stratosphereips/StratosphereLinuxIPS

解決的問題

Slips 是一個端點行為型入侵預防與偵測系統（IPS/IDS），專門用於識別惡意網路流量。它特別著重於偵測可能繞過傳統安全工具的目標攻擊與命令與控制（C2）通道。

工作原理

Slips 結合機器學習模型、超過 40 種威脅情資來源，以及專家啟發式規則來分析網路流量。它與 Zeek 網路分析框架整合，可即時捕獲流量，或處理 Suricata 和 Argus 等工具產生的 PCAP 檔案與網路流量。系統會收集惡意行為的證據，並根據訓練好的閾值觸發警示。

適用對象

需要在 Linux、macOS 和 Windows（透過 Docker）上使用免費開源行為分析工具進行端點防護的安全分析員與系統管理員。

主要亮點

• 行為型機器學習偵測：使用機器學習偵測惡意模式，而非僅依賴簽名。
• 多模態分析：支援即時流量、PCAP 檔案與網路流量。
• 大語言模型整合：可接入 Ollama、OpenAI、Anthropic 等 LLM 後端，為分析員生成階層式警報摘要。
• 免疫式回應機制：實作「T細胞」模組，模擬生物免疫反應，判斷是否啟動、隔離或儲存威脅記憶。
• P2P 威脅共享：包含模組，讓網路中的對等節點可自動共享威脅指標（IoC）資料。
• C2 偵測：重點在識別命令與控制通道及 HTTPS 異常。