一、内核级安全审计工具
auditd Linux内核内置的安全审计子系统，记录用户登录、文件访问、系统调用等关键事件，是基础的安全监控工具。
- 配置示例：通过`auditctl`命令设置监控规则，如`-w /var/log/auth.log -p wa -k login_attempts`监控登录日志。
SELinux/AppArmor
强制访问控制（MAC）机制，通过策略限制进程权限和资源访问，防止未授权操作。
二、文件完整性监控工具
AIDE （Advanced Intrusion Detection Environment）
定期校验文件和目录的散列值，检测未经授权的修改，适用于系统文件保护。
- 使用场景：与Tripwire结合使用，前者检测文件变化，后者监控配置文件修改。
Tripwire
实时监控系统配置文件（如用户账户、权限设置）的变化，支持快速响应异常修改。
三、主机入侵检测系统（HIDS）
OSSEC
提供文件完整性检查、配置审计、系统日志监控及实时告警功能，适合复杂环境。
- 特点：支持多平台，可集成到CI/CD流程中。
Nmap
主要用于网络扫描，但也可辅助审计网络服务配置、开放端口及应用版本，评估网络安全。
四、合规性与配置审计工具
Lynis
开源安全审计工具，扫描系统配置、账户权限、密码策略等，支持漏洞检测和合规性测试。
- 功能：可生成详细报告，辅助制定安全策略。
五、轻量级与特定场景工具
YASAT
资源占用低的轻量级审计工具，适合嵌入式系统或受限环境。
六、网络层辅助工具
Wireshark
网络协议分析工具，用于监控网络流量，辅助检测异常行为（需结合其他工具使用）。
选择建议
基础防护： 优先配置auditd和SELinux； 文件保护
综合方案：OSSEC + Lynis；
网络监控：Nmap + Wireshark。
根据实际需求和技术能力选择工具组合，并定期进行安全审计与系统加固。
