auditd通过监控execve、socket、connect等系统调用精准捕获反弹shell意图，结合ausearch分析与ss/lsof验证可高效识别隐蔽外连行为。
auditd 本身不直接记录“网络连接建立”这类应用层行为，但它能捕获创建 Socket 的关键系统调用（如 socket()、connect()、bind()），这是识别反弹 Shell 和隐蔽木马通信最底层、最可靠的切入点。
明确监控目标：盯住 execve + socket 相关系统调用
反弹 Shell 的本质是：恶意进程先被启动（execve），再主动调用 socket() 和 connect() 去连外网。auditd 无法记录 TCP 握手包，但能精准抓到这两个动作的发起者和参数。
- execve：所有新进程的起点，包括 bash -i、python -c 'import socket' 等反弹命令
- socket：创建套接字，是网络通信的第一步
- connect：向外发起连接，反弹 Shell 的标志性动作
- sendto / write（可选）：后续发送命令或数据，用于确认是否真有通信
配置高精度审计规则（推荐写入 /etc/audit/rules.d/socket.rules）
避免用 -w 监控目录，而是用 -a 规则直接挂钩系统调用，减少日志噪音：
- auditctl -a always,exit -F arch=b64 -S socket,connect,execve -k net_socket_spawn（x86_64 系统）
- auditctl -a always,exit -F arch=b32 -S socket,connect,execve -k net_socket_spawn（兼容 32 位调用）
- 加 -F uid!=0 可排除 root 自身运维操作（按需）
- 规则生效后，用 auditctl -l 确认已加载
快速定位可疑反弹行为的日志分析方法
不要手动翻 audit.log，用 ausearch 针对性提取：
- ausearch -k net_socket_spawn -m execve,socket,connect --start today | aureport -f -i：汇总今日所有触发该规则的进程路径和参数
- ausearch -m connect -i --start recent | grep -E "(tcp|192\.168|10\.)"：筛选出 connect 调用，并排除内网地址（聚焦外连）
- 重点看 exe=（执行文件）、comm=（命令名）、cwd=（工作目录）、key=（你设的关键词）字段——异常路径（如 /tmp/.X11-unix/）、非常规命令名（如 “sh1”、“a”）、空 cwd 或 /dev/shm 下启动，都是高危信号
配合其他手段交叉验证，避免漏报
auditd 捕获的是“意图”，不是“结果”。需结合网络层证据确认是否真建立了连接：
- 发现可疑 execve + connect 日志后，立即运行：ss -tunap | grep $(pidof suspicious_proc) 查其当前连接
- 用 lsof -p PID -i 看该进程打开的所有网络 fd，确认目标 IP 和端口
- 检查对应进程的启动参数：cat /proc/PID/cmdline | tr '\0' ' '，常能直接看到反弹地址（如 /dev/tcp/xxx:443）
- 若进程已退出，auditd 日志中的 exe 和 comm 就是唯一线索，务必保留原始日志并及时归档
