从一次 root 安装、客户端分析和管理连接观测，理解它能记录什么、如何形成审计，以及哪些结论仍需要生效策略才能确定。

资料核对日期：2026 年 10 月 13 日。本文讨论 IP-guard 产品的公开能力，以及一台 Ubuntu Linux 机器上特定安装样本的实际表现。真实内网地址、帐号和个人日志内容已隐去。

一个名为 ipguard-liunx.run 的文件，在 sudo su 后运行，随后电脑出现多个长期驻留的后台进程。安装过程结束了，后台程序却继续工作；电脑重启以后，它们又自动启动，并连接内网管理服务器。

这类体验容易让人产生一个笼统的疑问：它是不是在监控我的电脑？更准确的问题应该是：它记录哪些行为，是否读取内容，是否会限制操作，数据是否离开电脑，以及谁能够查看这些数据。

这个案例中的安装结构、程序组件和协议函数，与 IP-guard 企业终端管理和数据防泄漏客户端一致。调查还捕获到了一批真实的应用日志上传。因此，已经可以确认它具备并实际使用了一部分审计链路。但屏幕采集库存在，不等于当前正在连续录像；敏感内容组件运行，不等于所有文件已经上传。这些区别决定了我们应当怎样理解风险。

IP-guard 是一个长期公开销售的终端管理产品

IP-guard 在网络上有公开的产品说明、功能页面和使用文章。按溢信科技官网的发展历程，公司始创于 2001 年，2002 年推出 IP-guard 内网安全管理系统，2018 年推出 Linux 终端管控。这些年份来自厂商自己的历史介绍，并非本次对早期版本的独立验证。来源：溢信科技发展历程

厂商在 2024 年 1 月 23 日的文章中明确提到 Windows、macOS、Linux，以及银河麒麟、统信等系统的支持。因此，Linux 客户端的存在与公开产品路线一致，不能因为平时更容易见到 Windows 宣传页面，就认为 Linux 上同名安装器一定是冒牌软件。来源：厂商关于跨平台终端管理的说明

公开产品定位同时覆盖信息防泄漏、员工行为管理和 IT 运维。也就是说，它既可能用于保护企业文件，也可能用于统计程序和网站使用，或者执行设备、网络与文档限制。来源：IP-guard 终端安全管理产品介绍

产品有公开销售渠道，只能回答“这种软件是否真实存在”。它不能自动回答某个安装包是否来自官方、是否经过修改、安装者获得了什么授权，以及管理策略是否合适。本案例没有核验安装包的官方分发来源，也不能从客户端连接的私有地址判断管理者的具体身份。

官网还保留了一些明显面向旧 Windows 版本和旧通讯软件的资料。它们能证明某种产品思路曾经存在，却不能直接充当 2026 年 Linux 客户端的完整兼容性清单。浏览器、桌面环境、应用版本、内核版本、购买的模块和实际策略，都会改变最终可用范围。

理解审查需要区分记录 判断和控制

这里的“审查”，主要指终端审计和规则检查：将电脑活动转换为记录，判断它是否符合管理策略，然后由系统或管理员采取措施。它可以包含几种不同深度。

这几层经常叠加。一次文件复制，可能只有操作日志，也可能触发内容检测、屏幕记录和文件备份，再进一步被阻断。具体叠加哪些环节，取决于部署策略。

同时，证据本身也有层级。把这些层级混在一起，会造成两种误判：一是把所有宣传功能都当成当前正在执行；二是看到某项尚未确认，就把整套客户端当成没有监测能力。

本案例对应用审计已有实际上传证据，对多种其他能力有静态与运行证据，但没有取得完整生效策略和服务器数据库。这一边界会贯穿下文。

一次 root 安装建立了怎样的结构

厂商介绍的基本架构由客户端、服务器和控制台组成：客户端负责采集与执行策略，服务器负责保存数据和规则，控制台供管理人员查看和管理。这种架构允许管理动作与数据查看发生在另一台机器上。来源：IP-guard 系统架构

在这台 Linux 机器上，安装后的结构更具体。

它的文件主要位于 /usr/local/.OCular 和 /etc/.OCular。这些以点开头的目录，在某些文件浏览方式下默认不显示，但这种命名本身不能用来判断恶意性。更有意义的是目录里的程序、权限、开机启动项、运行进程和实际数据处理。

本机活动桌面 文件 设备

→

采集和缓存用户进程与 root 服务

→

LAgent管理代理

⇄

管理端服务器与控制台

前面几层得到本机组件与连接证据支持。最后一层是产品公开架构；本案例没有访问实际控制台，也不知道谁拥有查看权限。不能把“客户端发往管理端”直接写成“某位领导正在看屏幕”。

root 安装会扩大软件的系统访问和部署权限。退出 root 终端后，已经安装的系统服务、桌面自启动项和内核模块不会随之消失。本机后续重启，管理服务又自动运行，这是常驻部署的直接证据。不过，root 权限也不能代替具体实现证据：它不会自动证明客户端正在读取每个密码、每一条聊天记录或所有音视频设备。

本案例各类审计的证据总览

下表中的“支持”包括本样本中的代码和组件证据；“未确认”说明不能据此断言当前已经发生，而不表示产品必然没有这项能力。

各类审计如何接触信息

应用使用审计可以形成工作行为时间线

官方应用程序管控页面介绍了使用时长统计、启动和退出记录、窗口标题变化，以及按程序或类别限制使用的能力。这类功能既能用于安全管理，也可能进入工作状态或效率评估。来源：应用程序管控

本样本的桌面采集库包含前台程序信息、窗口标题、空闲时间和应用统计处理逻辑。对应日志在安装后产生并轮换。后续管理连接中，服务器请求 GetAppLog，客户端实际返回了一批非空数据，这使应用审计从“可能有”进入“观察到数据发送”的层级。

应用审计最容易被低估的字段是窗口标题。程序名可能只说明用户打开了浏览器或编辑器，窗口标题却可能包含文档名称、网页主题、项目名称和正在处理的任务。即使没有保存截图，标题和时间组合也可能呈现相当具体的活动线索。

例如，“编辑器处于前台”与“编辑器显示某份项目计划”是不同程度的信息。这里的项目计划只是解释字段意义的假设例子，并非本案例日志里读取到的真实内容。本次上传批次尚未逐条完成字段解析，因此不能列出该批日志中的具体标题、程序和使用时长。

活跃和空闲统计还有解释上的限制。阅读纸面材料、打电话、讨论方案或者等待长任务，都可能对应较少的键鼠活动；前台窗口时长也不等于认真工作的时长。把这些记录直接转换成个人效率判断，需要额外的工作情境，软件记录本身不能提供全部答案。

网页浏览审计可以在终端上读取网址

官方网页浏览模块列出网址、网页标题、访问时间的记录，以及分类统计和访问限制。来源：网页浏览管控

本样本中更直接的机制线索，是浏览器窗口和辅助功能接口相关逻辑。libscreen.so 会加载 AT-SPI 库，并使用文本读取接口；静态代码还包含 Chrome、Firefox 和地址栏相关定位。网址日志的格式明确涉及用户 ID、会话 ID、应用名、窗口标题、站点、URL 和访问时间。

这说明网址审计不一定依赖网络层解密。浏览器已经把网址显示在本机界面上，终端程序可以尝试从地址栏或相关界面信息取得它。HTTPS 保护浏览器与网站之间的网络通信，并不自动阻止本机程序读取浏览器已经显示的信息。

完整 URL 也可能比域名敏感得多。域名只表明访问哪个站点，而路径和查询参数可能透露搜索词、文档编号、项目标识，或者某些网站放在网址中的临时访问参数。实际会不会记录完整参数，是否有脱敏，以及某种浏览器版本能否成功读取，都需要对应的代码和策略验证。

这里还应区分访问审计与页面内容审计。知道打开过某个页面，不等于得到整个页面正文；记录网页标题，也不等于读取登录密码。本案例证明了网址采集实现和相关库加载，没有确认某次具体网址或页面内容已上传。

无痕窗口主要改变浏览器自身对历史等信息的保存方式。对另一个已获得桌面或系统访问能力的客户端而言，无痕模式不能当作终端审计的关闭开关。

屏幕审计包括实时查看 历史截图和事件触发

官方屏幕模块说明了实时查看、历史画面、按应用选择记录和自定义记录频率等能力。历史截图也可以按时间查阅或导出为视频格式。来源：屏幕监控

需要特别理解的是事件触发记录。厂商在 2019 年 4 月 25 日的文章中介绍，文档、应用、网页、邮件、即时通讯文件传送和打印等策略可以与屏幕记录联动。这样，审计者可能从某条操作日志直接进入相应时段的画面。来源：触发式屏幕记录的历史说明

屏幕审计与普通程序日志的区别，在于它能够保留画面中出现的内容。终端命令、代码、网页正文、聊天窗口、个人通知和文档预览，只要进入被采集的画面，就可能成为屏幕记录的一部分。管理者不必先识别某个应用的专用数据库格式，才有机会看到用户已显示的信息。

本样本的 libscreen.so 确实被桌面进程加载，代码中有实际 XGetImage 调用，也包含屏幕历史和截图策略处理。另有针对不同桌面环境的远控组件和接口线索。这些事实支持屏幕采集能力，但不能确定当前策略的频率、对象和上传状态；图形会话类型、权限和兼容性也会影响具体路径。

连续录制、每隔一段时间截图、只记录某种应用和事件发生后截图，是不同的策略。不能从库名中的 screen，就选定其中一种。官方旧文章给出的配置默认值，也不能当作这台机器现在生效的设置。

屏幕截图还不是摄像头画面。屏幕审计观察桌面显示内容，摄像头采集观察设备镜头中的场景，两者涉及不同的数据来源。看到屏幕模块运行，不足以证明摄像头或麦克风正在采集。

文件操作审计观察文件如何使用和流转

官方文档操作模块介绍了文档使用过程的记录、访问权限控制，以及在指定敏感操作时备份文档；页面也提醒，部分功能支持 Mac OS 和 Linux，而非所有功能无差别适用。来源：文档操作管控

文件操作审计主要回答谁在什么时间，对什么对象做了什么。它可以用于重建创建、修改、复制和删除等过程。与读取文档正文相比，这一层首先关注操作关系。

但操作元数据本身也可能敏感。文件名和路径可能透露项目、客户、部门和任务；复制目标则可能说明数据去了移动设备、共享位置或其他存储区域。即使系统没有把文件正文交给管理员，操作轨迹也可能形成有意义的信息。

在本案例中，root 文件监测服务运行，内核模块和文档相关服务也已部署。与之对应的具体审计开关、目录范围、文件类型和排除规则仍未取得。因而可以确认存在文件审计与控制结构，不能声称它已经记录了每个文件的全部操作。

Linux 应用也可能通过临时文件、重命名、缓存和自动保存实现一次用户眼中的“保存”。系统层面的事件与用户界面里的动作，不一定一一对应。对文件审计做解释时，应关注事件合并和应用语义，不能把大量底层写操作直接算成大量人为修改。

敏感内容检查可能处理没有在屏幕上打开的文件

官方敏感内容识别页面说明，可按关键字、正则式或样本特征定义规则，通过扫描与外传检测识别敏感信息，并按规则采取审计、报警、阻断或加密等动作。来源：敏感内容识别

这类检查比文件操作日志多了一层：软件需要接触可供匹配的文档内容，或者从文档中提取相应特征。它不一定依赖用户打开文件。因此，某份文件没有出现在屏幕上，也不能据此保证它不会进入内容检测范围。

本案例里，LSensitive 和 LSDConfig 加载了 ContentMatch.so，相关文档提取进程也在运行。库导出 CMMatchFile、CMMatchFile2 等接口，另有扫描任务、规则库和敏感日志处理线索。这支持文件内容检测能力，扫描目录、触发条件和实际命中结果则仍未知。

“读取内容”“判定敏感”“上传完整文件”和“管理员阅读正文”是四件不同的事。检测可以只产生规则命中结果，也可以依据另一条策略触发备份。没有备份或内容上传证据时，不能把本地匹配直接写成所有文件已被送走。

同样，规则命中也不是对文件性质的最终判断。一个测试样本、教程、公开资料或者误用的关键字，都可能满足某条规则。了解规则定义、文件情境、误报处理和复核流程，才能评价一次内容审查是否合理。

文件外发和备份会改变数据副本的边界

外发审计关注文件从哪里，通过什么渠道，传向什么对象；备份则可能另外保存完整内容。两者结合时，管理者获得的就不只是“发生过一次发送”，还可能有发送时的文件副本。

本样本包含备份服务器配置、待上传队列、已备份列表以及独立 TCP 备份客户端的代码线索。这些结构支持单独的文件备份链路。当前并未核实实际备份服务器或某份文件传输，也不能假定所有文件都通过已观察到的 TCP 8237 管理连接发送。

文件大小、类型、路径、目的地和内容命中条件，可以共同决定哪些外发事件需要检查。具体组合属于生效策略；在没有取得策略的情况下，只能解释机制，不能替管理端猜测当前范围。

如果策略保存了副本，用户在本机删除文件或撤回发送，也未必删除审计副本。副本保存多久、是否继续备份、能否导出、删除是否有记录，属于服务器侧的数据管理问题。这个影响是由“另一个副本已经形成”推导出来的，不代表本案例已确认某份私人文件被备份。

审计记录和操作结果也要分开：一次发送被阻断，系统仍可能记录失败事件；一次操作成功，系统也可能同步保留记录。是否成功外发，不能仅凭“出现了一条日志”判断。

即时通讯审计需要区分文件 图片和聊天文字

官方即时通讯管控页面主要介绍文件和图片外发控制、备份以及帐号使用限制。这些功能的支持范围会随着通讯软件版本更新而变化。来源：即时通讯管控

“审计聊天软件”是一种过于宽泛的说法。它可能只记录该程序运行过，也可能记录发送文件的事件，可能保存外发附件，还可能通过特定实现获取部分文字。几种能力对应不同的接口和数据范围，不能互相替代。

本样本中有 GetIMContentLOG、GetIMSessionLOG 等通用协议名称，也有即时通讯相关规则。这些名称支持产品代码包含相关审计接口，不能证明 Linux 版本已经成功接入用户正在使用的每个聊天应用。旧资料中罗列的通讯软件名称，也不能当成当前版本的兼容性保证。

另外，即使没有成功解析某个应用的聊天数据库，屏幕审计仍可能记录已经显示在桌面上的聊天文字。文件监测则可能观察到本地附件的生成、读取或外发。不同审计路径能够接触不同部分的信息，不应只问“它能不能破解聊天协议”。

对私人帐号的影响，主要取决于帐号限制、画面范围和附件策略。如果个人和工作活动混用同一台受管理终端，规则未必能仅按人的主观用途区分每次操作。本案例没有证明某个个人聊天帐号、聊天正文或附件已经上传。

邮件审计可以深入到正文和附件

官方邮件模块列出的能力包括主题、时间、大小、正文和附件记录，以及按收发件人、主题或附件条件控制邮件。这是产品层面的能力说明，具体协议、平台和应用仍有适配边界。来源：邮件管控

邮件包含多个独立的信息层：发件人和收件人揭示通信关系，主题概括事情，正文包含交流细节，附件可能就是完整业务资料。只确认一种字段被采集，不能把其余字段也视为已取得。

样本中的邮件解析库包含主题、文本、HTML 和附件相关接口，网络处理服务也有邮件与代理处理线索。但在先前检查的目标进程映射中，没有据此确认邮件解析库正被用于读取所有邮件，也没有解码某封真实邮件。安装了这样的组件，属于能力线索，尚不是当前所有邮箱被监测的证据。

网页版邮箱还有多条可能的接触路径：网址、页面画面、上传附件和符合条件的 HTTPS 代理检查。是否能处理某个站点的正文，与浏览器版本、协议、策略和代理路径有关。不能只看到“支持网页邮件”的宣传，就认定任意个人邮箱都已经被完整读取。

邮件规则也可能影响正常工作，例如发送目标、附件类型或大小不满足规则时需要审批。收发控制、记录留存和附件备份应分别说明；“禁止发送附件”与“发送后备份附件”给用户带来的后果并不相同。

打印审计可能保存文档在纸面上的样子

官方打印模块介绍了时间、用户、文件名和页数记录，以及打印内容映像备份、打印权限和水印。内容映像意味着审计可以保留实际打印画面，而不只是一条页数统计。来源：文档打印管控

打印也不总有一个容易识别的文件。用户可能直接从浏览器、财务系统或业务应用打印，此时“哪个文件被打印”未必足以说明内容。打印映像这种产品思路，正是为了观察输出结果。

虚拟打印机也需要纳入概念范围。导出 PDF、打印到文件与实体纸张输出，可能都进入相关的打印路径；具体支持哪些虚拟设备，应以对应平台和策略为准。

本样本包含打印审计相关代码和日志接口，公开资料也支持这个产品类别。但是，本次没有触发测试打印，也没有确认真实打印事件或映像上传。不能把 Windows 说明中的全部打印路径直接套到这台 Linux 机器。

对用户而言，打印水印、输出审批和保存映像是三个不同影响：水印提高可追溯性，审批改变操作流程，保存映像增加内容副本。一次打印可能只启用其中一项，也可能组合启用。

移动存储和设备审计会覆盖数据离开电脑的出口

官方移动存储模块介绍了设备识别、插拔和文档操作查询、分类授权、读写控制以及加密使用。来源：移动存储管控

这一层审计可能把设备身份、使用者和文件行为关联起来。管理端知道某个设备出现过，与知道哪些文件被写入该设备，仍是不同层级。设备标识的稳定性、可获取字段和匹配规则，取决于硬件和实现。

本案例中的设备控制库导出 USB、蓝牙和 Wi-Fi 枚举，以及设备事件相关接口，并被实际运行进程加载；另有移动存储日志和策略处理结构。它支持设备识别与控制能力，但当前并未取得某个 U 盘的生效读写权限，也没有证明某次拷贝被阻断。

设备控制范围可能超过 U 盘。厂商公开说明还涉及通讯接口、网络设备以及声卡和摄像头等设备的使用限制。来源：设备管控

这里尤其容易发生误读：能禁用或限制摄像头，不等于正在调用摄像头采集图像；能控制声卡，也不等于录音。判断采集需要观察实际采集接口、设备访问、数据生成和策略，而不是只看“音视频设备管控”几个字。

日常影响则比较直接。如果对应限制开启，用户可能遇到设备能接入但不能写入、只允许指定设备使用、某些接口被禁用等现象。也可能出现多个规则叠加：设备允许接入，但敏感内容策略仍拒绝某份文件拷贝。

网络审计可以记录连接并限制通信

官方网络控制页面说明，可按程序、端口、IP 地址和通信方向制定规则，并对不满足安全条件的终端实施网络控制。来源：网络控制

本样本中的网络库有查询和设置 IP、DNS、网关、MAC 地址，以及连接状态监测相关接口。网络配置服务和其他 root 后台程序运行，说明这套客户端的影响不局限于某个浏览器窗口。

连接元数据能够说明程序联系了哪些地址、端口和方向。但网络连接存在，不等于已经读取完整业务内容。反过来，没有观察到某种明文内容，也不等于终端上没有画面、地址栏或文件采集。

网络处理还可能改变排查问题的方式。某个程序访问失败，可能来自网站本身、系统网络配置、终端策略、设备控制或其他原因。仅凭“安装后某次联网失败”就归因于 IP-guard，缺乏足够证据；需要对应规则、日志或流量变化。

本案例里，管理通道、网络代理处理、远控转发与本机服务通信是不同结构。把所有监听端口都当作数据上传目的端口，会误解连接关系。监听说明程序等待连接，已建立的远端 socket 才说明特定时点存在相应网络通信。

HTTPS 内容检查还取决于证书和流量路径

HTTPS 保护网络通信的同时，浏览器也需要根据自己使用的信任库判断对方证书。若某个根 CA 被应用信任，相应 CA 签发的证书就可能参与该应用的站点认证判断。信任库、流量代理路径和应用校验行为共同决定是否能够实施特定的 TLS 检查。

本案例发现，安装目录中的 TecSign-Root 证书，与用户 NSS 和 Firefox 证书数据库中的证书完全匹配；相关信任对象具备服务器认证根信任。按 NSS 官方常量解释，这属于根信任设置，不能笼统说成只用于程序代码签名。来源：Mozilla NSS 官方信任常量

同时，LSGTransmit 实际加载了 DtSSLFrame64.so。对关键函数的分析确认，它包含本地 TLS 服务端、远端 TLS 客户端、证书回调和明文数据处理回调路径。与匹配的根信任结合，这是相应 HTTPS 检查能力的较强证据。

一种可能的代理结构是：浏览器与检查程序建立一段 TLS 通信，检查程序与网站再建立另一段 TLS 通信，符合策略的内容在中间处理。这是由所分析代码路径支持的机制解释，不表示当前所有站点都已经走过这条路径。

证书在磁盘数据库中受信，还不足以确定某个运行应用此刻是否已经使用它。不同应用可能使用不同信任库、保留运行时缓存或采用其他校验条件；部分连接可能没有被代理。本次也没有安装前证书库基线，因此无法准确确定该证书第一次导入的时间。

这一能力的潜在影响比单纯域名统计更深入：如果某条 HTTPS 连接实际进入可用的检查路径，内容检查可以涉及本来在网络线上以加密形式传送的数据。但本案例没有证明某次具体登录密码、聊天正文或网页请求已被解密和上传，更不能认定所有加密连接都被全面读取。

身份 会话和资产信息为行为提供归属

审计系统需要把事件对应到某台电脑、某个用户和某次会话。身份和会话信息未必包含长篇正文，却是把不同日志串起来的重要条件。

本次管理流量实际出现了用户映射和会话信息查询与回包。静态桌面通信代码还涉及用户 ID、会话 ID、屏幕数量、登录和可见状态等字段。尚未逐字段解析这批回包，因此不能从数据体大小推算人数，也不能列出实际帐号信息。

产品的资产模块还公开介绍了软硬件资产及其变化、软件授权统计、分发和卸载等能力。这是产品整体功能，不代表本次已经验证全部 Linux 资产字段或远程管理动作。来源：资产管理

从隐私角度看，身份信息的作用常常体现在关联中。同一条应用事件，如果只能对应匿名设备，解释空间较大；若它与确定的用户、部门、会话和时间相连，就更容易形成个人行为记录。部门和人员的实际映射，本案例没有取得。

软件清单和配置变化也可能透露职业活动和个人习惯。例如某类开发、设计或通信软件的存在，具有一定环境信息价值。软件已安装、正在运行和实际使用多长时间，仍应分开看待。

远程查看 控制和剪贴板同步属于另一组能力

官方远程维护页面说明了状态查看、远程协助、文件传送和软件管理，并将经用户同意的桌面协助、密码授权或弹出授权列入产品说明。这是理解产品授权设计的重要背景；本机当前采用哪种授权方式仍需实际策略确认。来源：远程维护

本样本的 VNC 相关组件具有读取桌面、模拟键盘和鼠标、同步会话剪贴板的实现。LVnctransfer 运行，并监听相关转发端口。在所检查的时点，没有确认实际远程桌面进程或已建立的桌面控制会话。

远程查看和远程操作也不是同一权限。只看画面、发送键鼠输入、传送文件或调整系统状态，可能分别受规则控制。不能从服务监听就断言有人在操作电脑，也不能从某次用户没有看到弹窗就确定整个产品永远不提示。

剪贴板同步需要特别精确地描述。VNC 会话可能交换剪贴板内容，这说明对应会话具备接触该数据的路径；持续记录每一次本地复制，是另一种能力，需要独立证据。本案例没有证明持续剪贴板审计。

同样，模拟键盘输入是让远程人员控制电脑的一种实现。它不能单独证明软件把用户每次按键永久保存。把输入注入函数直接命名为“键盘记录器”，会越过证据支持的范围。

关联报表和规则阈值会改变记录的用途

厂商风险审计报表页面介绍了行为统计、变化趋势、预设阈值触发的分级事件，以及周期报表。这说明产品可能在单条日志之上继续进行归类和统计。来源：风险审计报表

这一层的影响，不只是增加某个字段。它能够把原本零散的应用、网页、文件、设备或打印事件放进统一的时间和身份框架，从而关注行为频率、变化和组合。

例如，同一时段出现大量文件读取、随后发生移动存储写入，可能被某套规则列为需复核事件。这只是说明关联分析的假设场景，不是本案例管理端的实际配置，也不表示单凭这种组合就可以判断个人动机。

阈值尤其需要上下文。备份任务、批量导出、软件测试或正常项目交付，都可能改变事件数量。统计上的异常与业务上的违规不能画等号。规则怎样制定、谁来复核、是否允许更正误报，都会影响审计记录最终如何使用。

产品还公开提供管理员权限划分和对管理员行为进行审计的能力。但“产品允许限制管理员权限”与“本部署已经认真限制并审计管理员”仍是两回事。来源：基本功能中的管理员权限和审计说明

对于用户，了解谁能看什么，通常比泛泛知道“装了安全软件”更有价值。应用统计、屏幕历史、邮件正文和文件副本应分别说明查看权限；导出、长期备份和报表转发也应该有明确范围。本案例没有访问服务器，所以无法回答这些实际权限问题。

键盘 麦克风和摄像头需要独立的采集证据

当前证据没有确认持续逐键记录、录音或摄像。对 18 个已索引组件和部分进程句柄的检查，也没有发现足以支持这些活动已经发生的结果。这个检查有范围限制，不能转化成整个安装包永远没有相关能力的保证。

要判断这些采集，应该寻找相应的输入或设备接口、真实设备访问、采集结果和生效策略。通用视频字符串、图形库中的键盘事件、设备禁用功能和远控输入能力，都不能替代这一组证据。

密码也应按接触路径判断。普通密码框在画面中显示掩码，截图通常不会自动得到原始密码；某些内容进入可用的代理检查路径、被用户直接粘贴到可见文本，或者以文件保存，则是不同情境。本案例没有发现足以认定密码已经外泄的证据。

这种区分并不是要淡化已经证实的监测。应用日志已经实际上传，root 服务、文件与桌面采集结构也确实存在。准确的评估既要承认这些已证实事实，也要避免把所有敏感能力都推定为正在发生。

管理连接实际传输了哪些数据

本案例的 LAgent 与配置中的一个内网私有地址保持 TCP 8237 连接。配置值与 socket 现场相符；重启以后，客户端又连接到同一个管理端。公开文章不展示真实地址，因为它并不帮助读者理解审计机制，却可能暴露部署环境。

这条连接是双向的。管理端下发查询和策略，客户端返回日志、状态和确认信息。它不只是客户端单向报告“我还在线”，也不能因为某些消息较小，就把整条连接都归类为心跳。

在 2026 年 10 月 13 日 16:32:59 至 16:34:18 的约 78.95 秒窗口内，对这条已建立连接的被动捕获得到 400 个 TCP 包。按序号去除重复并重组后，解析出上行 171 条、下行 170 条，共 341 条完整 OCP 消息；没有重组缺口或未解析尾部。

消息类型与功能的对应，来自样本中的协议注册、虚函数指针、处理函数标签和关键函数分析。没有仅凭消息大小猜测功能。

应用日志上传已经得到函数绑定、请求应答序号和真实数据体的共同支持。但本次并未完整逐条解释该批日志的记录结构，不能给出“总共记录了多少个窗口”之类结论。解码结果中的字符串段数也不等于事件数。

策略下发需要另一处谨慎解释。105 条消息中，104 条解码后只有 16 字节策略 GUID；1 条包含 GUID 和剩余 560 字节策略正文。它们不是“105 项监控全部打开”的计数。客户端应答证明有相应协议回应，也不能直接代替完整功能执行结果和最终生效状态。

这次捕获从已有连接开始，没有强制重连，也没有捕获首次认证过程。服务器端的存储、管理者身份、查看权限和转存路径仍未验证。短时流量数不能外推每天上传多少数据，单连接观察也不能排除其他通道。

传输加密的实际保密性取决于密钥设计

本次管理载荷采用样本中的自定义 OCP 封装，而不是在该线路上直接看到普通 HTTPS 记录。这个协议与客户端另有的 HTTPS 内容检查模块，应当分开理解。

本样本和捕获数据验证出的主要结构如下。

仅凭匹配的客户端代码和捕获字节，离线恢复了应用日志数据体，相关压缩结果通过校验。这是可以直接评价本次传输保密性的实证：算法名称里包含 AES，不足以证明观察者拿到程序和流量后无法还原内容，密钥来源和整个封装设计同样重要。

这个发现有明确范围。它适用于本样本及所分析的管理消息路径，没有证明全部产品版本使用相同设计，也没有验证登录认证、管理指令授权或服务器其他安全措施。能够还原抓包内容，不等于能够冒充管理员；本文也没有进行指令发送或伪造测试。

公开文章保留协议机制和验证结果，省略固定密钥值、原始抓包与日志明文。解释审计风险不需要公开个人数据，也不需要提供针对他人终端的解码材料。

日志缓存和多个通道使断线状态更复杂

公开 FAQ 将 IP-guard 描述为后台运行、有自保护，并支持断线后继续运行、恢复连接后传送数据的客户端。它也列出日志、统计、屏幕记录、文档备份等数据类别。这些是厂商关于产品行为的说明，具体缓存规则还需按版本和策略确认。来源：IP-guard 常见问题

本机存在日志轮换、上传处理和缓存相关结构。因此，某个时点没有正在传送的流量，不足以说明此前没有形成记录，也不保证记录不会在之后发送。本次未通过人为断网验证离线缓存时长或恢复后的补传行为。

一个管理地址也不一定承担所有数据传输。文件备份、远程桌面转发、网页和邮件处理，以及本机进程通信，有各自的配置和代码路径。

有些监听绑定所有 IPv4 接口，是否能被其他机器访问还取决于防火墙和网络条件。监听、建立连接、传输业务数据和保存到服务器，是四个不同事实，判断时应逐层确认。

私有地址也只说明地址范围。它可能是一个组织内部的服务器，但不能从地址猜出具体公司、负责人或是否继续转存到外部。数据留存和转移问题需要服务器侧证据。

本次安装还出现了系统安全方面的具体问题

终端管理软件获得较高权限，是其部分控制能力的基础；这并不意味着安装过程中的每项权限和配置变化都合理。本案例除了审计功能，还发现了值得单独处理的部署问题。

系统服务目录和部分 root 程序权限过宽

/etc/systemd/system 的权限实际为 0777，安装脚本里还找到对应的 chmod 777 命令。/usr/local/.OCular 及部分 root 程序和库也具有过宽的 Unix 权限。

系统服务目录和高权限程序允许过宽写入，会增加本地程序篡改服务配置或可执行内容的风险。本次没有创建服务、写入客户端程序或进行提权验证；客户端自保护是否阻止某些具体写入，也不能只从 Unix 权限确定。

这里的结论限定为所分析安装脚本和这台机器的状态。安装包来源未经官方核验，因此不能把它直接推广为 IP-guard 所有发行包的统一问题，也没有为它赋予某个未经核实的 CVE 编号。

定期软件包列表刷新配置发生变化

/etc/apt/apt.conf.d/10periodic 中的 APT::Periodic::Update-Package-Lists 当前为 0，而安装留下的备份同项为 1，文件时间也与安装相符。

这会影响对应的定期软件包列表刷新设置，但不能据此宣称 Ubuntu 的所有安全更新全部关闭。实际更新还需要结合其他 APT 和系统配置判断。这一发现说明，审计客户端的影响可能延伸到日常维护条件，而不只是多出几个日志文件。

浏览器证书信任边界发生了变化

匹配的根 CA 在用户 NSS 与 Firefox 数据库中具有相应信任。这扩大了这些应用能够接受的证书信任来源。它与 TLS 检查能力结合时具有敏感意义；同时，系统 OpenSSL CA bundle 与应用独立证书库并不是同一个对象，不能用一个库的结果代替全部应用状态。

本次没有安装前的证书库快照，所以关于这枚证书，准确说法是“现在存在匹配的信任”，而不是已经完全确定首次导入时间和所有运行应用都已使用。

内核模块存在兼容性警告

当时运行内核为 6.8.0-138-generic，安装模块文件标识为 6.8.0-100-generic；日志出现模块版本以及部分兼容系统调用查找相关警告。模块仍处于已加载状态，另有初始化成功记录。

这既不能被解释为整个模块已经失效，也不能单独证明它造成了崩溃。它提示部署需要关注具体内核适配。把“日志存在警告”直接转成“软件导致卡顿或系统不稳定”，仍需要相应故障证据。

资源消耗与具体任务有关

应用元数据、屏幕图像、文档扫描和完整备份，产生的 CPU、磁盘与网络负担差别很大。本次部分现场观察中服务处于较低 CPU 使用状态，但没有进行长期性能测试。不能把一次低占用当作永远没有负担，也不能把已有卡顿自动归因于它。

用户真正需要确认的是生效策略和数据管理

本案例中，实际配置文件可以取得部分元数据，但尝试读取正文返回 EACCES，即使使用 sudo 也是如此。错误本身没有确定拒绝来自什么机制，却使当前完整策略无法被直接核验。安装模板也不能拿来替代后来由服务器下发的配置。

对于一台受管理终端，以下问题比“它总共支持多少功能”更能解释实际影响。

这些问题适用于不同部署，并不预设管理者一定会滥用数据。企业可以有文件保护和运维需要，终端用户也需要知道信息处理的范围。清楚的策略和访问约束，有助于双方理解这台机器的实际角色。

同一台电脑混合工作与私人活动时，屏幕、窗口标题、文件目录和浏览器内容可能跨越这种用途划分。仅使用无痕浏览、关闭应用历史或套一层 VPN，不能作为本机采集已停止的证据。它们分别改变浏览器或网络行为，不会自动撤销已部署的终端权限和服务。

退出终端或重启也不能解除这个案例中的常驻部署。直接删除程序目录、强制卸载驱动或移除证书，则可能分别影响自保护、文档加密和应用连接。处理前需要明确文件是否受加密管理以及官方卸载流程；本文没有执行停止、卸载、证书删除或权限修复。

技术附录与复核边界

本次调查结合安装器静态解包、进程和模块检查、证书信任读取、静态代码分析，以及仅针对指定管理连接的被动捕获。原始个人文档、浏览器密码库和用户截图没有被打开；应用日志数据体在本地离线恢复用于结构验证，没有放入公开稿。

安装器大小为 2,032,922,655 字节，SHA-256 为：

943586f0ff33416b7fd4c1ee0dbdd9843c2260666075dc9c2fd57cfc03b0db24

静态清点得到 3,128 个成员，其中有 1,215 个内核模块，覆盖多种架构和适配情况。安装包体积大本身不能用来判断恶意；真正需要看的是部署行为、权限、组件、来源和数据路径。不同层次的版本标记也不一致，不能选一个 XML 的版本号就代表整套运行组件。

逆向分析使用 REA 项目 的本地分析流程，实际安装的 REA 为 6.4.0，Ghidra 为 12.1.4。对较大的 LAgent，关键函数按原始 ELF 的函数边界抽取原样字节并保留虚拟地址，生成有明确范围的派生分析对象，再与原始反汇编和抓包交叉核验。这不是整个程序已经完成完整反编译。

复核协议绑定时，可关注 GetAppLog 的地址 0x909550、SetPolicy 的地址 0x9233f0、GetPolicyGuid 的地址 0x923960 和 OCP 接收解析的地址 0x70ddc0。这些地址只对应本次特定二进制；软件更新后地址和实现都可能变化。

在自己的机器上初步核对运行状态，可以使用以下只读检查。命令中的名称来自本案例，不保证适用于其他产品版本。

ps -eo pid,ppid,user,args | rg 'LMonitor|LAgent|LSDConfig|LSensitive|LSGTransmit|LVnctransfer'
systemctl status startLSDEfsSvr.service --no-pager
sudo ss -ntup
sudo ss -lntup
stat -c '%a %U:%G %n' /etc/systemd/system /usr/local/.OCular

检查进程可以确认谁在运行，检查 socket 可以确认谁在连接和监听，权限元数据可以定位安装影响。这些操作不能直接给出完整审计策略。对观察结果做解释时，还要限定时间、平台和组件范围。

本文引用厂商资料，用于确认产品定位、历史和公开功能；引用本机事实，用于说明特定部署实际出现的状态。正文中的假设情境用于解释机制，不是个人日志摘录。原始抓包、重组流、解码内容和含真实部署标识的本地证据不随公开文章发布。

如何评价这类客户端

IP-guard 的公开产品设计涵盖终端行为记录、内容检查、操作控制和远程管理。本案例也证实，它在 Linux 上建立了常驻的高权限服务、桌面和文件处理结构，并实际向管理端发送应用日志，同时接收策略同步。

对用户影响最大的，是数据处理范围、规则联动和查看权限。程序名与标题可以形成活动时间线，屏幕记录可以保留可见内容，内容检测可以接触未打开的文件，备份可以形成另一份正文副本，规则和报表则可以继续关联这些数据。每一层都需要具体的启用状态与管理边界。

目前最有把握的本机结论，是应用日志已经上传、策略交互确实存在、相关能力组件已部署，以及若干具体系统配置发生变化。是否正在连续录像、监控某个私人通讯软件、上传完整文件或记录所有密码，仍不能从现有证据认定。

评价这种客户端，应同时看企业为何部署、用户知道哪些范围、技术实际做了什么，以及管理员怎样使用和保管记录。商业产品的身份说明它是一套有公开用途的工具；一次具体部署是否合适，最终仍取决于这些可核验的事实。

查看正文来源索引

1. 来源：溢信科技发展历程
2. 来源：厂商关于跨平台终端管理的说明
3. 来源：IP-guard 终端安全管理产品介绍
4. 来源：IP-guard 系统架构
5. 来源：应用程序管控
6. 来源：网页浏览管控
7. 来源：屏幕监控
8. 来源：触发式屏幕记录的历史说明
9. 来源：文档操作管控
10. 来源：敏感内容识别
11. 来源：即时通讯管控
12. 来源：邮件管控
13. 来源：文档打印管控
14. 来源：移动存储管控
15. 来源：设备管控
16. 来源：网络控制
17. 来源：Mozilla NSS 官方信任常量
18. 来源：资产管理
19. 来源：远程维护
20. 来源：风险审计报表
21. 来源：基本功能中的管理员权限和审计说明
22. 来源：IP-guard 常见问题
23. REA 项目

文章说明：真实内网地址、个人帐号、私有日志内容和固定协议密钥未写入公开稿；原始证据不随文章发布。