Agent Skills
返回列表
🔒

Tracee Linux 运行时安全实时排查

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/capture-linux-runtime-security-events-and-suspicious-behavior-for-live-triage-with-tracee 技能。

技能介绍

要解决的问题

当 Linux 主机或容器集群出现可疑行为时，传统排查往往依赖静态日志、事后取证，甚至凭经验猜测。问题在于运行时行为稍纵即逝：进程的异常 fork、可疑的网络连接、容器内的越权调用，可能在几分钟内结束并从文件系统中消失，留下的证据不足以还原现场。等到复盘时，只剩下推测。

技能如何工作

这个技能基于 Tracee 的 eBPF 能力，在内核层面实时捕获 Linux 和容器活动：

  • 通过 eBPF 在内核中挂载探针，采集系统调用、进程创建、网络连接等运行时事件，无需修改应用或重启服务
  • 输出的事件流可用于实时排查（live triage）：在攻击或异常行为仍在发生时介入，而不是事后翻日志
  • 同时覆盖 Linux 主机与 Kubernetes 容器环境，适合混合运行形态的排查场景

关键步骤包括：准备具备所需内核支持的环境，部署 Tracee 运行时或容器镜像，以提升的权限收集 eBPF 事件，然后针对目标系统或集群展开实时观测与分析。

适用边界与注意点

  • 依赖内核对 eBPF 的支持，老旧或裁剪过的内核可能无法运行
  • 收集 eBPF 事件需要提升的访问权限，应在受控范围内使用
  • 重要：本技能无法自动提取基于源码的安装或使用说明。在敏感工作流程中运行之前，务必先查看上游项目源码，确认其行为符合预期
  • 上游文档：Tracee 官方文档 https://aquasecurity.github.io/tracee/latest/

使用场景

  • Linux服务器出现异常进程活动时，需通过内核级事件实时定位异常进程的来源与行为链
  • Kubernetes集群中容器疑似被入侵，要实时捕获容器内的可疑系统调用和网络连接
  • 安全事件发生后，需要获取Linux运行时内核层面的事件数据来还原攻击现场
  • 监控容器环境安全时，想无侵入地收集系统调用、进程创建等运行时行为数据

适合人员

  • Linux系统管理员，需要在主机出现异常行为时，通过内核级运行时事件快速定位问题根源
  • Kubernetes集群运维工程师，想在容器遭受攻击或出现异常时，实时捕获可疑行为以阻止损害扩大
  • 安全研究员，需要获取底层运行时数据来分析恶意行为的模式和传播路径
  • 云原生安全工程师，想无侵入地监控容器和主机的运行时安全事件，及时发现潜在威胁