进程凭证与权限监控<\/strong><\/p>

进程凭证是操作系统用于标识和判定进程身份及权限属性的核心数据集合。监控进程凭证及其使用行为，是检测权限提升、横向移动和权限滥用的关键。<\/p>

第一步：理解进程凭证的基本构成
进程凭证是进程在操作系统中的“身份证”和“权限卡”，主要包含：<\/p>

用户标识符（UID）与组标识符（GID）<\/strong>：标识进程的所属用户和主组。通常，进程继承其父进程（如启动它的Shell）的UID和GID。<\/li>
有效UID（EUID）与有效GID（EGID）<\/strong>：操作系统进行权限检查时实际使用的身份。当进程执行一个设置了Set-UID或Set-GID权限位的程序时，其EUID\/EGID会临时变为程序文件所有者的UID\/GID，这是权限提升的常见机制。<\/li>
保存的Set-UID（SUID）和保存的Set-GID（SGID）<\/strong>：用于在EUID\/EGID变更后存储原始身份，以便后续恢复。<\/li>
文件系统UID（FSUID）与文件系统GID（FSGID）<\/strong>：主要用于对文件系统访问（如读、写文件）进行权限检查，通常与EUID\/EGID相同，但可独立修改以实现更细粒度的控制。<\/li>
补充组列表<\/strong>：进程所属的附加组列表，用于判定对属于这些组的资源的访问权限。<\/li>
权能（Capabilities，Linux特有）<\/strong>：将传统超级用户（root）的权限划分为多个独立的单元（如CAP_NET_RAW<\/code>允许使用原始套接字）。进程即使不是root，拥有特定权能也能执行相应特权操作。<\/li> <\/ol> 第二步：掌握凭证监控的采集点与方式监控进程凭证，需要在以下关键点进行数据捕获：<\/p> 进程创建时<\/strong>：记录新进程初始化的所有凭证信息（UID， GID， EUID， EGID，权能等）。这是建立进程初始权限基线的基础。<\/li> 凭证变更事件<\/strong>：这是监控的核心。需要钩住或监听系统调用，捕获以下关键操作： setuid()<\/code>， seteuid()<\/code>， setreuid()<\/code>：变更用户身份。<\/li> setgid()<\/code>， setegid()<\/code>， setregid()<\/code>：变更组身份。<\/li> setfsuid()<\/code>， setfsgid()<\/code>：变更文件系统身份。<\/li> capset()<\/code>：变更权能集。<\/li> 成功执行execve()<\/code>执行新程序时，若目标程序文件设置了Set-UID\/GID位，则进程EUID\/EGID会发生改变。<\/li> <\/ul> <\/li> 特权操作执行时<\/strong>：检查进程在执行敏感操作（如打开特权端口、加载内核模块、修改系统配置）时，实际使用的是哪个EUID、EGID或哪些具体权能。<\/li> <\/ol> 第三步：分析凭证监控数据以识别异常行为采集到原始凭证事件后，需要通过关联与分析识别风险：<\/p> 非预期权限提升<\/strong>：一个以普通用户（如UID=1000）启动的进程，其EUID突然变为0（root）。这可能是通过利用漏洞、滥用Set-UID程序或提权攻击脚本实现的。需要结合进程执行上下文（命令行参数、父进程）判断其合法性。<\/li> 权能滥用以实现“功能提权”<\/strong>：一个非root进程被授予了与当前任务无关的高危权能（如CAP_SYS_ADMIN<\/code>，近乎root权限），并利用该权能执行了敏感操作。例如，一个Web服务进程本无需CAP_DAC_READ_SEARCH<\/code>（可绕过文件读权限检查），若其拥有此权能并读取了\/etc\/shadow<\/code>文件，则高度可疑。<\/li> 凭证窃取与模仿<\/strong>：攻击者通过注入到高权限进程（如以root运行的服务器进程）中，直接“继承”并使用该进程的凭证，或通过内存转储获取其他进程的认证令牌。监控到同一组凭证（UID\/EUID）短时间内出现在多个看似无关的、行为异常的进程中，可能意味着凭证泄露或令牌滥用。<\/li> 横向移动中的凭证使用<\/strong>：攻击者获取某用户凭证后，会启动新进程（如通过SSH、PsExec或WMI）来横向移动。监控到来自非常规源IP、异常父进程（如来自Web服务进程的子进程启动了Shell）或特定时间，使用某套凭证创建了网络访问、命令执行类进程，是横向移动的强信号。<\/li> 凭证操作序列异常<\/strong>：合法的系统进程（如sudo<\/code>， login<\/code>）在执行凭证变更时有固定模式。恶意软件或攻击脚本的提权序列可能不符合这种模式，例如，连续、快速地调用多个set*uid()<\/code>系统调用，或先降权再提权的异常模式。<\/li> <\/ol> 第四步：将凭证监控融入整体安全策略<\/p> 建立凭证行为基线<\/strong>：为系统中的关键服务、守护进程和用户进程建立正常的凭证使用基线，包括允许的EUID范围、允许的权能集、合法的凭证变更父进程等。<\/li> 关联进程与行为<\/strong>：将凭证变更事件与进程的网络连接、文件操作、子进程创建等行为关联。一次提权后紧跟对外网络连接或敏感文件访问，其风险远高于孤立的提权事件。<\/li> 实施最小权限策略<\/strong>：利用监控数据，发现并裁剪进程中过度分配的权能或不必要的Set-UID\/GID权限，推动向最小权限原则演进，从根本上减少攻击面。<\/li> <\/ol>