Puppy-HIDS: Linux 主机入侵检测系统的展示，利用 netlink_audit 协议，涵盖主机和容器的进程、网络及文件监控功能

简介：
Puppy-HIDS是一款基于Linux的入侵检测系统，采用netlink_audit协议实现对主机与容器的全面监控，包括进程、网络活动及文件变化。 系统采用四个模块进行操作：网站前端用于输入服务器检测规则、黑白名单以及代理监控文件，并将审核规则存储到MongoDB；响应代理定时获取在线服务器列表。 服务器端提供RPC服务，从MongoDB中读取代理配置信息并保存服务器的在线状态和日志数据。同时，通过NETLINK_AUDIT协议监听系统调用事件（SYSCALL），支持动态调整监控规则，并且需要管理员权限来访问/proc文件系统的相关信息以运行守护程序。 该守护程序能够响应来自服务器端的任务指令并通过socket进行通信。它依赖于内核中的kauditd功能，在Linux 2.6版本中已集成，而无需额外安装第三方的auditd服务软件包。对于已经存在此类审计工具的情况，则需要先停止这些服务以确保代理可以接收到通过NETLINK协议传递的所有系统事件。 此外，系统使用libpcap库来捕获网络连接中的五元组信息，并在/proc文件中补充进程的相关参数（如argv、comm和path等）。对于那些生命周期短暂的进程或快速建立的网络链接，则采用LRU算法进行缓存管理。