核心要点（TL;DR）

• 主机安全是防火墙、HIDS、EDR三层能力的组合，不是单一产品。
• 防火墙管流量准入，HIDS管文件与登录审计，EDR管进程行为与响应。
• 部署顺序建议先防火墙收敛端口，再上HIDS，最后补EDR。
• 判断告警来源先看日志层：网络层、审计层还是进程层。

很多运维同学被问到「主机安全是什么」时，第一反应是装个杀毒或者开个防火墙，结果真出问题时告警一堆却说不清是哪一层报的。本文按网络层、审计层、进程层拆开讲，给出可直接执行的命令和部署顺序，帮你把边界划清楚。

一、主机安全的三层边界：先分清谁管什么

主机安全不是单一产品，而是三层能力的组合。理解边界，才能避免重复采购和告警误判。

三者是纵深关系，不是替代关系。只做其中一层，都会留下明显盲区。

二、主机防火墙：先把可达面收窄

绝大多数入侵第一步是扫端口。先把暴露面压到最小，后续检测才有意义。

用 firewalld 做基础收敛：

firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --remove-service=cockpit
firewall-cmd --reload
firewall-cmd --list-all

用 iptables 限制 SSH 来源并记录丢弃包：

iptables -A INPUT -p tcp --dport 22 -s 203.0.113.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j LOG --log-prefix "SSH-DROP: "
iptables -A INPUT -p tcp --dport 22 -j DROP

检查当前监听端口，确认没有多余服务对外：

ss -tulnp | grep -v 127.0.0.1

注意：云安全组与主机防火墙要同时配置，前者管实例外层，后者管系统内部，缺一不可。

三、HIDS：把登录和文件变更变成可追溯记录

HIDS 的价值在于「事后能查、事前能警」。没有审计记录，应急响应基本靠猜。

开启 auditd 监控关键目录与提权行为：

auditctl -w /etc/passwd -p wa -k passwd_change
auditctl -w /etc/sudoers -p wa -k sudoers_change
auditctl -w /root/.ssh -p wa -k ssh_key_change
aureport -k passwd_change -i

登录审计重点看失败与异常来源：

lastb | head -20
grep "Failed password" /var/log/auth.log | awk '{print }' | sort | uniq -c | sort -rn | head

文件完整性可用 aide 或 rpm 校验做基线对比，首次生成基线后定期复核，任何非预期变更都应能解释来源。

四、EDR：从进程链看真实行为

EDR 解决的是 HIDS 看不到的问题：无文件攻击、内存马、脚本下载执行、横向移动。核心是进程创建事件与父子关系。

没有 EDR 时，可用系统工具做最低限度排查：

ps -eo pid,ppid,user,cmd --sort=-%cpu | head -20
cat /proc/<pid>/cmdline | tr '
' ' '
ls -l /proc/<pid>/exe

重点看三类异常：Web 服务进程派生出 shell、临时目录下的可执行文件、命令行里带 base64 或 curl 管道执行。发现可疑进程先保留现场再处置：

cp /proc/<pid>/exe /tmp/evidence_$(date +%s)
kill -STOP <pid>

在防护建议上，AegisX 的进程行为检测与一键隔离能力可覆盖这一层，适合没有专职安全团队的中小规模环境。

五、部署顺序与验收清单

推荐顺序：先防火墙收敛端口，再上 HIDS 建审计基线，最后补 EDR 做行为检测。每步验收通过再进入下一步。

• 对外监听端口已核对，仅保留业务必需项
• SSH 已禁用密码登录，改用密钥并限制来源
• auditd 规则覆盖 passwd、sudoers、SSH 目录
• 登录失败日志可按 IP 聚合统计
• 关键目录有文件完整性基线并可复核
• 可疑进程可定位 exe 路径与父进程

行动建议

今天就做三件事：用 ss -tulnp 核对暴露端口，用 auditctl 给关键文件加上监控，用 ps -eo pid,ppid,cmd 建立一次进程基线。三层边界清楚后，再评估是否需要引入 EDR 补齐进程层能力，避免为重复功能付费。

常见问题（FAQ）

主机安全是不是装个杀毒软件就够了？

不够。杀毒软件偏文件特征匹配，对无文件攻击、内存马和横向移动几乎无效。主机安全需要三层配合：防火墙限制可达端口，HIDS监控登录与文件变更，EDR追踪进程链并支持隔离处置。只装杀毒软件会留下大量盲区，尤其是Linux服务器场景。

HIDS和EDR到底有什么区别，会不会重复建设？

两者侧重点不同。HIDS以日志和文件完整性为核心，回答“什么被改了、谁登录了”；EDR以进程和行为链为核心，回答“谁在执行什么、是否恶意、如何阻断”。二者有交集但不可互替，预算有限时可先上HIDS满足合规审计，再按风险补EDR。

主机防火墙和云安全组需要同时配置吗？

需要，但职责不同。云安全组作用于实例外层网络，主机防火墙作用于操作系统内部，二者是纵深关系。常见错误是只配安全组就放行全部端口，一旦实例被横向访问就失去第二道闸。建议安全组只开必要端口，主机侧再用firewalld或iptables做一次收敛。

怎么快速判断一条告警来自哪一层？

看日志来源即可。出现在内核netfilter或安全组日志中的属网络层；出现在auditd、syslog登录记录、文件完整性校验中的属HIDS层；出现在进程创建、命令行参数、父子进程关系中的属EDR层。先定位层级，再查对应配置，能显著缩短排查时间。

小团队没有预算，主机安全怎么起步？

优先做三件事：关闭公网高危端口并限制来源IP，开启auditd记录关键目录与提权命令，配置SSH禁止密码登录改用密钥。这三步全部用系统自带工具完成，零成本即可覆盖大部分入侵入口。后续再按业务重要性逐步引入商业HIDS或EDR能力。