关于 Linux 终端安全监控 心血来潮，梳理出这篇文章，且看且珍惜吧，若有不足，也感谢大佬指点一二。 最近两年笔者对于 Linux 的应用层监控和内核层监控基本全研究了一遍并落地了两套，如果有屏幕前的你也在调研此方面的技术，那么可以做个参考，能少走很多弯路，现在的就业形式一言难尽，笔者在这上面花费了大量精力，到头来却发现无用武之地，所以没必要在这上面浪费太多精力。笔者的两套方案具体如下： 最初的一套是通过 FTrace + LivePatch + kprobe 实现的，支持监控与反勒索。 最新的一套是通过 tracepoint + kprobe 实现的，同样支持以上功能。 如果业务需求不高，笔者十分推荐使用应用层的 fanotify 。 应用层 Preload Preload 的本质就是劫持动态库符号表，使我们的符号优先于系统库（ glibc ）中的符号被找到并使用。 优势： 比 ptrace 性能好 比驱动通用性好，无需逐一编译适配 缺陷： 极其容易被 汇编、go...