ReFS是Windows下防止静默损坏的核心文件系统，默认启用SHA-256校验的完整性流，结合Storage Spaces可自动修复损坏；Linux则依赖AIDE、Tripwire等工具建立离线基线并持续比对。
系统文件完整性保护，核心是防止静默损坏、恶意篡改和介质失效导致的数据失真。它不是加一道密码或开一个开关就能解决的事，而是一套覆盖写入、存储、传输、备份与监控的闭环机制。
用对文件系统，从底层堵住静默损坏
Windows 环境下优先选用 ReFS（弹性文件系统），而非 NTFS。ReFS 默认启用“完整性流”，为每个数据块自动生成并校验 SHA-256 校验和。一旦发现损坏（比如 SSD 位翻转、RAID 重建出错），系统可自动从镜像副本或奇偶校验中修复。
- 部署前提：Windows Server 2016 及以上；推荐搭配 Storage Spaces 或 S2D 使用
- 关键操作：创建卷时务必勾选“启用完整性流”；若用三副本或双奇偶校验，修复更可靠
- 注意兼容性：ReFS 不支持文件压缩、BitLocker 加密（但可用全盘 BitLocker）、磁盘配额和短文件名
Linux 下靠工具建基准、盯变化
Linux 没有内置类似 ReFS 的机制，需依赖外部工具建立可信基线并持续比对。主流选择包括 AIDE、Tripwire 和 rpm -V。
- AIDE 适合合规强场景：首次运行
aide --init生成数据库，把数据库移出服务器存到只读介质或加密云存储 - Tripwire 更重策略灵活性：通过编辑
/etc/tripwire/twpol.txt精确控制监控路径、忽略日志等动态文件 - 轻量级方案：对 RPM 包管理的系统，每天执行
rpm -Va | grep '^..5'可快速筛查被改的二进制或配置文件
不止查，还要能回溯和恢复
校验只是第一步，真正起作用的是“检测+响应+恢复”链条。
- Windows：配合 VSS 快照（每15–60分钟一次）+ SMB 加密传输 + Defender FIM 实时告警
- Linux：AIDE/Tripwire 检测到异常后，应自动发邮件/SMS，并关联 Zabbix 或 Prometheus 触发工单
- 通用原则：所有校验基线必须离线保存；快照/备份必须每月做一次真实还原测试，验证可用性
权限与访问控制不能缺位
完整性保护不是孤岛，必须和最小权限、访问控制协同生效。
- 禁用 root 直接登录，用 sudo 分权；关键配置文件（如
/etc/passwd、/etc/ssh/sshd_config）设为 644 或更低权限 - Windows 上关闭不必要的共享、禁用 SMBv1、启用 SMB 签名与 AES-256-GCM 加密
- 用
chattr +i锁定极少数绝对不可改的文件（如/etc/shadow），但要配套lsattr定期巡检
