stratosphereips/StratosphereLinuxIPS

解决的问题

Slips 是一个面向终端的行为型入侵预防与检测系统（IPS/IDS），旨在识别恶意网络流量。它特别专注于检测可能绕过传统安全工具的针对性攻击和命令与控制（C2）通道。

工作原理

Slips 结合了机器学习模型、40 多个威胁情报源以及专家启发式规则来分析网络流量。它与 Zeek 网络分析框架集成，可捕获实时流量或处理 Suricata 和 Argus 等工具生成的 PCAP 文件和网络流。系统会收集恶意行为的证据，并根据训练好的阈值触发警报。

适用人群

需要在 Linux、macOS 和 Windows（通过 Docker）上使用免费开源行为分析工具进行终端防护的安全分析师和系统管理员。

主要亮点

• 行为型机器学习检测：使用机器学习检测恶意模式，而非仅依赖签名。
• 多模态分析：支持实时流量、PCAP 文件和网络流。
• 大语言模型集成：可接入 Ollama、OpenAI、Anthropic 等 LLM 后端，为分析师生成分层警报摘要。
• 免疫式响应机制：实现“T细胞”模块，模拟生物免疫反应，判断是否激活、隔离或存储威胁记忆。
• P2P 威胁共享：包含模块，使网络中的对等节点可自动共享威胁指标（IoC）数据。
• C2 检测：重点识别命令与控制通道及 HTTPS 异常。