是應對APT、文件落地攻擊、內存駐留惡意代碼的正確姿勢。