lunanting/lovart3
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
lovart3/lib/security/crowdsec-internal-monitoring.md
Your Name e9ceedb3bf feat: 添加图片变清晰功能 
- 创建 /api/enhance 路由，实现图片变清晰API集成
- 在图片标注组件中添加变清晰按钮（Sparkles图标）
- 在相册页面添加变清晰按钮
- 系统设置：将抠图设置改名为本地AI设置，添加变清晰API配置
- 支持同步和异步两种模式
- 自动上传到S3存储桶并保存到数据库
- 在相册和出图记录中显示处理后的图片
2025-12-29 00:33:12 +08:00

4.5 KiB
Raw Blame History

CrowdSec 内部威胁监控报告

📊 监控状态总览

✅ 当前状态

  • auditd服务：运行中
  • CrowdSec auditd监控：已启用
  • 日志处理：1.21k行已读取，255行已解析
  • 内部威胁检测：0个警报（系统正常）

🔍 已启用的内部威胁检测场景（6个）

1. auditd-postexploit-exec-from-net

  • 检测内容：从网络下载并执行（curl/wget + exec）
  • 用途：检测后门利用行为
  • 场景：检测攻击者下载恶意脚本并执行
  • 状态：已启用，正在监控

2. auditd-base64-exec-behavior

  • 检测内容：base64编码执行行为
  • 用途：检测隐藏的命令执行
  • 场景：检测使用base64编码隐藏恶意命令
  • 状态：已启用，正在监控

3. auditd-postexploit-pkill

  • 检测内容：后门利用后的进程终止行为
  • 用途：检测恶意进程管理
  • 场景：检测攻击者终止安全进程
  • 状态：已启用，正在监控

4. auditd-postexploit-rm

  • 检测内容：后门利用后的文件删除行为
  • 用途：检测痕迹清理行为
  • 场景：检测攻击者删除日志和证据
  • 状态：已启用，正在监控

5. auditd-suid-crash

  • 检测内容：SUID权限滥用导致的崩溃
  • 用途：检测权限提升攻击
  • 场景：检测利用SUID程序进行权限提升
  • 状态：已启用，正在监控

6. auditd-sus-exec

  • 检测内容：可疑的执行行为
  • 用途：检测异常进程执行
  • 场景：检测不正常的程序执行模式
  • 状态：已启用，正在监控

📈 监控数据统计

日志处理

  • audit.log读取：1.21k行
  • 已解析：255行
  • 未解析：951行（正常，部分日志不需要解析）

场景触发

  • 当前活跃实例：0个（系统正常）
  • 历史触发：无（系统正常）

🚨 检测能力

可以检测的内部威胁类型

  1. 后门利用

    • 从网络下载恶意脚本
    • 执行下载的脚本
    • 创建反向shell

  2. 恶意进程

    • 隐藏的命令执行
    • base64编码的恶意命令
    • 异常进程行为

  3. 权限提升

    • SUID权限滥用
    • 权限提升攻击

  4. 痕迹清理

    • 删除日志文件
    • 删除证据文件
    • 清理攻击痕迹

  5. 进程管理

    • 终止安全进程
    • 恶意进程管理

📋 查看监控日志的命令

查看CrowdSec警报

# 查看所有警报
cscli alerts list

# 查看最近的警报
cscli alerts list --limit 20

# 查看特定类型的警报
cscli alerts list | grep auditd

查看auditd原始日志

# 实时查看audit日志
tail -f /var/log/audit/audit.log

# 查看最近的audit日志
tail -100 /var/log/audit/audit.log

# 搜索特定事件
ausearch -k exec  # 查看执行事件
ausearch -k file  # 查看文件访问事件

查看CrowdSec服务日志

# 实时查看CrowdSec日志
journalctl -u crowdsec -f

# 查看最近的日志
journalctl -u crowdsec -n 50

# 查看错误日志
journalctl -u crowdsec -p err

查看场景指标

# 查看所有指标
cscli metrics

# 查看场景统计
cscli metrics | grep -A 20 "Scenario Metrics"

# 查看auditd相关指标
cscli metrics | grep auditd

🔄 监控流程

  1. auditd收集系统事件

    • 记录系统调用
    • 记录文件访问
    • 记录进程执行

  2. CrowdSec解析日志

    • 解析audit.log
    • 提取关键事件
    • 匹配场景规则

  3. 场景检测

    • 检测后门利用行为
    • 检测异常执行
    • 检测权限滥用

  4. 自动响应

    • 生成警报
    • 创建封禁决策
    • 通知管理员

✅ 当前系统状态

  • 内部威胁：0个警报（系统正常）
  • 外部攻击：5个警报（SSH暴力破解，已封禁）
  • 系统健康：正常

🛡️ 防护效果

CrowdSec的auditd监控正在：

  • ✅ 实时监控系统内部活动
  • ✅ 检测后门利用行为
  • ✅ 检测恶意进程执行
  • ✅ 检测权限提升攻击
  • ✅ 检测痕迹清理行为
  • ✅ 记录所有可疑活动

📝 注意事项

  1. auditd日志量

    • auditd会产生大量日志
    • 需要定期清理旧日志
    • 建议配置日志轮转

  2. 性能影响

    • auditd对系统性能影响很小
    • CrowdSec解析效率高
    • 不会影响正常服务

  3. 误报处理

    • 某些正常操作可能触发警报
    • 需要根据实际情况调整规则
    • 可以配置白名单