linux - 用于监视系统调用的内核模块？

Question

我想从头开始创建一个内核模块，锁存到用户 session 并监视属于该用户的进程进行的每个系统调用。

我知道每个人都在想什么——“使用 strace”——但我想对我收集的数据进行一些自己的日志记录和分析，而 strace 有一些问题——应用程序可以使用“mmap”来编写到一个文件，而文件内容从未作为“打开”系统调用的参数出现，或者没有任何写权限的应用程序可能会创建核心转储来复制敏感数据。

我希望能够处理这些特殊情况并进行一些我自己的日志记录。不过我想知道 - 如何通过我的模块路由所有系统调用？有没有办法在不触及内核代码的情况下做到这一点？

谢谢

Answer 1

对于你的问题我没有确切的答案，但我前几天红了一篇论文，它可能对你有用:

http://www.cse.iitk.ac.in/users/moona/students/Y2157230.pdf/