去年秋天，渗透监控我在一台旧笔记本上跑了个实验：把一段看似正常的渗透监控HTTP流量丢进本地代理，逐包拆开看。渗透监控结果让人后背发凉——某个“系统更新”请求，渗透监控每37秒发一次心跳，渗透监控载荷里嵌着Base64编码的渗透监控指令。这不是渗透监控杀毒软件能拦的东西，因为它长得太像正常流量了。渗透监控

渗透监控这词听着像特工片，渗透监控其实早就是渗透监控运维和安全的日常。它的渗透监控核心不是“防住”，而是渗透监控“看见”。大多数入侵不会砸门，渗透监控它们配钥匙。渗透监控你服务器上多了一个SSH密钥、渗透监控计划任务里多了一条curl命令、某个服务账户突然在凌晨三点登录——这些才是真信号。

我见过最典型的案例是一家小电商。他们的支付回调接口被插了后门，攻击者没改代码，只在Nginx配置里加了一行proxy_pass，把1%的请求转发到境外。老板说“网站没卡啊”，直到用户投诉扣款两次。渗透监控在这里要做的，就是对比配置文件的哈希值，或者监控异常的上游地址。成本极低，但没人做。

有人迷信流量镜像和全包捕获。我试过，在千兆网卡上抓一天，PCAP文件能到几百GB，真去分析的时候，99%是噪音。有效的方法是抽样加特征匹配。比如只记录TLS握手时的SNI字段，或者统计每个进程的外连频率。一个正常进程不会每分钟连50个不同IP。这比装一堆IDS规则管用。

Linux上有个被低估的工具叫auditd。配置好规则后，任何对/etc/passwd、/etc/cron.d的写操作都会留痕。我自己的机器上还加了inotifywait监控/tmp——很多提权脚本喜欢往那儿扔东西。这些不是商业方案，但比很多花哨的EDR更早发现问题。监控的粒度比覆盖面积重要。

Windows那边，Sysmon是绕不开的。但默认配置太吵。我一般只关注三个事件ID：1（进程创建）、3（网络连接）、11（文件创建）。配合过滤掉svchost.exe的正常行为，剩下的基本都有嫌疑。有一次看到powershell.exe带着-enc参数启动，父进程是Word，这不用犹豫，直接断网。

渗透监控最怕的是“正常基线”没建好。你不知道什么是正常，就不知道什么是异常。我习惯在新服务器上线头三天只记录不告警，把进程树、外连IP、登录时间都摸一遍。之后任何偏离基线的行为，哪怕只是多了一个出站连接，都值得看一眼。这活儿枯燥，但比事后翻日志强。

还有一点常被忽略：监控本身也会被攻击。攻击者如果拿到root，第一件事往往是停掉你的监控进程，或者往日志里灌垃圾。所以日志要实时外发，最好用只写通道。我自己的方案是rsyslog加远程UDP，本地不留副本。攻击者删本地文件没用，远程已经收到了。

最后说个实在的。别指望一套系统搞定所有事。渗透监控是拼图：网络层看连接，主机层看进程，应用层看配置。每块都做一点，交叉验证。我见过太多人买了贵的SIEM，结果连最基本的ps aux异常都没人看。工具是辅助，习惯才是核心。每天花十分钟扫一眼异常登录和外连，比什么AI检测都靠谱。