rootkit-detection-ebpf-time-trace

使用eBPF时间追踪的Rootkit检测 本仓库包含用于收集内核函数时间测量值的代码，这些函数在隐藏文件时会被rootkit操纵，同时还提供了一种半监督检测方法，用于分析内核函数执行时间的偏移。此实现依赖于开源rootkit CARAXES，它包装了filldir函数以操纵文件枚举的结果，例如在执行ls命令时。我们通过eBPF探针从getdents系统调用中的多个函数（包括filldir）获取时间测量值。对于检测，我们应用了一个基于统计检验的简单机器学习模型。关于数据收集和异常检测机制的详细解释，请参考以下出版物。如果您使用了本仓库提供的任何资源，请引用该出版物： Landauer, M...