IDS basados en host con monitoreo syscall

  

¿Se puede clasificar un rootkit como una intrusión o es un malware o ambos? ¿Cuál es la diferencia entre la intrusión y el malware, entonces?

Un malware por sí mismo no es una intrusión. Pero si el malware ha infectado el sistema, entonces tienes una intrusión. Pero puede haber intrusiones sin malware, es decir, iniciar sesión con credenciales robadas. Y un rootkit es solo un tipo especial de malware.

  

¿Puede una secuencia de llamada al sistema determinar que hay una intrusión en el sistema? O la secuencia syscall no válida solo puede detectar malware.

Generalmente no se determina completamente, pero solo se sugiere. Si la secuencia es similar a un malware conocido o si se accede a archivos específicos, si se cambia el registro ... entonces todos estos podrían ser indicadores de malware potencial. Pero también podría ser software no malicioso.

  

Me gustaría monitorear syscall. ¿Puedo hacerlo en el espacio de usuario, por ejemplo, usando systrace o solo se puede hacer en el espacio del kernel? ¿Cuál es el mejor método posible?

En Linux, puede usar ptrace syscall para rastrear otros procesos de su propiedad (y solo estos). O use el comando strace o un comando similar en otros UNIX como truss o ktrace.