要通过auditd记录所有端口监听行为，需配置bind和listen系统调用审计规则，启用enriched日志格式以获取uid、pid、comm、exe、cmdline等上下文，并解析addr字段识别绑定ip与端口，结合ss/netstat交叉验证及定时巡检实现有效监控。
要通过 auditd 记录所有端口监听（listen）行为，核心是捕获 bind 和 listen 系统调用——因为进程只有先 bind 到某个 IP:Port，再调用 listen，才能对外提供 TCP 服务。非法代理（如 socks5、http 代理、frp 中转）往往就依赖这类行为，而 auditd 能在内核层直接捕获，不依赖命令历史或进程名，防绕过能力强。
配置 bind 和 listen 系统调用审计规则
auditd 不直接记录“监听了哪个端口”，而是记录进程执行 bind(2) 和 listen(2) 的动作。需为这两个系统调用添加 exit 时的审计规则：
- 编辑 /etc/audit/rules.d/10-network.rules，加入以下两行（x86_64 架构）：
-a always,exit -F arch=b64 -S bind -k net_bind-a always,exit -F arch=b64 -S listen -k net_listen
-
-a always,exit表示在系统调用返回时记录事件，确保参数已确定； -
-F arch=b64必须匹配实际 CPU 架构（32 位系统改用b32）； -
-k net_bind和-k net_listen是自定义关键词，方便后续快速检索。
保存后执行 sudo augenrules --load 或 sudo systemctl restart auditd 加载规则。
确保日志包含足够上下文信息
默认 auditd 日志可能缺少关键字段，需确认 /etc/audit/auditd.conf 中启用丰富格式：
- 检查并设置
log_format = ENRICHED（不是RAW或NO）； - 该设置让每条日志自动包含
uid、pid、comm（进程名）、exe（可执行文件路径）、cmdline（完整命令行）等； - 特别注意
cmdline：能直接看到代理工具是否带了--port 1080或-L :8080这类参数。
识别监听端口与可疑进程
auditd 不直接解析 socket 地址，但日志中会以十六进制形式记录 addr= 字段（IPv4/IPv6 + 端口）。需手动或脚本解码：
- 查最近的 bind 事件：
sudo ausearch -m bind -i -ts recent | grep -E "(addr=|comm=|exe=|cmdline=)"； - 典型 addr 示例：
addr=02000400000000000000000000000000→ 前 4 字节0200是 AF_INET，0400是端口 1024（小端序），后面00000000是 0.0.0.0； - 重点关注绑定到
0.0.0.0或非本地回环（127.0.0.1）且端口非常规（如 1080、8080、3128、6379）的记录； - 结合
exe和cmdline判断是否为合法服务（如 nginx、sshd）还是可疑二进制（如/tmp/.proxy、/dev/shm/agent）。
辅助验证与日常排查建议
auditd 提供的是“谁调用了 bind”，但不保证该 socket 最终被使用。建议配合常规网络命令交叉验证：
- 实时比对：
sudo ss -tlnp或sudo netstat -tlnp查看当前监听列表，提取 PID 后用ps -p PID -o pid,uid,comm,args查归属； - 定时巡检：写简单脚本，每 5 分钟运行一次
ausearch -m bind -ts $(date -d '5 minutes ago' +%H:%M:%S) | grep -v "127.0.0.1"并告警； - 注意规避点：部分恶意程序用
execve动态加载或ptrace隐藏，此时可额外加规则监控-S execve -F uid!=0，缩小排查范围。
