ai-chatbot/lib/security/crowdsec-internal-monitoring.md

# CrowdSec 内部威胁监控报告

## 📊 监控状态总览

### ✅ 当前状态
- **auditd服务**：运行中
- **CrowdSec auditd监控**：已启用
- **日志处理**：1.21k行已读取，255行已解析
- **内部威胁检测**：0个警报（系统正常）

## 🔍 已启用的内部威胁检测场景（6个）

### 1. auditd-postexploit-exec-from-net
- **检测内容**：从网络下载并执行（curl/wget + exec）
- **用途**：检测后门利用行为
- **场景**：检测攻击者下载恶意脚本并执行
- **状态**：已启用，正在监控

### 2. auditd-base64-exec-behavior
- **检测内容**：base64编码执行行为
- **用途**：检测隐藏的命令执行
- **场景**：检测使用base64编码隐藏恶意命令
- **状态**：已启用，正在监控

### 3. auditd-postexploit-pkill
- **检测内容**：后门利用后的进程终止行为
- **用途**：检测恶意进程管理
- **场景**：检测攻击者终止安全进程
- **状态**：已启用，正在监控

### 4. auditd-postexploit-rm
- **检测内容**：后门利用后的文件删除行为
- **用途**：检测痕迹清理行为
- **场景**：检测攻击者删除日志和证据
- **状态**：已启用，正在监控

### 5. auditd-suid-crash
- **检测内容**：SUID权限滥用导致的崩溃
- **用途**：检测权限提升攻击
- **场景**：检测利用SUID程序进行权限提升
- **状态**：已启用，正在监控

### 6. auditd-sus-exec
- **检测内容**：可疑的执行行为
- **用途**：检测异常进程执行
- **场景**：检测不正常的程序执行模式
- **状态**：已启用，正在监控

## 📈 监控数据统计

### 日志处理
- **audit.log读取**：1.21k行
- **已解析**：255行
- **未解析**：951行（正常，部分日志不需要解析）

### 场景触发
- **当前活跃实例**：0个（系统正常）
- **历史触发**：无（系统正常）

## 🚨 检测能力

### 可以检测的内部威胁类型

1. **后门利用**
   - 从网络下载恶意脚本
   - 执行下载的脚本
   - 创建反向shell

2. **恶意进程**
   - 隐藏的命令执行
   - base64编码的恶意命令
   - 异常进程行为

3. **权限提升**
   - SUID权限滥用
   - 权限提升攻击

4. **痕迹清理**
   - 删除日志文件
   - 删除证据文件
   - 清理攻击痕迹

5. **进程管理**
   - 终止安全进程
   - 恶意进程管理

## 📋 查看监控日志的命令

### 查看CrowdSec警报
```bash
# 查看所有警报
cscli alerts list

# 查看最近的警报
cscli alerts list --limit 20

# 查看特定类型的警报
cscli alerts list | grep auditd
```

### 查看auditd原始日志
```bash
# 实时查看audit日志
tail -f /var/log/audit/audit.log

# 查看最近的audit日志
tail -100 /var/log/audit/audit.log

# 搜索特定事件
ausearch -k exec  # 查看执行事件
ausearch -k file  # 查看文件访问事件
```

### 查看CrowdSec服务日志
```bash
# 实时查看CrowdSec日志
journalctl -u crowdsec -f

# 查看最近的日志
journalctl -u crowdsec -n 50

# 查看错误日志
journalctl -u crowdsec -p err
```

### 查看场景指标
```bash
# 查看所有指标
cscli metrics

# 查看场景统计
cscli metrics | grep -A 20 "Scenario Metrics"

# 查看auditd相关指标
cscli metrics | grep auditd
```

## 🔄 监控流程

1. **auditd收集系统事件**
   - 记录系统调用
   - 记录文件访问
   - 记录进程执行

2. **CrowdSec解析日志**
   - 解析audit.log
   - 提取关键事件
   - 匹配场景规则

3. **场景检测**
   - 检测后门利用行为
   - 检测异常执行
   - 检测权限滥用

4. **自动响应**
   - 生成警报
   - 创建封禁决策
   - 通知管理员

## ✅ 当前系统状态

- **内部威胁**：0个警报（系统正常）
- **外部攻击**：5个警报（SSH暴力破解，已封禁）
- **系统健康**：正常

## 🛡️ 防护效果

CrowdSec的auditd监控正在：
- ✅ 实时监控系统内部活动
- ✅ 检测后门利用行为
- ✅ 检测恶意进程执行
- ✅ 检测权限提升攻击
- ✅ 检测痕迹清理行为
- ✅ 记录所有可疑活动

## 📝 注意事项

1. **auditd日志量**
   - auditd会产生大量日志
   - 需要定期清理旧日志
   - 建议配置日志轮转

2. **性能影响**
   - auditd对系统性能影响很小
   - CrowdSec解析效率高
   - 不会影响正常服务

3. **误报处理**
   - 某些正常操作可能触发警报
   - 需要根据实际情况调整规则
   - 可以配置白名单