Linux 核心提供的 Audit 子系統主要運作在核心空間，針對系統呼叫、檔案存取、網路活動進行記錄。然而，許多企業級安全合規需求（如資料庫操作審計、應用層業務邏輯稽核、使用者行為分析）無法單靠核心層面滿足。使用者空間稽核系統應運而生，在應用層攔截關鍵 API 呼叫、函式庫函數、指令執行，提供更豐富的語意資訊與靈活的政策控制。
核心架構設計
1. 攔截層
- LD_PRELOAD 動態連結器注入：預載入自訂共享庫，覆寫
open、read、write、execve 等 libc 函式，攔截檔案與程式執行行為。
- ptrace 系統呼叫追蹤：附加至目標進程，即時檢查系統呼叫參數與傳回值（如
strace 原理），適用於無法修改環境變數的場景。
- eBPF/uprobes（Linux 4.3+）：在使用者空間函數進入/返回點掛載 eBPF 程式，零侵入、高效能、可程式化，為新一代主流方案。
2. 事件處理與關聯引擎
- 將攔截的原始事件（系統呼叫、函數參數、堆疊回溯）標準化為結構化日誌（JSON/Protobuf）。
- 關聯上下文：進程樹、使用者身份、容器/命名空間、命令列參數、環境變數。
- 規則引擎：支援白/黑名單、正則比對、頻率閾值、行為序列模式（如「開啟敏感檔 → 複製到 /tmp → 上傳」）。
3. 儲存與傳輸
- 本地緩衝（mmap 環狀緩衝區）吸收尖峰流量，避免阻塞應用執行緒。
- 非同步批次傳送至中央日誌平台（Elasticsearch、Kafka、Syslog、ClickHouse）。
- 支援加密傳輸（TLS/mTLS）與簽名驗證，防竄改。
4. 管理與查詢介面
- 策略下發：中央控制平面透過 gRPC/HTTP 下發稽核規則至各節點 Agent。
- 儀表板：即時告警、歷史追溯、合規報表（SOX、GDPR、ISO 27001 對應）。
關鍵技術挑戰與對策
| 挑戰 | 對策 |
|---|
| 效能開銷 | eBPF JIT 編譯、最小化攔截點、批次非同步寫入、CPU 親和性綁定 |
| 相容性（glibc/musl、靜態連結） | 多重攔截策略降級：uprobes → LD_PRELOAD → ptrace |
| 容器/命名空間隔離 | 在容器運行時註冊 uprobes，解析 PID/UID 映射關係 |
| 繞過攔截（直接系統呼叫、靜態二進制） | 結合核心 Audit 子系統互補，建立雙層防線 |
| 資料量暴增 | 採樣稽核、智慧過濾（僅記錄異常行為）、壓縮存儲 |
開源專案與商業產品參考
- Falco（CNCF 畢業專案）：eBPF 驅動的運行時安全與稽核，支援 Kubernetes 深度整合。
- Sysdig：系統可見性平台，核心模組 + 使用者空間 Agent，提供豐富的鑽取分析。
- Auditbeat（Elastic）：輕量級稽核代理，整合 Elastic Stack。
- OSSEC/Wazuh：HIDS 平台，包含檔案完整性監控、根套件偵測、稽核日誌收集。
部署建議
- 優先評估 Falco 或 Auditbeat 滿足合規需求（規則豐富、社群活躍）。
- 若需深度業務邏輯稽核（如特定資料庫存取模式），考慮開發基於
LD_PRELOAD 或 uprobes 的專用 Agent。
- 生產環境必須進行效能基準測試（CPU/記憶體/延遲影響），制定採樣策略。
- 建立稽核日誌保留與審查流程，配合 SIEM 平台實現自動化異常偵測。
使用者空間稽核系統是現代 Linux 安全防禦體系的關鍵一環，補足核心層面的語意盲區，讓「誰在何時對什麼資料做了什麼」在應用層面清晰可查。
