首先安装aiDE工具并初始化数据库，随后配置监控策略、定期检查文件完整性，及时更新数据库以确保检测有效性。

在Linux系统中部署入侵检测系统（Intrusion Detection System, IDS）是提升服务器安全的重要手段。它能实时监控异常行为、文件篡改、未授权访问等潜在威胁。下面介绍如何在Linux上设置一个实用的入侵检测系统，主要以开源工具AIDE（Advanced Intrusion Detection Environment）为例进行说明。

安装AIDE入侵检测工具

AIDE通过创建系统文件的指纹数据库（如MD5、SHA1、权限、大小等），后续定期比对当前状态与原始快照，发现不一致即提示可能被入侵。

在主流Linux发行版中，可通过包管理器安装：

• Ubuntu/Debian：sudo apt install aide aide-common
• CentOS/RHEL：sudo yum install aide 或 sudo dnf install aide（新版）

安装完成后，AIDE的主配置文件位于 /etc/aide.conf，数据库默认存于 /var/lib/aide/aide.db。

初始化AIDE数据库

首次使用前需生成基准数据库，确保系统处于干净、可信状态。

运行以下命令创建初始快照：

sudo aide –init

该命令会在 /var/lib/aide/ 目录下生成名为 aide.db.new 的数据库文件。将其重命名为正式数据库：

sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

这一步非常关键，必须在系统刚安装或确认无异常时完成。

配置AIDE检测策略

编辑配置文件自定义监控范围和规则：

sudo nano /etc/aide.conf

常见配置示例：

• /etc p+i+n+u+g+s+m+c+md5 —— 监控/etc目录下的权限、inode、用户、组、大小、修改时间、内容和MD5值
• /bin p+i+n+u+g+s+m+c+sha256 —— 使用SHA256校验/bin中的关键命令
• !/tmp —— 忽略/tmp目录（频繁变动）

可根据实际需求添加或排除特定路径，避免误报。

AGI-Eval评测社区

AI大模型评测社区

63

查看详情

定期执行检测并查看报告

手动运行一次完整性检查：

sudo aide –check

若系统无变化，应返回“Looks OK”；若有文件变更，会列出详细差异。

建议将检测任务加入cron定时执行，例如每天凌晨检查：

sudo crontab -e

添加如下行：

0 3 * * * /usr/bin/aide –check | mail -s “AIDE Report” admin@example.com

这样可自动发送检测结果到指定邮箱，便于及时响应异常。

更新数据库与维护

当系统正常升级或配置变更后，需更新AIDE数据库，否则下次检查会报警。

更新命令：

sudo aide –update

然后替换旧数据库：

sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

注意：仅在确认变更合法后才执行此操作，防止掩盖攻击痕迹。

基本上就这些。AIDE轻量且高效，适合大多数Linux服务器环境。配合日志审计（如auditd）和防火墙策略，可构建基础但有效的纵深防御体系。关键是保持数据库更新、定期审查报告，才能真正发挥入侵检测的作用。