云服务器入侵检测怎么开启？手把手教你从0到告警

某天你发现服务器CPU莫名跑满、SSH日志里一堆陌生IP在试密码、网站还被挂了马——别问我是怎么知道的，很多站长都是出事才想起来“入侵检测”这回事。本文就解决一个问题：云服务器入侵检测到底怎么开、开哪些、怎么让它真能报警。适合国内站长、开发者和没有专职安全的中小企业，步骤照着做就行。

核心教程：5步把入侵检测开起来

第1步：先分清两层防护，别只开一半

云服务器入侵检测通常分两层：一层是云厂商自带的“主机安全/云安全中心”，能看暴力破解、病毒、基线风险、漏洞；另一层是系统里的登录防护和审计工具，比如fail2ban、auditd。建议先开云平台那层，免费版对个人站长通常够用；再补系统层，别只装个防火墙就安心。

第2步：开启云厂商主机安全（以阿里云/腾讯云为例）

登录云控制台，搜“云安全中心”或“主机安全”，进入后授权并安装Agent。轻量服务器一般在实例详情里也能找到“安全防护”。装完确认Agent在线，然后开启入侵检测、病毒防护、基线检查，设置告警接收人（短信/邮件/微信）。其他云厂商叫法不同，逻辑一样：授权→装Agent→开检测→配告警。没装Agent或没授权，等于没开。

第3步：系统层封暴力破解，装fail2ban

先做SSH加固：禁止root远程登录、用普通用户+密钥、可选改端口。然后装fail2ban，Ubuntu用apt install fail2ban，CentOS先装epel再yum install fail2ban。编辑/etc/fail2ban/jail.local：

[sshd]
enabled = true
maxretry = 5
findtime = 10m
bantime = 1h
ignoreip = 127.0.0.1/8 你的办公IP

重启并设开机自启：systemctl enable --now fail2ban，用fail2ban-client status sshd看封禁情况。

第4步：开审计和文件完整性检查

轻量场景用auditd记录关键文件变动，比如：

auditctl -w /etc/passwd -p wa -k passwd_changes
auditctl -w /var/www/html -p wa -k web_changes

要持久化就写进/etc/audit/rules.d/。有运维能力可上AIDE做每日文件校验，或Wazuh做集中告警；小站别贪多，先盯登录、passwd、网站目录和异常进程。

第5步：把告警接到微信/邮箱，并演练一次

在云安全中心和fail2ban通知里填好接收人，设置登录失败、异常进程、webshell、CPU异常等告警。然后故意输错几次SSH密码，看是否封IP、是否收到通知。别等真被入侵才发现告警没配。

避坑提醒：新手常犯的3个错误

只在控制台点了“开启”，没装Agent/没授权，安全中心显示离线，等于白开。
只改SSH端口不封暴力破解，日志照样被刷；fail2ban记得把自己的办公IP加白名单，不然容易把自己关门外。
告警全开但不填接收人、不演练，真出事没人知道；免费版够用就先跑起来，别一上来买一堆用不上的。

解决方案推荐

如果你正在选机器，可以看看沐雨云服务器（https://www.myyvps.com）：提供高防云服务器，单机50-200G DDoS/CC防御；香港/美国/日本免备案VPS，BGP/CN2优质线路、纯SSD固态硬盘；2核2G轻量云12.8元/月起，支持支付宝/微信支付，适合个人博客、电商网站、游戏服务器、外贸独立站。买完先按上面步骤开主机安全Agent、装fail2ban，再把告警接上。