本文将简单罗列Linux监控的实现方式，安全及审计软件的前提就是能在关键点上接管系统的执行流程，而关键点的接管必须依赖Linux内核的监控能力：
1 LSM HOOK
Linux内核中为发实现其安全机制，已经预留了LSM HOOK埋点，以4.4.131的内核为例，系统共提供了多达198个监控点回调，4.4.131是当前麒麟操作操作系统的内核版本，而较新的5.4.2内核已经支持多达216监控回调：
| 类别 | 钩子函数个数 | 功能 |
|---|---|---|
| ptrace | 2 | Ptrace操作的权限检查 |
| 能力机制 | 3 | Capabilities相关操作的权限检查 |
| 磁盘配额 | 2 | 配盘配额管理操作的权限检查 |
| 超级块 | 13 | mount/umount/文件系统/超级块相关操作的权限检查 |
| dentry | 2 | dentry相关操作的权限检查 |
| 文件路径 | 11 | 文件名/路径相关操作的权限检查 |
| inode | 27 | inode相关操作的权限检查 |
| file | 13 | file相关操作的权限检查 |
| 程序加载 | 5 | 运行程序时的权限检查 |
| 进程 | 27 | 进程/进程相关操作的权限检查 |
| IPC | 21 | IPC消息/共享内存/信号量等操作的权限检查 |
| proc文件系统 | 2 | proc文件系统相关操作的权限检查 |
| 系统设置 | 2 | 日志，时间等相关操作的权限检查 |
| 内存管理 | 1 | 内存管理相关操作的权限检查 |
| 安全属性 | 7 | 对安全相关数据结构的操作的权限检查 |
| 网络 | 37 | 网络相关操作的权限检查 |
| XFRM | 11 | XFRM架构想要关操作的权限检查 |
| 密钥 | 4 | 密钥管理相关操作的权限检查 |
| 审计 | 4 | 内核审计相关操作的权限检查 |
| Android Binder | 4 | Android Binder架构有关操作的权限检查 |
| 总计 | 198 |
其中我们最关心的是进程、程序加载、内存及文件相关的监控回调，从数量及功能上已足够强大，但具体能否满足我们的需求，还要在实现过程中进行分析和验证。比如以进程创建为例，Linux内核的进程创建是通过sys_clone（sys_fork/sys_vfork）及sys_execve实现的，但LSM的监控点为了避免多入口的问题，放在了task_alloc这个点上：调用栈如下所示：
backtrace
#0 security_task_alloc (task=0xffff923cad2f8000, clone_flags=4001536) at security/security.c:1472
#1 0xffffffffa0a88ff4 in copy_process (clone_flags=4001536, stack_start=<optimized out>, stack_size=<optimized out>, child_tidptr=<optimized out>, pid=0x0, trace=<optimized out>, tls=<optimized out>, node=-1) at kernel/fork.c:1746
#2 0xffffffffa0a8a59f in copy_process (node=<optimized out>, tls=<optimized out>, trace=<optimized out>, pid=<optimized out>, child_tidptr=<optimized out>, stack_size=<optimized out>, stack_start=<optimized out>, clone_flags=<optimized out>) at kernel/fork.c:1574
#3 _do_fork (clone_flags=4001536, stack_start=<optimized out>, stack_size=<optimized out>, parent_tidptr=<optimized out>, child_tidptr=<optimized out>, tls=<optimized out>) at kernel/fork.c:2056
#4 0xffffffffa0a8a969 in SYSC_clone (tls=<optimized out>, child_tidptr=<optimized out>, parent_tidptr=<optimized out>, newsp=<optimized out>, clone_flags=<optimized out>) at kernel/fork.c:2166
#5 SyS_clone (clone_flags=<optimized out>, newsp=<optimized out>, parent_tidptr=<optimized out>, child_tidptr=<optimized out>, tls=<optimized out>) at kernel/fork.c:2160
#6 0xffffffffa0a03ae3 in do_syscall_64 (regs=0xffff923cad2f8000) at arch/x86/entry/common.c:287
#7 0xffffffffa1400081 in entry_SYSCALL_64 () at arch/x86/entry/entry_64.S:237
#8 0x00007ffc00600600 in ?? ()
#9 0x000056066c0ceec0 in ?? ()
#10 0x0000000000000000 in ?? ()在进程创建这个点上我们需要取到哪些信息：主进程、子进程、调用栈及相应的符号信息等等，但security_task_alloc这个点不能满足我们的需求，但再利用程序加载（BPRM）的相关回调我们即可将所有的信息串联起来，有了这个信息我们就能够做进详细的检测与判定，以上就是我们解决问题的主要思路。
2 Syscall_Table HOOK
这种方式就类似于 SSDT HOOK，但Linux内核并没有类似于Windows内核的PatchGuard （KPP）的防护机制，目前天擎国产化就是使用的此技术，但在PKS系统上，可信计算以及澜起安全内存对syscall table以及内核镜像都是有安全度量以及内存防改保护。另外为了解决Meltdown，Linux内核引入的KPTI以及ARM64系统上引入的Syscall Table Wrapper （4.19之后）都给Syscall Table HOOK带来挑战
需要注意的事，Linux内核中会存存多个syscall table，比如X64为了支持32位的x86程序会保留32位移程序的syscall table，另外Linux还有一项特殊的syscall tabke专为X64_32程序使用，X64_32类别程序内部直接使用的是64位的syscall id
3 代码Inline HOOK
代码Inline hook做为针对Syscall Table hook的延伸，但同样亦面临可信度量及内存保护的挑战
4 ftrace & kprobe机制
Linux内核为了提升在线解决问题的效率，实现了动态插桩机制，可以在内核”任意函数“点进行插桩，用以输出参数及函数变量，甚至改变函数执行流程。当然这种技术主要是用于排错应急，如果用于生产环境还需要更多的技术验证。这种技术的明显限制是针对同一个函数只能进行一个插桩，并且插桩行为是能够被可信计算发现的，亦可被阻止。
5 中断向量HOOK
X86体系下应用层通过syscall或sysenter切换至内核模式，ARM体系下通过SVC或SWI可以切换至内核，切换模式的指令最终是通过自陷阱（Trap）触使CPU进行模式切换，并自动执行事先指定位置处的代码。我们可以通过接管中断向量的方式实现Syscall的HOOK，但是此方式会有以下难点：
- 入口片要处理相当多的初始化工作，只能用汇编级指令实现
- 针对开启KPTI的内核，要保证入口代码在Shadow内核空间
6 GhostHOOK
依赖于硬件PMU的HOOK实现方式，Intel及AMD在各自的CPU上均实现了类似的机制，ARM架构上的CP15协处理器亦实现了类似的功能，但相对Intel的PMU在功能上要弱一些，但均可以达成类似的HOOK效果。
当然通过高精度时间中断亦可达成同样效果
7 内核hot patch
ARM64平台可利用 aarch64_insn_patch_text 进行函数层的hook。