本文对比Falco、Tetragon、auditd与seccomp四种安全工具，聚焦过滤位置与能否内联阻断。Falco在用户态规则引擎检测，适合告警；Tetragon内核选择器支持Override，可阻断操作；auditd提供合规审计账本；seccomp按syscall编号白名单拒绝。CVE-2022-26316揭示用户态读取参数存在TOCTOU竞态，但0.44.1已修复。选型取决于威胁模型与证明义务，非品牌偏好。

本文对比了Tetragon与Falco、auditd、Cilium CNP/Hubble、seccomp四种安全方案的机制差异，聚焦于过滤位置与能否内联阻断。Falco在用户态解析参数存在TOCTOU竞态风险；auditd仅记录不阻断；CNP处理包路径而非进程；seccomp仅按syscall号过滤。Tetragon在内核hook匹配并支持Override，但仍有竞态窗口。选型需权衡机制与运维成本。

Auditd 是 Linux 系统中的审计工具，用于监控和记录安全事件。主要配置文件位于 /etc/audit/auditd.conf，审计规则在 /etc/audit/audit.rules。常用工具包括 auditctl（管理规则）、aureport（生成报告）和 ausearch（搜索日志）。审计规则分为控制规则、文件系统规则和系统调用规则。定期监控和更新审计策略，以确保日志的安全性和完整性。

作者尝试复现CVE-2017-11176漏洞时遇到了centos 7.4上的问题，关闭auditd后成功复现漏洞。在ubuntu和debian系统中提权较容易，而在centos中较困难。作者分享了一些ROP链条，但由于开启了smap和kaslr无法在实际环境中利用。

Linux auditd是一个内核审计框架，可跟踪系统活动和记录安全事件。通过使用auditd，系统管理员可以监视用户和进程的操作，跟踪文件访问，审计网络活动等。auditd可帮助管理员监视系统安全性，并追踪和调查安全事件。

背景 难题：/home/chen/test/目录下的index.html为首页文件，一直被入侵者恶意篡改 需求：想要定位攻击方式以及篡改方式 命令：auditctl （安装：sudo apt install auditd） 参数： -w 监控文件路径 -p 监控文件筛选 r(读) w(写) x(执行) a(属性改变) -k 关键词（用于查询监控日志） 运行：sudo auditctl...