内容摘要：主机入侵检测 凌晨三点，某电商平台的数据库服务器突然开始向外发送大量加密数据包。防火墙日志显示源IP是内网合法地址，流量却指向一个位于东欧的陌生IP。安全团队花了四十分钟才确认——攻击者早在两周前就通

主机入侵检测

凌晨三点，主机某电商平台的入侵数据库服务器突然开始向外发送大量加密数据包。防火墙日志显示源IP是检测内网合法地址，流量却指向一个位于东欧的主机陌生IP。安全团队花了四十分钟才确认——攻击者早在两周前就通过一个未修补的入侵漏洞拿到了root权限，期间还顺手关闭了系统自带的检测审计日志。

这就是主机主机入侵检测的战场。它不关心你网络边界上挡了多少次扫描，入侵它只盯着主机内部：谁登录了？检测执行了什么命令？改了哪些文件？这些行为层面的蛛丝马迹，才是主机入侵检测的核心。网络防火墙像小区门口的入侵保安，而主机检测是检测装在你家里的摄像头——哪怕坏人已经进了门，它还能记录下对方翻了哪个抽屉。主机

传统做法是入侵装agent，采集系统日志、检测进程调用、文件完整性信息，再送到中央平台用规则匹配。规则写得细，误报就多；写得粗，漏报就严重。我见过某银行的安全团队每天处理上万条告警，其中99%是开发人员半夜发版触发的“异常行为”。后来他们学聪明了，给每台主机打上业务标签，数据库服务器的告警阈值调高，开发测试机直接降级为“仅记录”。

真正的高明做法是看行为链。单看一条“root用户执行了vim”毫无意义，但如果同一用户在凌晨两点先通过SSH登录，接着加载了内核模块，然后修改了/etc/shadow文件——这条链路就非常可疑。现代入侵检测系统开始用机器学习建立每个主机的“行为基线”，CPU使用率、文件访问频率、网络连接模式都纳入画像。偏离基线不一定就是攻击，但至少值得人工瞄一眼。

有个细节常被忽略：攻击者拿到权限后，第一件事往往是关掉你的安全软件进程。所以检测系统必须做到自身防护足够硬，核心组件跑在独立的内核模块里，普通用户进程连查看它的权限都没有。我见过一次真实对抗，攻击者尝试了六种方法终止检测agent，最后只能放弃，转而用加密隧道外传数据——但流量特征还是被捕捉到了。

别指望一套工具解决所有问题。主机入侵检测的终点是人和流程。告警推给谁？响应时限多长？哪些操作需要双人复核？这些制度设计比任何算法都重要。有次测试团队故意在凌晨三点往生产服务器上传了一个webshell，结果值班人员五分钟内就接到电话，但那位同事以为是误报，直接点了“忽略”就去睡了。第二天数据泄露的消息上了新闻。

主机检测不是装个软件就完事。它需要持续调优，需要理解业务，需要接受误报和漏报的永恒博弈。但如果你连主机内部发生什么都不知道，那所谓的网络安全，不过是自欺欺人地锁好大门，却任由窗户敞开着。