e9ceedb3bf
- 创建 /api/enhance 路由，实现图片变清晰API集成 - 在图片标注组件中添加变清晰按钮（Sparkles图标） - 在相册页面添加变清晰按钮 - 系统设置：将抠图设置改名为本地AI设置，添加变清晰API配置 - 支持同步和异步两种模式 - 自动上传到S3存储桶并保存到数据库 - 在相册和出图记录中显示处理后的图片
193 lines
4.5 KiB
Markdown
193 lines
4.5 KiB
Markdown
# CrowdSec 内部威胁监控报告
|
||
|
||
## 📊 监控状态总览
|
||
|
||
### ✅ 当前状态
|
||
- **auditd服务**：运行中
|
||
- **CrowdSec auditd监控**：已启用
|
||
- **日志处理**：1.21k行已读取，255行已解析
|
||
- **内部威胁检测**：0个警报（系统正常）
|
||
|
||
## 🔍 已启用的内部威胁检测场景（6个）
|
||
|
||
### 1. auditd-postexploit-exec-from-net
|
||
- **检测内容**：从网络下载并执行（curl/wget + exec）
|
||
- **用途**：检测后门利用行为
|
||
- **场景**：检测攻击者下载恶意脚本并执行
|
||
- **状态**：已启用，正在监控
|
||
|
||
### 2. auditd-base64-exec-behavior
|
||
- **检测内容**：base64编码执行行为
|
||
- **用途**：检测隐藏的命令执行
|
||
- **场景**：检测使用base64编码隐藏恶意命令
|
||
- **状态**：已启用，正在监控
|
||
|
||
### 3. auditd-postexploit-pkill
|
||
- **检测内容**：后门利用后的进程终止行为
|
||
- **用途**：检测恶意进程管理
|
||
- **场景**：检测攻击者终止安全进程
|
||
- **状态**：已启用，正在监控
|
||
|
||
### 4. auditd-postexploit-rm
|
||
- **检测内容**：后门利用后的文件删除行为
|
||
- **用途**：检测痕迹清理行为
|
||
- **场景**：检测攻击者删除日志和证据
|
||
- **状态**：已启用，正在监控
|
||
|
||
### 5. auditd-suid-crash
|
||
- **检测内容**：SUID权限滥用导致的崩溃
|
||
- **用途**：检测权限提升攻击
|
||
- **场景**：检测利用SUID程序进行权限提升
|
||
- **状态**：已启用，正在监控
|
||
|
||
### 6. auditd-sus-exec
|
||
- **检测内容**：可疑的执行行为
|
||
- **用途**：检测异常进程执行
|
||
- **场景**：检测不正常的程序执行模式
|
||
- **状态**：已启用，正在监控
|
||
|
||
## 📈 监控数据统计
|
||
|
||
### 日志处理
|
||
- **audit.log读取**：1.21k行
|
||
- **已解析**：255行
|
||
- **未解析**：951行（正常，部分日志不需要解析）
|
||
|
||
### 场景触发
|
||
- **当前活跃实例**：0个（系统正常）
|
||
- **历史触发**：无（系统正常）
|
||
|
||
## 🚨 检测能力
|
||
|
||
### 可以检测的内部威胁类型
|
||
|
||
1. **后门利用**
|
||
- 从网络下载恶意脚本
|
||
- 执行下载的脚本
|
||
- 创建反向shell
|
||
|
||
2. **恶意进程**
|
||
- 隐藏的命令执行
|
||
- base64编码的恶意命令
|
||
- 异常进程行为
|
||
|
||
3. **权限提升**
|
||
- SUID权限滥用
|
||
- 权限提升攻击
|
||
|
||
4. **痕迹清理**
|
||
- 删除日志文件
|
||
- 删除证据文件
|
||
- 清理攻击痕迹
|
||
|
||
5. **进程管理**
|
||
- 终止安全进程
|
||
- 恶意进程管理
|
||
|
||
## 📋 查看监控日志的命令
|
||
|
||
### 查看CrowdSec警报
|
||
```bash
|
||
# 查看所有警报
|
||
cscli alerts list
|
||
|
||
# 查看最近的警报
|
||
cscli alerts list --limit 20
|
||
|
||
# 查看特定类型的警报
|
||
cscli alerts list | grep auditd
|
||
```
|
||
|
||
### 查看auditd原始日志
|
||
```bash
|
||
# 实时查看audit日志
|
||
tail -f /var/log/audit/audit.log
|
||
|
||
# 查看最近的audit日志
|
||
tail -100 /var/log/audit/audit.log
|
||
|
||
# 搜索特定事件
|
||
ausearch -k exec # 查看执行事件
|
||
ausearch -k file # 查看文件访问事件
|
||
```
|
||
|
||
### 查看CrowdSec服务日志
|
||
```bash
|
||
# 实时查看CrowdSec日志
|
||
journalctl -u crowdsec -f
|
||
|
||
# 查看最近的日志
|
||
journalctl -u crowdsec -n 50
|
||
|
||
# 查看错误日志
|
||
journalctl -u crowdsec -p err
|
||
```
|
||
|
||
### 查看场景指标
|
||
```bash
|
||
# 查看所有指标
|
||
cscli metrics
|
||
|
||
# 查看场景统计
|
||
cscli metrics | grep -A 20 "Scenario Metrics"
|
||
|
||
# 查看auditd相关指标
|
||
cscli metrics | grep auditd
|
||
```
|
||
|
||
## 🔄 监控流程
|
||
|
||
1. **auditd收集系统事件**
|
||
- 记录系统调用
|
||
- 记录文件访问
|
||
- 记录进程执行
|
||
|
||
2. **CrowdSec解析日志**
|
||
- 解析audit.log
|
||
- 提取关键事件
|
||
- 匹配场景规则
|
||
|
||
3. **场景检测**
|
||
- 检测后门利用行为
|
||
- 检测异常执行
|
||
- 检测权限滥用
|
||
|
||
4. **自动响应**
|
||
- 生成警报
|
||
- 创建封禁决策
|
||
- 通知管理员
|
||
|
||
## ✅ 当前系统状态
|
||
|
||
- **内部威胁**：0个警报（系统正常）
|
||
- **外部攻击**：5个警报（SSH暴力破解，已封禁）
|
||
- **系统健康**：正常
|
||
|
||
## 🛡️ 防护效果
|
||
|
||
CrowdSec的auditd监控正在：
|
||
- ✅ 实时监控系统内部活动
|
||
- ✅ 检测后门利用行为
|
||
- ✅ 检测恶意进程执行
|
||
- ✅ 检测权限提升攻击
|
||
- ✅ 检测痕迹清理行为
|
||
- ✅ 记录所有可疑活动
|
||
|
||
## 📝 注意事项
|
||
|
||
1. **auditd日志量**
|
||
- auditd会产生大量日志
|
||
- 需要定期清理旧日志
|
||
- 建议配置日志轮转
|
||
|
||
2. **性能影响**
|
||
- auditd对系统性能影响很小
|
||
- CrowdSec解析效率高
|
||
- 不会影响正常服务
|
||
|
||
3. **误报处理**
|
||
- 某些正常操作可能触发警报
|
||
- 需要根据实际情况调整规则
|
||
- 可以配置白名单
|
||
|