eBPF 进程监控

它解决什么问题

传统的 ps、top、审计日志只能告诉你「现在有哪些进程」，却看不到进程在那一瞬间究竟做了什么 —— 谁派生了谁、谁在调试别人、谁加载了内核模块、谁悄悄切换命名空间试图逃出容器。等异常被发现，现场往往早已消失。

eBPF 进程监控在系统调用发生的当下就捕获事件，实时呈现到界面上，并能在可疑行为发生时第一时间拦下。

典型场景：安全应急响应、入侵痕迹排查、恶意软件与容器逃逸行为分析、系统行为审计、运维诊断、安全教学演示。

核心能力

????️ 全面的进程行为可见度

覆盖攻防与运维真正关注的系统行为面，从进程生命周期到高级逃逸原语：

???? 不只是看见，还能拦下

基于规则在行为发生时当场终止可疑进程，最低延迟，适合在受控环境中即时阻断已知恶意行为。

一目了然的实时事件流

按事件类型整行着色的多列实时表格，重点状态（异常退出、被强制终止等）一眼可辨，并能展示进程从创建到退出的存活时长。

灵活的过滤与即时操作

按进程名、PID、路径、命令行实时过滤，配合事件类型多选与排除规则组合生效；右键任意事件即可复制关键信息、快速过滤、一键添加规则。

???? 省心的使用体验

• 一条命令即可启动，显示环境自适应，无需繁琐的环境配置；
• 中文 / 英文界面、深色 / 浅色主题随手切换；
• 事件可导出为 CSV / JSON，便于归档与二次分析；
• 界面布局与偏好自动记忆，下次打开即恢复；
• 提供演示模式，无需特殊权限即可先体验界面。

技术实现（简述）

工具采用内核态采集 + 用户态呈现的两层架构：

• 内核态 —— 借助 Linux 的 eBPF 技术，在内核中安全地挂载探针，于系统调用发生的当下捕获进程行为。运行在内核沙箱内，开销低、不改动内核源码、无需加载额外内核模块。事件通过高效的内核-用户态通道异步上送。
• 跨内核兼容 —— 基于 **CO-RE（Compile Once – Run Everywhere）**理念，探针在加载时自动适配目标内核，一次构建即可在不同内核版本上运行，无需逐机重新编译。
• 用户态 —— 界面采用 Rust + GTK4 原生开发，负责实时渲染、过滤、规则管理与导出。Rust 带来内存安全与高性能，GTK4 提供贴合 Linux 桌面的原生体验；无需 Python / Qt 等额外运行时，响应流畅、占用轻量。
• 拦截路径 —— 命中拦截规则的进程会被即时终止，关键判断尽量下沉到内核层以降低延迟。
• 部署形态 —— 以单个程序交付，开箱即用，并提供主流 Linux 发行版的安装包。

上述为面向使用者的概述；更详尽的工程细节随源码一同提供。

为什么选它

系统要求

• 较新的 Linux 桌面环境（X11 或 Wayland 均可）
• 监控功能需以管理员权限运行
• 演示模式无需特殊权限

⚠️ 使用须知

本工具具备进程拦截能力，请仅在获得授权的、可信的主机上使用，并建议在正式启用拦截规则前于非生产环境充分验证。它面向安全监控与运维诊断等合法用途。

[招生]科锐逆向工程师培训(2026年7月3日实地，远程教学同时开班, 第56期)！