二、待安装工具

2.1 安装命令（需 sudo）

核心安全（高优先级）
sudo apt install -y fail2ban rkhunter chkrootkit aide aide-common
可选（中优先级）
sudo apt install -y clamav clamav-daemon   # 杀毒
sudo apt install -y auditd audispd-plugins  # 审计

2.2 fail2ban — SSH 防暴力破解

sudo systemctl enable --now fail2ban
配置: /etc/fail2ban/jail.local
默认已保护 SSH，10分钟禁5次失败

2.3 rkhunter — Rootkit 检测

sudo rkhunter --update          # 更新特征库
sudo rkhunter --propupd         # 建立系统基线
sudo rkhunter --check           # 手动扫描
建议 cron: 每天凌晨 3:00 扫描

2.4 AIDE — 文件完整性监控

sudo aideinit                  # 初始化基线（首次运行较慢）
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
sudo aide --check              # 检查变更
建议 cron: 每周日扫描

三、日常安全检查清单

每天自动（daily-check.sh 已覆盖）

每周手动（建议加入）

每月手动

五、应急响应

发现异常进程

ps aux --sort=-%cpu | head -20     # CPU 异常
ps aux --sort=-%mem | head -20     # 内存异常
sudo netstat -tlnp | grep ESTABLISHED  # 异常连接

怀疑被入侵

sudo rkhunter --check --sk         # 快速 rootkit 扫描
sudo chkrootkit                      # 辅助检查
last -20                            # 近期登录
sudo grep "Accepted\|Failed" /var/log/auth.log | tail -50

紧急切断

sudo ufw enable                      # 启用防火墙
sudo ufw default deny incoming       # 拒绝所有入站
逐个开放必要端口
sudo ufw allow 22/tcp

六、NAS 备份安全