新手怎么通过监控/proc/sys目录的变化发现内核参数篡改-安全-PHP中文网

新手可通过auditd、inotifywait或快照比对三种低门槛方法监控/proc/sys下关键内核参数写入行为：auditd精确记录时间、进程与用户；inotifywait实现秒级告警；快照比对适合离线审计，重点监控net.ipv4.ip_forward等影响网络、内存及安全的核心参数。

新手怎么通过监控/proc/sys目录的变化发现内核参数篡改

新手可以通过监控 /proc/sys 目录下关键文件的写入行为，及时发现内核参数被意外或恶意修改。这类篡改往往不触发日志记录，但会直接影响网络、内存、安全等核心功能（比如 net.ipv4.ip_forward=0 导致容器网络中断）。下面介绍几种门槛低、无需编译内核、适合初学者上手的方法。

用 auditd 实时记录写入操作

Linux 自带的 auditd 是最简单可靠的检测手段，它能精确捕获对指定 sysctl 文件的写入事件，并留下完整时间戳、进程名和用户信息。

安装并启用 auditd（多数发行版已预装）：
sudo systemctl enable --now auditd
添加监控规则，例如盯住 IP 转发开关：
sudo auditctl -w /proc/sys/net/ipv4/ip_forward -p w -k sysctl_ipforward
触发一次修改测试：
echo 0 | sudo tee /proc/sys/net/ipv4/ip_forward >/dev/null
立即查日志：
sudo ausearch -k sysctl_ipforward | aureport -f -i
你会看到类似 “comm=tee pid=1234 uid=0 auid=1000” 的记录，清楚标明谁、何时、用什么命令改的。

用 inotifywait 搭建轻量级告警脚本

如果系统没装 auditd 或权限受限，可用 inotify-tools 实现秒级响应。它不记录历史，但能立刻弹出提示或发邮件。

安装工具：
sudo apt install inotify-tools（Debian/Ubuntu）或
sudo yum install inotify-tools（CentOS/RHEL）
监控单个参数（如 TCP 队列长度）：
inotifywait -m -e modify /proc/sys/net/core/somaxconn | while read line; do echo "[ALERT] somaxconn changed at $(date)"; logger "sysctl somaxconn modified"; done
把这行命令放进后台运行（加 &），或写成 systemd service 长期守护。

定期比对快照识别异常变更

对不常变动的关键参数，可每天自动保存一份“可信快照”，再用 diff 检查差异。适合离线审计或无 root 权限但能读取 /proc/sys 的场景。

生成初始快照（存为 /var/log/sysctl_baseline.txt）：
sudo sysctl -a | grep -E '^(net\.ipv4\.ip_forward|vm\.swappiness|net\.core\.somaxconn)' | sort > /var/log/sysctl_baseline.txt
写个简易校验脚本：
diff -q /var/log/sysctl_baseline.txt
若输出 “Files differ”，说明至少一个参数已变；配合 cron 每小时执行一次，结果重定向到日志即可追踪变化节奏。