# 内部威胁监控方案

## 当前内部安全监控状态

### ✅ 已部署的监控

1. **CrowdSec Auditd 监控**
   - 监控系统调用和进程执行
   - 检测后门利用行为
   - 检测异常进程执行
   - 检测SUID权限滥用

2. **系统日志监控**
   - SSH登录监控
   - 系统进程监控
   - 文件访问监控（通过auditd）

### ⚠️ 需要加强的监控

1. **进程监控**
   - 实时进程监控
   - 异常进程检测
   - 僵尸进程检测

2. **文件完整性监控**
   - 关键系统文件监控
   - 配置文件变更监控
   - 可执行文件监控

3. **网络连接监控**
   - 异常出站连接
   - 反向shell检测
   - 数据外泄检测

4. **系统资源监控**
   - CPU异常使用
   - 内存异常使用
   - 磁盘IO异常

## 推荐的内部分全监控工具

### 1. AIDE (Advanced Intrusion Detection Environment)
- **功能**：文件完整性监控
- **用途**：检测系统文件被修改
- **安装**：`dnf install aide`

### 2. rkhunter (Rootkit Hunter)
- **功能**：Rootkit和恶意软件检测
- **用途**：扫描隐藏的恶意软件
- **安装**：`dnf install rkhunter`

### 3. chkrootkit
- **功能**：Rootkit检测
- **用途**：检测已知的rootkit
- **安装**：`dnf install chkrootkit`

### 4. psacct (进程 accounting)
- **功能**：进程活动记录
- **用途**：记录所有进程执行历史
- **安装**：`dnf install psacct`

### 5. auditd (已部分启用)
- **功能**：系统审计
- **用途**：记录系统调用和文件访问
- **状态**：CrowdSec正在使用

## 实施建议

### 优先级1：立即实施
1. **启用完整的auditd监控**
2. **安装AIDE进行文件完整性监控**
3. **定期运行rkhunter扫描**

### 优先级2：短期实施
1. **安装psacct记录进程活动**
2. **配置实时进程监控**
3. **设置异常网络连接告警**

### 优先级3：长期优化
1. **部署SIEM系统**
2. **实施行为分析**
3. **建立安全基线**