security-collector-exporter v0.3.0：eBPF 加持的实时安全监控

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

# 进程指标（标签: type=system/user/container/suspicious）
security_ebpf_process_exec_total
security_ebpf_process_exit_total
security_ebpf_process_active_count

# 网络指标（标签: direction=in/out, protocol=tcp/udp）
security_ebpf_connect_total
security_ebpf_connect_active
security_ebpf_connect_error_total{type="timeout|refused|reset"}

# 文件访问指标（标签: severity=critical/warning/info, operation=read/write）
security_ebpf_file_access_total

# 提权指标（标签: type=setuid/setgid/capset, result=success/failure）
security_ebpf_privilege_escalation_total

# 内核模块指标（标签: action=load/load_file）
security_ebpf_kernel_module_total

# 元信息
security_ebpf_up{status="active|degraded|disabled"}
security_ebpf_sample_rate

1
2
3
4
5

# 查容器里执行的进程数
security_ebpf_process_exec_total{type="container"}

# 查可疑进程执行
security_ebpf_process_exec_total{type="suspicious"}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21

// process.c: 新增 PID hash map，execve 时存类别，exit 时取回
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 65536);
    __type(key, __u64);    /* pid_tgid */
    __type(value, __u32);  /* category */
} pid_category SEC(".maps");

// execve 时存入
__u64 pid_tgid = bpf_get_current_pid_tgid();
bpf_map_update_elem(&pid_category, &pid_tgid, &category, BPF_ANY);

// exit 时取出
__u32 *cat_ptr = bpf_map_lookup_elem(&pid_category, &pid_tgid);
if (cat_ptr) {
    category = *cat_ptr;
    bpf_map_delete_elem(&pid_category, &pid_tgid);
} else {
    // BPF 启动前已存在的进程，用 comm 名猜测分类
    category = classify_by_comm();
}

1
2
3
4
5
6
7

// ReadAndUpdateFromMaps 读取所有 COUNTER 类型的 BPF maps，计算增量
func (a *Aggregator) ReadAndUpdateFromMaps() uint64 {
    // 对每个 counter map 的每个 key：
    //   当前值 - 上一次的值 = delta
    //   累加 delta 得到总事件数，喂给 AdaptiveSampler
    // processActive 和 connectActive 是 GAUGE，不参与 delta
}

1
2

# 近似还原真实的进程执行速率
security_ebpf_process_exec_total * security_ebpf_sample_rate

1
2
3
4
5
6
7
8

docker run -d \
  --name security-exporter \
  --privileged \
  -p 9102:9102 \
  ghcr.io/mickeyzzc/security-collector-exporter:0.3.0 \
  --ebpf.enabled \
  --ebpf.sample-rate=1 \
  --ebpf.max-events-per-second=5000

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23

# eBPF 监控降级
- alert: EbpfMonitoringDegraded
  expr: security_ebpf_up{status="degraded"} == 1
  labels:
    severity: warning

# 可疑进程执行
- alert: SuspiciousProcessExecuted
  expr: increase(security_ebpf_process_exec_total{type="suspicious"}[5m]) > 0
  labels:
    severity: critical

# 提权失败次数突增（可能在暴力提权）
- alert: PrivilegeEscalationAttempts
  expr: increase(security_ebpf_privilege_escalation_total{result="failure"}[10m]) > 5
  labels:
    severity: critical

# 内核模块加载
- alert: KernelModuleLoaded
  expr: increase(security_ebpf_kernel_module_total{action="load"}[5m]) > 0
  labels:
    severity: warning

1
2
3

v0.1.0 (2026-05-14)  静态安全配置采集，15 类指标
v0.2.0 (2026-05-18)  eBPF 实时监控，5 类 BPF 程序，~4000 行新代码
v0.3.0 (2026-05-19)  BPF bug 修复、ARM 兼容、CI 修复、文档清理