服务器入侵检测系统搭建：零基础搭建服务器入侵检测系统（
为什么要给服务器搭入侵检测系统
服务器被入侵后，攻击者通常会修改系统文件、添加后门或替换关键程序。
如果没有入侵检测系统，你可能几周甚至几个月都发现不了。AIDE（Advanced Intrusion Detection Environment） 是一款轻量级的文件完整性检查工具，它能给重要文件生成指纹（哈希值），定期对比，一旦文件被改动立刻报警。
整个过程不需要复杂编程，适合零基础运维新手。
准备一台能跑 AIDE 的服务器
一台运行 Ubuntu 20.04+ 或 CentOS 7+ 的服务器，拥有 root 权限。
如果你用的是云服务器（阿里云、腾讯云、华为云等），通过 SSH 登录即可。
本地虚拟机也行。
确保服务器可以正常联网（安装时需要从软件源下载 AIDE 包）。
分步安装和初始化 AIDE
1. 安装 AIDE
Ubuntu/Debian 系：
apt update && apt install aide -yCentOS/RHEL 7/8 系：
yum install aide -y安装成功后，输入 aide version 检查是否显示版本号。
如果提示“command not found”，检查软件源或尝试 apt install aide-common（Ubuntu 有时需要）。
2. 配置需要监控的目录和文件
AIDE 的配置文件是 /etc/aide/aide.conf（Ubuntu）或 /etc/aide.conf（CentOS）。
默认配置已经包含了 /etc, /bin, /sbin, /usr 等关键目录。
对于新手，直接使用默认配置即可。
如果你想自定义，可以复制一份：
cp /etc/aide/aide.conf /etc/aide/aide.conf.bak然后在配置文件中追加你需要监控的目录，比如：
/var/www/html CONTENT_EX这条规则表示监控 /var/www/html 目录的文件内容变化（CONTENT_EX 包含权限、大小、SHA256 等）。
3. 初始化数据库
执行以下命令生成初始的数据库文件：
sudo aideinit等待几分钟（取决于服务器文件数量和性能）。
完成后会在 /var/lib/aide/ 下生成类似 aide.db.new 的文件。
重命名为 aide.db：
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db注意：每次修改配置文件后，都需要重新初始化数据库。
4. 手动执行一次检查
运行检查命令：
sudo aide --check如果没有输出任何差异，说明系统文件目前是干净的。
如果有输出差异列表，仔细阅读，确认是你自己改动的文件（比如更新了软件包）还是可疑修改。
避坑指南与高频问题解答
Q1：初始化数据库时卡住不动怎么办？
A：检查磁盘 IO 是否过高，或者先停止其他备份工具。也可以先缩小监控范围，用 --config-dir 指定更精简的配置。
Q2：每次软件更新后 AIDE 都报警？
A：很正常，软件包更新会修改 /usr/bin 或 /etc 下的文件。最佳实践是：更新系统后，重新生成数据库：
sudo rm /var/lib/aide/aide.db
sudo aideinit
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.dbQ3：AIDE 的数据库文件被攻击者篡改怎么办？
A：把数据库文件和检查结果存储在只读介质或离线备份。比如刻录到光盘，或者保存在另一台安全的主机。生产环境中，建议将数据库文件放到 /root/aide/ 并设置 400 权限：
sudo chmod 400 /var/lib/aide/aide.dbQ4：能自动发送告警邮件吗？
A：可以配合 cron 和 mailx。先安装 mailutils，然后添加 cron 任务：
0 2 * * * /usr/sbin/aide --check | mail -s "AIDE Daily Check" admin@example.com注意路经因发行版而异。
效果验证：自己模拟一次入侵
为了检验系统是否正常工作，我们手动修改一个监控范围内的文件，再运行检查。
- 修改 Nginx 默认首页（假设你装了 Nginx）：
echo "Hacked by test" > /var/www/html/index.html- 执行入侵检测：
sudo aide --check- 你会看到类似下面的输出：
Changed files:
/var/www/html/index.html (changed)还会显示具体改动前和改动后的哈希值。
就算攻击者改了文件权限、时间戳，AIDE 也能通过内容指纹（SHA256）发现。
验证成功后，记得恢复原始文件：
# 如果是测试，重新安装 Nginx 或从备份恢复至此，你的服务器入侵检测系统就搭建完成了。
建议每周执行一次自动检查，并把结果发送到邮箱。
随着你对安全运维越来越熟悉，再把 AIDE 和 OSSEC、Wazuh 等更高级的工具组合使用，构建多层防线。
