首先安装aide工具并初始化数据库，随后配置监控策略、定期检查文件完整性，及时更新数据库以确保检测有效性。
在Linux系统中部署入侵检测系统（Intrusion Detection System, IDS）是提升服务器安全的重要手段。它能实时监控异常行为、文件篡改、未授权访问等潜在威胁。下面介绍如何在Linux上设置一个实用的入侵检测系统，主要以开源工具AIDE（Advanced Intrusion Detection Environment）为例进行说明。
安装AIDE入侵检测工具
AIDE通过创建系统文件的指纹数据库（如MD5、SHA1、权限、大小等），后续定期比对当前状态与原始快照，发现不一致即提示可能被入侵。
在主流Linux发行版中，可通过包管理器安装：
- Ubuntu/Debian：sudo apt install aide aide-common
- CentOS/RHEL：sudo yum install aide 或 sudo dnf install aide（新版）
安装完成后，AIDE的主配置文件位于 /etc/aide.conf，数据库默认存于 /var/lib/aide/aide.db。
初始化AIDE数据库
首次使用前需生成基准数据库，确保系统处于干净、可信状态。
运行以下命令创建初始快照：
sudo aide --init该命令会在 /var/lib/aide/ 目录下生成名为 aide.db.new 的数据库文件。将其重命名为正式数据库：
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db这一步非常关键，必须在系统刚安装或确认无异常时完成。
配置AIDE检测策略
编辑配置文件自定义监控范围和规则：
sudo nano /etc/aide.conf常见配置示例：
- /etc p+i+n+u+g+s+m+c+md5 —— 监控/etc目录下的权限、inode、用户、组、大小、修改时间、内容和MD5值
- /bin p+i+n+u+g+s+m+c+sha256 —— 使用SHA256校验/bin中的关键命令
- !/tmp —— 忽略/tmp目录（频繁变动）
可根据实际需求添加或排除特定路径，避免误报。
定期执行检测并查看报告
手动运行一次完整性检查：
sudo aide --check若系统无变化，应返回“Looks OK”；若有文件变更，会列出详细差异。
建议将检测任务加入cron定时执行，例如每天凌晨检查：
sudo crontab -e添加如下行：
0 3 * * * /usr/bin/aide --check | mail -s "AIDE Report" admin@example.com这样可自动发送检测结果到指定邮箱，便于及时响应异常。
更新数据库与维护
当系统正常升级或配置变更后，需更新AIDE数据库，否则下次检查会报警。
更新命令：
sudo aide --update然后替换旧数据库：
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db注意：仅在确认变更合法后才执行此操作，防止掩盖攻击痕迹。
基本上就这些。AIDE轻量且高效，适合大多数Linux服务器环境。配合日志审计（如auditd）和防火墙策略，可构建基础但有效的纵深防御体系。关键是保持数据库更新、定期审查报告，才能真正发挥入侵检测的作用。
