用隔離森林和 eBPF 事件打造 Linux 端點檢測系統

一位開發者分享了他的機器學習專案 guardd，這是一個基於主機的 Linux 異常檢測系統。該系統使用隔離森林（Isolation Forest）演算法，透過 eBPF 收集執行和網路事件，將其分組為 60 秒的時間窗口，然後轉換成特徵向量供模型評分。目前的特徵包括執行和網路事件的計數、獨特的行程數、檔案、IP 位址和連接埠。開發者正在尋求關於機器學習實現和方法的回饋。