主机进程行为日志采集与分析<\/strong><\/p>

基本概念与日志来源<\/strong>
主机进程行为日志，是指记录操作系统内所有进程生命周期及其关键行为的详细数据。其核心来源是操作系统的内核与系统组件。在Linux系统中，主要来源于：<\/p>

auditd框架<\/strong>：可配置规则，捕获进程创建（fork, execve）、文件访问、系统调用等详细事件。<\/li>
内核日志（\/proc文件系统与dmesg）<\/strong>：\/proc目录下的虚拟文件（如\/proc\/[pid]\/）记录了每个进程的运行时信息，包括命令行、内存映射、打开的文件描述符等。dmesg日志则可能包含内核级别的进程异常信息。<\/li>
系统审计跟踪<\/strong>：如通过strace、sysdig等工具捕获的特定进程系统调用序列。
在Windows系统中，主要来源于：<\/li>
Windows事件日志<\/strong>：特别是“安全”日志（事件ID 4688: 新进程创建）和“Sysmon”（Sysinternals工具，可记录更详细的进程创建、网络连接、文件创建等）。<\/li>
ETW（Windows事件跟踪）<\/strong>：内核级别的深度跟踪机制，可提供极细粒度的进程、线程、注册表、网络活动事件流。<\/li> <\/ul> <\/li>

关键采集技术与挑战<\/strong>
进程行为日志采集的核心在于获取完整、准确的进程生命周期链（进程树）及其上下文。关键技术点包括：<\/p>

进程溯源与父子关系跟踪<\/strong>：必须捕获每个进程的父进程ID（PPID）、创建时间、执行映像路径和命令行参数。这对于威胁狩猎中追踪攻击链至关重要。<\/li>
完整上下文捕获<\/strong>：除进程创建事件外，还需关联采集其网络连接<\/strong>（对应端口和远程IP）、文件操作<\/strong>（创建、读写、删除的关键文件）、模块加载<\/strong>（动态库、DLL注入）以及安全令牌\/权限<\/strong>变化。<\/li>
内核级采集与性能损耗<\/strong>：最详尽的日志（如每次系统调用）需通过内核模块或ETW提供者获取，这对系统性能有显著影响，需在粒度和开销间做精细权衡。<\/li>
规避与绕过风险<\/strong>：攻击者可通过内存注入、无文件攻击、直接系统调用等方式规避标准日志记录机制，采集方案需结合完整性保护（如内核回调挂钩、受保护进程）和异常行为检测来应对。<\/li> <\/ul> <\/li>

分析模型与威胁狩猎应用<\/strong>
基于采集到的详实数据，可构建多种分析模型：<\/p>

基线建模与异常检测<\/strong>：建立正常环境下进程、父进程、执行路径、命令行参数的白名单或频率基线，快速发现异常进程（如从临时目录启动的可执行文件、异常的父子进程关系如explorer.exe生成cmd.exe）。<\/li>
进程树\/攻击链可视化<\/strong>：将进程创建事件按照父子关系绘制成树状图，可直观呈现一次入侵的完整执行流，例如从初始漏洞利用（如web服务进程）到下载器、横向移动（psexec、wmi）、权限提升、数据外传的整个过程。<\/li>
战术、技术与程序（TTP）映射<\/strong>：将进程行为模式映射到MITRE ATT&CK框架，例如：

T1059 命令与脚本解释器<\/strong>：异常的cmd、powershell、bash进程调用。<\/li>
T1055 进程注入<\/strong>：进程内存中加载了非自身模块或存在远程线程注入。<\/li>
T1047 Windows管理规范<\/strong>：异常使用wmic.exe。<\/li> <\/ul> <\/li>
无文件攻击检测<\/strong>：通过分析进程内存中执行的非磁盘文件代码、异常的脚本宿主进程行为（如powershell执行长串编码命令）、或仅存在于注册表\/共享内存中的“文件”，结合进程和模块日志进行识别。<\/li> <\/ul> <\/li>

与安全体系的集成与趋势<\/strong>
进程行为日志是高级安全能力的基石，其价值在于集成：<\/p>

作为EDR核心数据源<\/strong>：端点检测与响应（EDR）系统高度依赖高质量的进程行为日志流，以实现实时检测、记录和响应能力。<\/li>
关联上下文丰富告警<\/strong>：将进程日志与网络连接日志、文件完整性监控、用户身份日志关联，可将简单的“异常进程”告警升级为高置信度的、包含完整攻击上下文的“入侵事件”。<\/li>
结合机器学习与流处理<\/strong>：对海量进程事件流应用实时流计算和机器学习模型（如图神经网络分析进程树），以发现隐蔽的、慢速的横向移动和持久化威胁。<\/li>
内存取证融合<\/strong>：在应急响应中，将历史进程行为日志与内存快照的实时进程列表、网络连接、钩子等信息进行交叉验证，发现深度隐藏的恶意进程或已被杀但留有痕迹的攻击。<\/li> <\/ul> <\/li> <\/ol>