文件完整性校验需形成“基准建立→定期扫描→差异告警→人工确认”闭环，核心是聚焦关键路径（如/bin、/etc/passwd、/etc/cron.*等）、用AIDE建立可信基准库、通过cron定时检查并邮件告警，且每次告警须附具体变更详情并人工研判是否合法。

文件完整性校验不是“配完就完事”的功能，而是要形成“基准建立→定期扫描→差异告警→人工确认”的闭环。核心不在于工具多炫酷，而在于校验对象是否关键、基准是否可信、变更是否可追溯。

明确监控范围：只盯真正关键的文件

盲目全盘扫描既耗资源又产生噪音。优先锁定以下几类高风险路径：

• 系统二进制文件：/bin、/sbin、/usr/bin、/usr/sbin（如ls、ps、netstat、ssh等）
• 核心配置文件：/etc/passwd、/etc/shadow、/etc/group、/etc/sudoers、/etc/ssh/sshd_config
• 服务主配置：/etc/nginx/nginx.conf、/etc/httpd/conf/httpd.conf、/etc/my.cnf
• 启动与系统脚本：/etc/init.d/、/etc/systemd/system/、/etc/cron.*

避免纳入日志、临时目录或用户上传目录——这些本就该频繁变动，纳入只会干扰判断。

选择并部署校验工具：AIDE 是 Linux 下最成熟的选择

AIDE（Advanced Intrusion Detection Environment）专为文件完整性设计，支持多种哈希算法（推荐 SHA-256）、权限、属主、扩展属性等全维度比对，且能生成加密数据库防篡改。

基础部署步骤：

Pandas 配置文件报告生成器

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

• 安装：yum install aide（RHEL/CentOS）或 apt install aide（Debian/Ubuntu）
• 初始化基准库：aide --init（生成 /var/lib/aide/aide.db.new.gz）
• 安全迁移基准：mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
• 首次手动检查：aide --check，确认无误后再启用自动任务

注意：基准库必须保存在只读介质或独立安全主机上，防止被攻击者同步删除或覆盖。

自动化扫描与告警：让机器替你盯梢

把校验变成定时任务，并确保异常能及时触达责任人：

• 用 cron 每日凌晨执行：0 3 * * * /usr/bin/aide --check | /usr/bin/mail -s "AIDE Report $(hostname)" admin@example.com
• 更稳妥的做法是将输出写入日志并配合日志分析工具（如rsyslog+ELK），设置规则匹配“AIDE found differences”触发企业微信/钉钉告警
• 严禁将告警直接发到可能被攻陷的邮箱或服务器本地，建议使用独立通知通道（如短信网关、飞书机器人）

每次告警必须附带差异详情（哪些文件变了、变化类型：修改/新增/删除），而不是只说“有变更”——否则等于没告警。

变更确认机制：别让告警沦为背景噪音

收到告警后，不能只看“变了”，而要快速判断“该不该变”：

• 先查变更时间是否匹配运维操作记录（如刚执行过 yum update nginx，那 /usr/sbin/nginx 变更是合理的）
• 用 stat 和 rpm -V（RPM 系统）或 dpkg --verify（Debian 系统）交叉验证文件是否来自官方包
• 对非包管理文件（如自定义脚本、配置），核查 Git 提交记录或 CMDB 变更工单
• 确认为非法变更后，立即隔离主机、回滚文件、溯源入口（查 auth.log、bash_history、进程树）

没有人工确认环节的完整性监控，只是制造一堆待处理的“已读不回”告警。