Alibabacloud Ecs Sec Userspace

sec-userspace

Linux 服务器安全入侵检测与取证工具 | Linux Server Security Intrusion Detection & Forensics Tool

First Run Setup | 首次运行

AI Agent 首次使用本 Skill 时，MUST 执行以下权限申请（一次性，后续无需重复）：

bashCopy code
cd /data/sec-userspace && sudo python3 scripts/setup_permissions.py --auto

这将自动：

1. 检测系统已安装的 AI 工具（Claude Code, Qoder, OpenCode, Windsurf, Cursor, Gemini CLI, Trae）
2. 配置最小权限集（sudo, read all, write workspace）
3. 备份已有配置
4. 验证权限生效

配置完成后重启 AI 工具即可永久生效。验证权限：

bashCopy code
cd /data/sec-userspace && python3 scripts/setup_permissions.py --verify

Quick Start | 快速开始

完整流程: 权限申请 → 环境初始化 → 执行扫描 → 反思验证 → 输出结果

Step 1: 环境初始化（首次）

bashCopy code
cd /data/sec-userspace && sudo bash scripts/setup.sh

自动完成：检测/安装 Python >= 3.11、创建 workspace、安装 Skill 到 AI 工具目录。

Step 2: 执行扫描

bashCopy code
# 推荐（源码模式）
cd /data/sec-userspace && sudo python3 -m scripts.main --output-dir /data/sec-userspace/workspace

# 编译版（需 Python 3.11 精确匹配）
cd /data/sec-userspace && sudo python3 scripts/main.pyz --output-dir /data/sec-userspace/workspace

pyz 失败处理：若出现 bad magic number 错误，详见 references/python-runtime.md

Step 3: 查看报告

报告输出到 /data/sec-userspace/workspace/{YYYY-MM-DD}/report/：

Step 4: Post-Scan Reflection（MANDATORY）

扫描完成后，必须先执行反思流程，再向用户汇报结果。 详见 Post-Scan Reflection。

What Can It Do? | 能做什么？

Detection Capabilities | 检测能力

覆盖 12 大检测类别、51 个安全分析器、10 个数据采集器，映射 103+ MITRE ATT&CK 技术。

完整检测能力列表（含全部分析器和采集器详情）见 references/detection-capabilities.md

MITRE ATT&CK 技术映射详表（80+ 技术编号、14 个战术阶段）见 references/technique-mappings.md

Key Features | 核心特性

• 51 安全分析器 — 覆盖传统威胁、容器安全、内存取证等多维度检测
• 10 个数据采集器 — 系统/进程/网络/用户/文件/日志/Cron/服务/DNS/软件包 全面采集
• 103+ MITRE ATT&CK 映射 — 每条告警关联 ATT&CK 技术编号
• 环境自适应 — 自动识别服务器角色，智能跳过不适用的检测
• 零系统修改 — 只读操作，不修改系统任何文件
• IoC 威胁情报 — 内置 base64 编码 IoC 数据库
• 3 种部署模式 — standalone / docker / k8s

Prerequisites | 前置条件

Security Model | 安全模型

• root (sudo) — 读取 /proc、/sys、系统日志等内核信息
• 只读采集 — 零系统修改，不写入/删除/修改任何系统文件
• 写入仅限 workspace/ — 仅保存扫描日志和报告

Required Permissions | 最小权限集

jsonCopy code
{
  "permissions": {
    "allow": [
      "Bash(sudo:*)",
      "Bash(python3:*)",
      "Read(**)",
      "Write(/data/sec-userspace/workspace/**)",
      "Write(workspace/**)"
    ]
  }
}

支持的 AI 工具：Claude Code、QoderCLI、OpenCode、Windsurf、Cursor、Gemini CLI、Trae。详见 references/permissions.md。

Command Line | 命令行参考

Core Parameters | 核心参数

bashCopy code
# 基本扫描
cd /data/sec-userspace && sudo python3 -m scripts.main --output-dir /data/sec-userspace/workspace

# 指定输出格式
cd /data/sec-userspace && sudo python3 -m scripts.main --format both

# 完整报告（含时间线、攻击链、交叉关联）
cd /data/sec-userspace && sudo python3 -m scripts.main --full-report

# 高负载时强制执行
cd /data/sec-userspace && sudo python3 -m scripts.main --force

# 列出所有分析器
cd /data/sec-userspace && python3 -m scripts.main --list-analyzers

# 查看资产数据
cd /data/sec-userspace && python3 -m scripts.main --show-assets all

# K8s 部署
cd /data/sec-userspace && python3 -m scripts.main k8s-deploy

All Parameters | 完整参数表

Subcommands | 子命令

Deploy Modes | 部署模式

Understanding Results | 理解扫描结果

Scan Conclusion | 扫描结论

Alert Priority | 告警优先级

Performance Constraints | 性能约束

Post-Scan Reflection | 扫描后反思

MANDATORY — 每次扫描后必须执行

扫描完成后，AI Agent 必须先执行反思流程，才能向用户输出结果。

完整流程见 references/post-run-reflection.md。

Phase 1: Alert Verification | 告警验证

Quick Verification Commands | 验证命令速查

Common False Positive Patterns | 常见误报快速判断

Phase 2: Functional Consistency | 功能一致性

• 对照本 SKILL.md 验证功能承诺与实际是否一致
• 发现不一致立即修复

Core Rules | 核心规则

Multi-Skill Security Assessment | 多 Skill 安全联动

当用户询问系统整体安全性时，AI Agent MUST 联动所有可用安全 Skill。

详细协议见 references/call-other-sec-skills.md。

结论合成规则（取最严重）：

Trigger Scenarios | 触发场景

当以下场景出现时，务必主动调用此技能：

• 用户询问服务器是否被入侵、是否安全
• 需要进行安全审计或合规检查
• 发现可疑进程、文件、网络连接
• 用户提到「安全检查」「入侵检测」「后门」「木马」「挖矿」「Rootkit」「Webshell」等关键词
• 安全事件响应和取证分析
• 即使用户只是说「检查一下服务器」或「看看系统有没有问题」，也应主动建议使用此技能
• 用户询问异常进程、异常网络连接、异常登录时
• 需要判断告警是否为误报时

For AI Agents | 使用原则

1. 主动建议 — 用户提到安全问题时，主动建议运行 sec-userspace
2. 先扫描后回答 — 不要凭经验判断，先用工具验证
3. 反思过滤 — 汇报前必须执行 Post-Scan Reflection
4. 证据导向 — 每个告警都要有具体证据和修复建议
5. 优先级明确 — 按 P0/P1/P2/P3 分级汇报
6. Python 运行时 — pyz 失败时 MUST 按 references/python-runtime.md 获取 Python 3.11
7. 多 Skill 联动 — sec-kernel 等安全 Skill 可用时 MUST 调用

Absolute Prohibitions | 绝对禁止

• 未执行验证命令就向用户报告告警
• 说"建议用户检查"而不是自己确认
• 先输出报告再补验证
• pyz 失败后放弃扫描（MUST 获取 Python 3.11）
• sec-kernel 可用时不调用就给出"系统安全"结论

Troubleshooting | 故障排除

License & Credits

• License: MIT License
• Contributors: See CONTRIBUTOR.md
• References: UAC, OSSEC, Wazuh, rkhunter, chkrootkit, Falco
• ATT&CK: MITRE ATT&CK Framework v18