文件完整性监控的落地

发布时间:2026-06-27 09:30

## 适用场景 网页被挂暗链、系统命令被替换、计划任务里多了一行陌生命令，入侵后的持久化动作几乎都会改动文件。文件完整性监控通过基线与定期比对发现这些改动，适合作为服务器安全体系的兜底层：前面的防线都被绕过时，它负责让改动被看见。 ## 步骤清单 第一步圈定监控范围，不求全量，聚焦三类关键位置：网站根目录与可执行目录、系统命令与库文件目录、计划任务与服务配置。范围过大告警会淹死人，范围精准才有执行力。第二步建立基线，对范围内文件计算摘要值并保存基线文件。 ```bash find /var/www -type f -exec sha256sum {} + | sort -k2 > baseline_www.sha256 ``` 第三步定期比对，巡检任务用基线核对当前状态，新增、删除、变更都输出差异。第四步接告警，差异结果接入监控告警通道，有人响应才算监控，定期变更的文件单独建基线或排除，避免噪音。 ## 验证方法 上线后做一次真实验证：手工在某监控目录新增一个文件、修改一个页面，等待下一次比对周期，确认两条差异都被报告且有人跟进。再验证基线修复流程：确认变更合法后重建基线，避免同一差异重复告警。 ## 注意事项 基线文件自身要防篡改，存放在只读位置或异地保存，比对脚本从可信位置取基线。业务正常发布会产生大量差异，发布流程与基线更新流程要衔接，发布后立即重建对应基线。顺云控制台的监控告警可以作为差异通知的出口，配合快照在重大差异出现时快速回滚，监控发现与恢复手段连成一套。 监控范围每季度复核一次，业务上新路径、部署方式调整，都会让关键目录悄悄变化，范围陈旧的监控会漏掉真正的要害，告警再及时也白搭。差异处置也要有流程：可疑差异先隔离取证，确认入侵再全面排查，正常变更则走基线更新，两条路径不混用。