centos防火墙如何进行入侵检测

CentOS 防火墙入侵检测与响应

一、总体思路

1. firewalld/iptables 负责“阻断与放行”，本身不是入侵检测系统（IDS）。要做“入侵检测”，应叠加日志、主动封禁与主机/网络检测三层能力：
   1. 让防火墙输出“被拒绝”的日志；2) 用 Fail2ban 基于日志自动封禁恶意来源；3) 部署 Snort/Suricata（网络层 IDS/IPS）或 AIDE/Tripwire/OSSEC（主机文件完整性/主机 IDS/HIDS）做深度检测与告警。

二、基于防火墙日志的入侵检测

1. 启用并记录被拒绝流量（firewalld）
   1. 记录被拒绝的数据包：sudo firewall-cmd --set-log-denied=xml
   2. 如需记录所有经过防火墙的数据包：sudo firewall-cmd --set-all-log-packets=on
   3. 使配置生效：sudo firewall-cmd --reload
2. 查看与分析日志
   1. 实时查看 firewalld 拒绝日志：journalctl -u firewalld -f
   2. 或：tail -f /var/log/journal/syslog | grep “firewalld”
   3. 若使用 iptables，可添加日志规则并观察系统日志（如 /var/log/messages 或 /var/log/syslog）：iptables -A INPUT -j LOG --log-prefix "iptables_INPUT: "
3. 日志轮转（避免日志过大）
   1. 为系统日志配置 logrotate（示例对 /var/log/journal/syslog 按日轮转保留 7 天）：echo “/var/log/journal/syslog { daily; rotate 7; compress; missingok; notifempty; }” | sudo tee /etc/logrotate.d/firewalld
   2. 确保服务运行：sudo systemctl start logrotate && sudo systemctl enable logrotate
4. 说明
   1. 以上做法让“防火墙的拒绝行为”可被观测，是进行入侵检测的必要基础；真正的“检测”仍需配合日志分析工具或联动封禁组件完成。

三、联动 Fail2ban 做自动封禁

1. 安装与启动
   1. 安装：sudo yum install -y fail2ban
   2. 启动并设为开机自启：sudo systemctl enable --now fail2ban
2. 典型配置（SSH 暴力破解示例）
   1. 编辑 /etc/fail2ban/jail.local 或 /etc/fail2ban/jail.d/sshd.local，加入：[sshd]enabled = trueport = sshfilter = sshdlogpath = /var/log/securemaxretry = 3findtime = 600bantime = 3600
   2. 说明：在 10 分钟内失败 3 次的源 IP 将被封禁 1 小时。
3. 常用运维命令
   1. 查看服务状态：sudo systemctl status fail2ban
   2. 查看监狱与封禁情况：fail2ban-client status；fail2ban-client status sshd
   3. 手动解封：fail2ban-client set sshd unbanip
4. 要点
   1. 仅记录日志不足以阻止攻击，Fail2ban 能基于日志触发防火墙规则，实现“检测 + 自动响应”。

四、进阶 IDS/IPS 与主机入侵检测

1. 网络层 IDS/IPS（Snort / Suricata）
   1. 适合对有明确网段与流量镜像/旁路的环境进行深度包检测与（可选）内联阻断；部署复杂度与资源占用高于 Fail2ban，但检测能力更强。
2. 主机层 HIDS/FIM（AIDE / Tripwire / OSSEC）
   1. 监控关键系统文件与配置的完整性，发现篡改即告警；可与邮件/消息通道联动，适合作为防火墙与网络 IDS 的补充。
3. 实践建议
   1. 结合业务选择组合：对外暴露面大时优先“firewalld + Fail2ban”；对合规与内部威胁要求高的环境叠加“Snort/Suricata + AIDE/Tripwire/OSSEC”。

五、快速加固清单

1. 最小化开放端口（示例仅放行 SSH/HTTP/HTTPS）
   1. sudo firewall-cmd --zone=public --add-service=ssh --permanent
   2. sudo firewall-cmd --zone=public --add-service=http --permanent
   3. sudo firewall-cmd --zone=public --add-service=https --permanent
   4. sudo firewall-cmd --reload
2. 开启防火墙拒绝日志并接入分析
   1. sudo firewall-cmd --set-log-denied=xml && sudo firewall-cmd --reload
   2. journalctl -u firewalld -f 实时观测
3. 启用 Fail2ban 保护 SSH
   1. 使用上文 [sshd] 配置，设置合理的 maxretry/findtime/bantime
4. 持续运维
   1. 定期审查规则与日志、更新系统与软件包、验证备份可用性，形成闭环改进。