進程監控是為方便您發現木馬程序和自動查殺某些進程的工具。
它能有效的查看到未知的進程。
對於頑固型的病毒，在沒有找到根源之前杜絕它運行。
在進程主界面上點“監控”按鈕打開進程規則的對話框。
點擊“讀取”按鈕會讀入：/root/LinuxSysMonitor/bin/PsRuleConfig
這個文件的內容。
其中Legitimate下面的都是合法的進程命令。
Illegal下面的都是非法的進程命令。
您可以點擊命令列頭來排序。點保存/應用，是按順序來保存的。
合法的進程：表示允許運行的進程命令。發現了，也不做提示，也不查殺。
非法的進程：表示不允許運行的進程命令。發現了，自動查殺。
如果即不是合法規則也不是非法規則的進程，一經發現，會顯示在主界面的未知進程列表裡面。
同時屏幕右下角會彈出提示
比如：這個新啟動的tomcat進程。對它點擊右鍵，出現菜單。
選擇：
此進程合法：將會把全命令加入到合法規則列表。
點“保存/應用”這樣，未知進程中就不會再出現這個進程了。
此進程不合法：將會把全命令加入到非法規則列表。點“保存/應用”之後，只要它再啟動就會被服務器端自動殺掉。殺掉之後，也不會出現在未知進程中。
此進程合法（通配）：對於需要傳不同參數的命令，用此項。它會在命令之後加入一個*號。
*號表示後面可以是任何個數的字符。*號只能用於匹配，字符串後面部分，不能用於匹配前面或中間部分。
一般命令比如：ls*
以路徑打頭的命令，中間會加一個空格。比如：/root/run *
這是為了防止有人這樣運行，/bin/bash/bug
他建了一個同名的文件夾：bash，並把自己的程序放在它的下面。
所以不能直接用/bin/bash* 這樣簡單的匹配。
本文URL地址：http://www.bianceng.cn/OS/Linux/201410/45348.htm
對於像這樣的/bin/sh /root/LinuxSysMonitor/run.sh 加入到規則表時會自動去掉/bin/sh 部分，放入表中。比對時，也會去掉/bin/sh 部分之後，比對後面的真實命令部分，也就是只比對/root/LinuxSysMonitor/run.sh
對列表點右鍵，可以手動添加自定義的項。
對列表裡面的項點右鍵，有這些菜單。
移到非法：移動選中行到非法規則中。
移到合法：移動選中行到合法規則中。
全部移除：移除選中列表中所有行。
手動添加：同列頭手動添加。
修改：修改選中行。
同時，作者也給您提供了一份默認的列表，存放在configback文件夾中，
把它放到/root/LinuxSysMonitor/bin/PsRuleConfig就可以讀取應用了。
您也可以根據機器的實際情況設計一份自己的規則表。
點“查找”按鈕。在對話框中選擇列表，輸入要找的命令名，可以模糊地在列表中查詢和統計。
這樣能夠快速的定位，並對它操作了。
此功能可以結合，防篡改功能使用。
防篡改功能可以用來保證您的/bin/ps 進程查詢命令文件不被修改。
這讓木馬程序無處藏身。
進程監控中發現了未知的木馬進程就會提示出來。
您可以看到它的進程id和父id，
如果它是被某個ssh連進來啟動的還沒有斷開，
可以通過父id找到ssh的進程。
再把ssh的進程id放到端口查詢界面中一查，就能知道是哪台機在做壞事了。
您需要查一查遠程ip對應的是哪台內網機，
是內部人員搞破壞？還是它中了病毒或有漏洞？
其實很多情況下是有內鬼，因為外網可能已禁止登錄。
如果是外網機，那您的防火牆應該還有漏洞。
先用防火牆功能把他的ip禁掉。
殺掉木馬進程後，通過復制的路徑把木馬文件刪除，或者把它下載下來留做證據。
再就是，有可能此時您的root密碼已經洩露，建議將root密碼改掉吧！
本文出自 “虛幻真實的作品展示區” 博客，請務必保留此出處http://7591167.blog.51cto.com/7581167/1251599
