Linux入侵检测方法

前言

本文为总结了几种常见的Linux入侵检测方法，参考了csdn中多篇文章，参考链接放在文末。

个人总结

1进程2端口3日志4流量5计划

查看可疑进程

1. 查看进程数量，运行状态
   命令：top

动态查看进程信息（每三秒更新一次）
2. 查找指定进程
命令：ps aux #列出所有进程。

3.netstat | ss
单独使用的 ss 命令用于显示已建立的网络连接
ss -tnalp

4.lsof
查看文件正在被哪个进程使用
lsof /usr/sbin/vsftpd

lsof -i:21 查看端口对应的进程

查看端口

netstat -p | grep 3306
netstat -anp
显示所有已开放端口

查看日志

系统日志/var/log/messages

动态查看 tail -f /var/log/messages
（tail命令：按照要求将指定的文件的最后部分输出到标准设备；-f 该参数用于监视File文件增长）

安全日志/var/log/secure

记录了安全信息，系统登录，网络连接等信息
查看远程登录失败日志
cat /var/log/secure |grep Failed

查看远程登录成功日志
cat /var/log/secure |grep Accepted

last用户登录信息

last

lastlog 查看登录日志
lastlog

last -a -5 查看最后5条

w 显示谁已登录以及他们正在做什么

pkill 命令

pkill 命令与 kill、killall 十分相似，都是用于杀死（结束）指定进程的命令。不过 kill 是杀掉单个进程，killall 是杀掉所有同名进程，pkill 是杀掉一类进程或者某个用户的所有进程。
常用方法：
1.杀死所有父进程为指定 ID 的进程。
pkill -9 | -KILL | -SIGKILL -P 5323
2.杀死终端 1 下的所有进程。
pkill -t pts/1
3.杀死指定用户的所有进程。
pkill -9 -u alice

计划任务

注意查看是否被恶意改动
使用crontab命令调用crond进程
crontab -l 查看计划任务

crontab -e 编辑计划任务
crontab -r 删除计划任务
tail -5 /var/log/cron 查看计划任务日志

防止日志被恶意删除

使用chattr +a，命令给文件加上a属性：
a 属性， 文件只能增加内容不能减少内容， 不能删除文件；
chattr +a 只能追加，不能删除或减少内容
chattr +a /var/log/secure
lsattr /var/log/secure

查看启动时默认加载文件

/etc/rc.local
cat /etc/rc.local

查看异常流量

iftop动态查看网卡接口流量

iftop是实时流量监控工具，可以用来监控网卡的实时流量
iftop -p 查看端口和主机

文件完整性检查

rpm -V 查看是否被修改

查看程序是否被改动过（改动过有输出信息）

查看文件是否被改动过
rpm -Vf /etc/ssh/sshd_config

参考链接

https://blog.csdn.net/K346K346/article/details/127573349
https://blog.csdn.net/gxy_learning/article/details/122005157
https://blog.csdn.net/sdyu_peter/article/details/106864344