---
title: 'Monitor 類型'
description: '10 種 monitor 完整參考：4 種內建 + 6 種進階，含功能與相依性。'
icon: 'eye'
---

Guard 支援 10 種 monitor，分成兩層。內建 monitor 零相依，所有平台都能跑。進階 monitor 需要特定 OS 版本或外部工具，但能看到更深層的東西。

所有 monitor 發出標準化的 `SecurityEvent` 物件，餵進 DARE pipeline。

## 內建 Monitor

這 4 個 monitor 隨 `@panguard-ai/core` 出貨，macOS、Linux、Windows 開箱即用。

### Log Monitor

| 欄位         | 說明                                                                                 |
| ------------ | ------------------------------------------------------------------------------------ |
| **原始碼**   | `core/monitors`                                                                      |
| **平台**     | Linux、macOS、Windows                                                                |
| **資料來源** | syslog（`/var/log/syslog`、`/var/log/auth.log`）、Windows Event Log、應用程式 log 檔 |
| **功能**     | 讀取並正規化 log 成 `SecurityEvent` 格式。支援 tail 做即時監控。                     |

### Network Monitor

| 欄位         | 說明                                                                          |
| ------------ | ----------------------------------------------------------------------------- |
| **原始碼**   | `core/monitors`                                                               |
| **平台**     | Linux、macOS、Windows                                                         |
| **資料來源** | `/proc/net/tcp`（Linux）、`netstat`（跨平台）                                 |
| **功能**     | 監控活躍網路連線。偵測新連線、異常 port、往已知惡意 IP 的流量、異常連線模式。 |

### Process Monitor

| 欄位         | 說明                                                                      |
| ------------ | ------------------------------------------------------------------------- |
| **原始碼**   | `core/monitors`                                                           |
| **平台**     | Linux、macOS、Windows                                                     |
| **資料來源** | `/proc` filesystem（Linux）、OS API（macOS/Windows）                      |
| **功能**     | 掃描執行中 process。偵測異常 process spawn、可疑 command line、權限變更。 |

### File Monitor

| 欄位         | 說明                                                                  |
| ------------ | --------------------------------------------------------------------- |
| **原始碼**   | `core/monitors`                                                       |
| **平台**     | Linux、macOS、Windows                                                 |
| **資料來源** | inotify（Linux）、FSEvents（macOS）、ReadDirectoryChangesW（Windows） |
| **功能**     | 監看關鍵檔案系統路徑。追蹤檔案建立、修改、刪除、權限變更。            |

---

## 進階 Monitor

這 4 個 monitor 隨 `@panguard-ai/panguard-guard` 出貨，提供 kernel 層級或特化的可見性。相依沒裝的話會 graceful degrade。

### Syscall Monitor（eBPF）

| 欄位         | 說明                                                 |
| ------------ | ---------------------------------------------------- |
| **原始碼**   | `syscall-monitor.ts`                                 |
| **相依**     | Linux Kernel 4.18+                                   |
| **資料來源** | 輪詢 `/proc` 取得 process 和網路活動                 |
| **功能**     | 在 syscall 層級偵測可疑 process、提權嘗試、C2 連線。 |
| **事件類型** | Process 建立、權限變更、網路 syscall                 |

### Memory Scanner

| 欄位         | 說明                                                                                                                     |
| ------------ | ------------------------------------------------------------------------------------------------------------------------ |
| **原始碼**   | `memory-scanner.ts`                                                                                                      |
| **相依**     | `CAP_SYS_PTRACE` capability                                                                                              |
| **功能**     | 掃描 process memory region，找 fileless malware 特徵、注入的 code、可疑 memory pattern。抓那些根本沒碰到檔案系統的威脅。 |
| **事件類型** | Memory injection、fileless malware、process hollowing                                                                    |

### DPI Monitor（Deep Packet Inspection）

| 欄位         | 說明                                                                                    |
| ------------ | --------------------------------------------------------------------------------------- |
| **原始碼**   | `dpi-monitor.ts`                                                                        |
| **相依**     | 無（userspace 實作）                                                                    |
| **功能**     | 協定層級流量分析。偵測 C2 beacon、DNS tunneling、加密流量異常、協定誤用。不需硬體加速。 |
| **事件類型** | C2 通訊、DNS tunneling、協定異常                                                        |

### Rootkit Detector

| 欄位         | 說明                                                                                                                              |
| ------------ | --------------------------------------------------------------------------------------------------------------------------------- |
| **原始碼**   | `rootkit-detector.ts`                                                                                                             |
| **相依**     | Linux                                                                                                                             |
| **功能**     | 檢查隱藏 process（比對 `/proc` 和 `ps` 輸出）、隱藏 kernel module、被改過的系統 binary（checksum 驗證）、`LD_PRELOAD` injection。 |
| **事件類型** | 隱藏 process、kernel module 竄改、binary 竄改                                                                                     |

---

## Monitor 架構

```
                    SecurityEvent
                         ^
                         |
  ┌──────────┬──────────┬──────────┬──────────┐
  |   Log    | Network  | Process  |   File   |    內建
  └──────────┴──────────┴──────────┴──────────┘
  ┌──────────┬──────────┬──────────┬──────────┐
  |  eBPF    |  Memory  |   DPI    | Rootkit  |  進階
  └──────────┴──────────┴──────────┴──────────┘
```

所有 monitor 把事件送進 `MonitorEngine`，再轉給 `GuardEngine` 跑 DARE pipeline。

<Note>
  進階 monitor 是選配的。Guard 只用內建 monitor 就能完整運作。需要 kernel
  層級的可見性、或已經裝好相依時，再開進階 monitor 就好。
</Note>
