关键在于用系统自带工具串联“生成基准—定期比对—异常响应”三步：Windows用PowerShell脚本+任务计划器监控System32关键文件，或certutil批处理盯少数核心可执行文件；Linux用sha256sum+cron校验/etc、/boot等目录；所有方案均需保护基准文件、记录时间戳、自动补查并禁用MD5/SHA1。
直接用系统自带工具就能做，关键不是装新软件，而是把“生成基准”“定期比对”“发现异常后响应”这三步串起来。
Windows：PowerShell 脚本 + 任务计划器
适合监控 System32 下一批 DLL 或 EXE 文件，比如 lsass.exe、net.exe、kernel32.dll 等。
- 首次运行生成基准清单（管理员身份运行）：
Get-ChildItem "C:\Windows\System32\*.dll", "C:\Windows\System32\*.exe" -Force -Include lsass.exe,net.exe,cmd.exe | ForEach-Object { $h = Get-FileHash $_.FullName -Algorithm SHA256; [PSCustomObject]@{Path=$_.FullName; SHA256=$h.Hash; LastWriteTime=$_.LastWriteTime} } | Export-Csv C:\audit\baseline.csv -NoTypeInformation
- 后续校验脚本（verify.ps1）读取 baseline.csv，逐个重算 SHA256 并比对；不一致时写入 alerts.log，并附上当前时间戳：Get-Date -Format "yyyy-MM-dd HH:mm:ss"
- 把 verify.ps1 加入 Windows 任务计划程序，设为每天凌晨 2 点以最高权限自动运行
- 注意排除 WinSxS 目录（它会随系统更新频繁变动），也别校验正在被加载的文件（如 lsass.exe 可能被占用，可加 try/catch 跳过）
Windows：certutil 批处理（轻量级盯少数关键文件）
如果只关注三五个核心可执行文件，certutil 更快、不依赖 PowerShell 执行策略，适合老旧或受限环境。
- 新建 check.bat，硬编码干净系统中提取的 SHA256 值（例如 net.exe 的预期值是 a1b2c3...f0）：
@echo off
for /f "tokens=2" %%i in ('certutil -hashfile "%windir%\System32\net.exe" SHA256 ^| findstr ":"') do set ACTUAL=%%i
if not "a1b2c3...f0"=="%ACTUAL%" echo [ALERT] net.exe changed at %date% %time% >> C:\audit\alerts.log
- 复制粘贴几段类似逻辑，覆盖 cmd.exe、powershell.exe、lsass.exe
- 同样用任务计划器定时执行，无需管理员权限也能读取多数系统可执行文件
Linux：sha256sum + cron 定期比对
适合验证 /etc、/boot、/usr/bin 下的关键配置与二进制文件。
- 首次在可信状态下生成校验存档（建议存到只读挂载点或离线备份）：
sha256sum /etc/passwd /etc/shadow /boot/vmlinuz-* /usr/bin/{ls,cp,mv} > /mnt/secure/filesums.sha256
- 写校验脚本 check.sh，调用 sha256sum -c /mnt/secure/filesums.sha256 2>/dev/null | grep -v ": OK$"，只输出失败项
- 加入 cron 每日凌晨运行：0 2 * * * /usr/local/bin/check.sh >> /var/log/integrity.log 2>&1
- 校验文件本身要防篡改——可用 chattr +i 锁定 filesums.sha256，或配合 auditd 监控其访问行为
通用增强建议
光比哈希不够，得让结果可追溯、可响应。
- 每次校验日志都带精确时间戳，方便定位变更发生窗口
- 发现异常时，脚本能自动补查：用 ls -l 看文件修改时间、stat 查 inode 变更、lsof 或 tasklist /m 看是否被进程占用
- SHA256 是当前推荐标准，MD5 和 SHA1 已不适用于安全场景，避免混用
- 基准哈希必须从已确认干净的系统中提取，且清单文件应独立保护（只读属性、独立存储、甚至 GPG 签名）
