linux - 使用用户模式应用程序或内核模块监视在 Linux 的 shell 中执行的命令并阻止其中一些命令？

Question

在windows中，我们可以通过多种方式监控执行的命令，比如通过内核驱动回调监控进程的创建，检查父进程是CMD还是powershell，然后解析其命令行以查看执行了哪些命令。

我的问题是，如何在linux中做到这一点？这意味着我如何编写一个程序来监视大多数常见 shell（如 bin/sh）中的每个执行命令，并阻止某些命令通过命令行执行？

用户模式应用程序可以做到这一点吗？如果没有，那么内核模块呢？

编辑1：

另请注意，在这种情况下找到执行该命令的父进程非常重要，例如，如果一个良性进程执行命令“X”它可能完全没问题，但同样的可执行文件被其他东西执行可能非常可疑并且需要被阻止/审查。基本上，Linux 中 PsSetCreateProcessNotifyRoutineEx 的等价物是什么？

标签： linuxwindowssecuritykerneldriver