别等被黑了才后悔：openEuler 的入侵检测实战指南

如果你也在用 openEuler 搭系统，那我想提醒一句：

别以为系统能跑得稳，就一定跑得安全。

尤其是现在，国产操作系统越来越多被部署在政企、能源、通信、交通等关键场景，一旦被入侵，轻则挖矿卡顿，重则核心数据被窃取甚至瘫痪业务。

今天我们就来聊聊——openEuler 下怎么做入侵检测？怎么把“风险预警”跑在入侵之前？

本文不讲抽象的大道理，只讲你今天下班前就能用得上的实战方法。

一、入侵检测，到底防的是什么？

在正式动手之前，我们得先搞清楚，我们到底在“防谁”？

简单分两类：

• 外部攻击者：端口扫描、爆破SSH、上传WebShell、提权、数据窃取
• 内部风险操作：误删系统文件、频繁创建用户、非法权限更改、异常提权

很多人以为只有外部攻击才叫“入侵”，其实误操作、配置走样、未授权脚本运行——这些都在安全红线的边缘疯狂试探。

所以我们要做的，是尽量在系统“中招”之前预警；在“被伤害”之前报警。

二、openEuler 上我们能用哪些入侵检测工具？

别看 openEuler 是国产系统，但兼容性、生态这一块做得真不错。以下这几款安全工具都能顺利运行：

接下来我们重点聊一聊：如何用 AIDE + Auditd + 自定义告警机制，在 openEuler 实现一套入侵检测实践。

三、第一招：用 AIDE 监控系统文件变化（比如被偷偷改了 sshd）

AIDE（Advanced Intrusion Detection Environment）是一种轻量但实用的文件完整性检测工具，能监控文件内容、权限、哈希等变化。

你可以用它监控以下目录：

• /etc（配置文件）
• /usr/bin（系统命令）
• /lib/modules（内核模块）
• /home（用户家目录）

AIDE 工作原理很简单：

1. 初始化系统快照（生成 baseline）
2. 定期检查与 baseline 的差异
3. 报告任何变化（包括修改、权限变更、新增/删除）

比如你执行一次“全局检测”，效果如下：

aide --check

如果发现 /usr/bin/ssh 被修改，而你根本没动过它，那就该警觉了。

你甚至可以用 crontab 每天定时跑一次：

0 3 * * * /usr/bin/aide --check | mail -s "openEuler 入侵检测日报" admin@example.com

四、第二招：用 Auditd 监听“敏感行为”，例如有人执行了sudo su或篡改了passwd

Auditd 是 Linux 内核级别的审计系统，openEuler 默认支持。它可以记录：

• 谁执行了什么命令？
• 修改了哪个文件？
• 提升了什么权限？

设置一个监控规则：监听是否有用户修改了 /etc/passwd

auditctl -w /etc/passwd -p wa -k passwd-change

含义：

• -w：watch某个文件
• -p：权限（write, attribute change）
• -k：自定义关键字，用于过滤日志

再搭配查看命令：

ausearch -k passwd-change

你甚至可以写个Python脚本把这些行为过滤后发邮件/发钉钉预警。

五、第三招：Fail2Ban + 系统日志 + shell 命令审计，组合出“自己的入侵检测方案”

对于轻量环境，不一定非得堆满安全软件。你完全可以用以下组合拳打基础检测：

1. 日志文件轮询 + 关键字告警

grep "Failed password" /var/log/secure | tail -n 10

结合 Python 或 Shell 脚本轮询，发现连续失败超过3次的 IP，就写入 iptables 封锁。

2. Bash 历史记录归档 + 时间戳审计

启用时间戳+记录用户每条命令的行为，便于后期回溯：

export HISTTIMEFORMAT="%F %T "

还可以将 .bash_history 定期上传服务器备份做“内部操作合规性审查”。

六、经验之谈：别把安全当成“上线后的事”

很多开发团队习惯了“能跑起来就行”，结果真正出事的那一天才开始慌张地“补日志、查痕迹、复盘、加白名单”——这时已经晚了。

我建议你哪怕现在项目很小，也别忽略基础的入侵检测设置：

• 至少部署一套 AIDE + Fail2Ban；
• 管理员操作做审计、敏感文件设监听；
• 自研轻量脚本进行系统行为的采样记录。

安全就像吃饭，你不一定天天都吃鲍参翅肚，但基本营养得跟上。不然你表面光鲜，系统底下已经被黑客铺满了矿机。

七、结语：安全不靠“怕”，靠“做”

openEuler作为国产操作系统，天生在安全架构上就注重可信性、最小权限、模块隔离，但无论多安全的系统，只要跑在开放网络下，一天不上锁，就有一天被推门而入。

所以，我们做入侵检测，不是为了恐吓自己，而是为了让系统“发烧前打喷嚏，发烧后能吃药，不至于直接ICU”。