关键在于构建“调用行为可捕获、权限上下文可还原、异常模式可拦截”闭环机制：windows需etw+lsass+security日志联动并启用完整命令行记录；linux须通过auditd定制execve/ptrace规则并结合systemd服务沙箱化；跨平台须统一提取四维上下文、建立合法调用基线并实时比对告警。
要实现对进程间非法调用的强制性审计追踪控制，关键不是单纯开启日志，而是构建“调用行为可捕获、权限上下文可还原、异常模式可拦截”的闭环机制。Windows 和 Linux 平台虽工具不同，但核心逻辑一致：以系统级审计模块为入口，结合进程身份、调用链、权限边界三要素交叉验证。
Windows平台：启用并强化ETW+LSASS+Security日志联动
Windows 原生审计能力集中在事件跟踪（ETW）、本地安全机构（LSASS）行为和 Security 日志三类数据源，需协同配置才能覆盖进程间调用：
- 启用关键 ETW 提供程序：
Microsoft-Windows-Threat-Intelligence（捕获远程线程注入、CreateRemoteThread）、Microsoft-Windows-Kernel-Process（记录进程创建与父进程PID）、Microsoft-Windows-Security-Auditing（ID 4688 启动进程详情，含命令行与令牌SID） - 强制记录完整命令行：组策略 → 计算机配置 → 安全设置 → 高级审核策略 → 系统审核 → “进程创建” → 启用，并勾选“包含命令行参数”（需 Windows 10 1607+/Server 2016+）
- 关联 LSASS 内存会话：当发现可疑进程（如非 SYSTEM 账户启动的
lsass.exe或svchost.exe），立即用procdump -ma lsass.exe抓取内存镜像，离线用mimikatz sekurlsa::logonpasswords检查是否存在未登记账户的登录凭证缓存 - 过滤非法跨进程调用：用 PowerShell 实时监控
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4688} | Where-Object {$_.Properties[8].Value -match 'rundll32|regsvr32|powershell\.exe.*-encodedcommand'}，识别伪装调用链
Linux平台：auditd规则定制 + systemd service unit 权限收束
Linux 下进程调用审计依赖 auditd 的 syscall 级捕获，配合 systemd 的服务沙箱化，才能阻断非法父子进程关系：
- 在
/etc/audit/rules.d/call.rules中添加强制规则：-a always,exit -F arch=b64 -S execve -F uid!=0 -k proc_exec-a always,exit -F arch=b64 -S ptrace -F perm=x -k proc_ptrace
（前者捕获所有非root进程的执行行为，后者捕获调试/注入类调用） - 禁止服务滥用
fork()或execve()：对关键服务单元（如 nginx、redis）启用RestrictAddressFamilies=AF_UNIX AF_INET、NoNewPrivileges=true、LockPersonality=true - 用
auditctl -l验证规则加载，再通过ausearch -m execve -i -ts recent实时查看调用来源、目标路径及调用者UID/GID - 发现异常调用后，立即检查其
/proc/[pid]/status中的CapEff（有效能力位）和PPid（父进程ID），比对是否属于白名单服务启动链
跨平台通用：进程调用上下文还原与策略响应
仅记录调用不够，必须还原“谁在什么权限下、以何种方式、调用了什么”，才能判定是否非法：
- 统一提取四维上下文：调用方 PID + UID/GID + 完整命令行 + 父进程映像路径（Windows 用 Process Explorer 的 Image Path Name；Linux 用
readlink /proc/[pid]/exe） - 建立合法调用基线：对每个业务服务，用
strace -f -e trace=execve,ptrace,connect,openat [service-bin]运行一次，生成标准调用图谱，存入审计策略库 - 实时比对触发告警：当 auditd 或 ETW 捕获到不在基线内的
execve或CreateProcess行为，且调用方不具备对应服务声明的 Capability（Linux）或 SeDebugPrivilege（Windows），即标记为非法调用 - 自动响应建议：配合 Wazuh/Splunk 或自建脚本，对确认非法调用的进程执行
kill -STOP [pid]或taskkill /f /pid [pid]，同时导出其内存 dump 和句柄列表（handle.exe -p [pid]/lsof -p [pid]）用于溯源
不复杂但容易忽略的是：审计本身可能被绕过。务必关闭未签名驱动加载（Windows Device Guard / Linux kernel lockdown mode），并确保 auditd 或 Windows Advanced Audit Policy 配置写入只读区域，防止运行时篡改。
