用途：面向安全事件响应、威胁狩猎与 SOC 分析，系统排查 Linux 主机上的持久化后门，并生成带风险评分的报告。
主要能力：枚举用户 crontab、/etc/cron.d/、/etc/cron.daily/ 与 anacron 任务；审计 /etc/systemd/system/ 和 ~/.config/systemd/user/ 中非包管理的服务与定时器单元；检查 /etc/ld.so.preload 与 LD_PRELOAD 环境变量中的注入库；扫描 .bashrc、.bash_profile、.profile、/etc/profile.d/ 中的注入命令或反弹 shell；审计所有 authorized_keys 文件中的未授权公钥及命令限制；关联 auditd 日志构建持久化安装时间线；输出 JSON 报告、MITRE ATT&CK 映射（T1053、T1543、T1574、T1546）及每项机制的修复命令。
使用方式：需目标 Linux 系统的 root 或 sudo 权限（或取证镜像）；auditd 需配置对持久化路径的文件监视规则；Python 3.8+ 及标准库（os、subprocess、json）；可选 OSSEC/Wazuh 代理提供文件完整性告警。按步骤依次执行扫描、审计、检测、检查、关联与报告生成。
适用场景：安全事件调查、检测规则与威胁狩猎查询构建、SOC 结构化分析流程、验证相关攻击技术的监控覆盖。
限制：资料未提供具体安装命令、脚本调用方式、收费信息或平台支持范围；需具备相应权限与 auditd 配置，否则部分关联分析可能无法完成。