Linux Ubuntu系统防火墙如何检测入侵详细步骤与实例

数码系统

相机 win10

测评 win11

手机智车

华为 Tesla

小米理想

苹果蔚来

游戏软件

LOL 抖音

原神微信

当前位置：首页

网络安全

Linux Ubuntu系统防火墙如何检测入侵详细步骤与实例

热心网友时间：2026-07-14

转载

在系统安全领域，防火墙与入侵检测系统（IDS）往往是配合使用的黄金搭档。一个负责把门，一个负责看家；一个管谁进谁出，一个管进来的人在干坏事没有。下面就来聊聊如何在Ubuntu上把UFW防火墙和各种入侵检测工具结合起来，打造一套立体防线。 Ubuntu防火墙结合入侵检测的核心思路 Ubuntu防火墙（

在系统安全领域，防火墙与入侵检测系统（IDS）往往是配合使用的黄金搭档。一个负责把门，一个负责看家；一个管谁进谁出，一个管进来的人在干坏事没有。下面就来聊聊如何在Ubuntu上把UFW防火墙和各种入侵检测工具结合起来，打造一套立体防线。

Ubuntu防火墙结合入侵检测的核心思路

Ubuntu防火墙（如UFW）本身主要负责访问控制（允许/拒绝流量），而入侵检测需通过专门的工具实现。两者的结合能提升系统安全性：防火墙限制不必要的流量，入侵检测系统（IDS）监控流量中的异常行为，及时发出警报或采取阻断措施。

一、基础准备：配置UFW防火墙

在部署入侵检测前，需先通过UFW限制不必要的入站/出站流量，减少攻击面：

安装与启用UFW：

sudo apt install ufw# 安装UFWsudo ufw enable # 启用防火墙

设置默认策略：拒绝所有未明确允许的入站流量，允许所有出站流量（可根据需求调整）：
```
sudo ufw default deny incomingsudo ufw default allow outgoing
```

允许必要服务：仅开放需要的端口（如SSH、HTTPS）：

sudo ufw allow ssh# 允许SSH（默认端口22）sudo ufw allow https# 允许HTTPS（端口443）

检查规则状态：

sudo ufw status verbose# 查看当前规则及状态

二、常用入侵检测工具及部署方法

1. Fail2Ban：针对暴力破解的实时防护

Fail2Ban通过监控系统日志（如/var/log/auth.log），自动检测多次失败的登录尝试（如SSH暴力破解），并临时封锁恶意IP地址。

安装Fail2Ban：
```
sudo apt install fail2ban
```

配置Fail2Ban：复制默认配置文件并修改（以SSH为例）：

sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.localsudo nano /etc/fail2ban/jail.local

找到[sshd]部分，修改以下参数：

enabled = true# 启用SSH防护maxretry = 3 # 允许的最大失败次数bantime = 600 # 封锁时间（秒，此处为10分钟）findtime = 600# 检测时间窗口（秒）

启动服务：
```
sudo systemctl enable --now fail2ban
```

查看日志：

sudo tail -f /var/log/fail2ban.log# 实时查看拦截记录

2. Suricata：高性能网络威胁检测引擎

Suricata是一款开源的IDS/IPS（入侵检测/防御系统），支持实时流量分析、协议检测、恶意行为识别（如SQL注入、DDoS）。

安装Suricata（推荐通过PPA安装，便于管理）：

sudo add-apt-repository ppa:oisf/suricata-stablesudo apt updatesudo apt install suricata

配置Suricata：编辑主配置文件/etc/suricata/suricata.yaml：
- 设置监控的网络接口（用ip a命令查看，如eth0）：
```
af-packet:- interface: eth0
```
- 指定本地网络范围（HOME_NET，如192.168.1.0/24）：
```
HOME_NET: "[192.168.1.0/24]"
```
- 启用实时规则重载（可选）：
```
detect-engine:- rule-reload: true
```
更新规则集：Suricata依赖规则文件（如Emerging Threats或Snort规则），可通过以下命令更新：
```
sudo suricata-update
```
测试运行：使用测试模式验证配置是否正确：
```
sudo suricata -T -c /etc/suricata/suricata.yaml -v
```
若输出“Configuration validated”则表示配置成功。
启动服务：
```
sudo systemctl enable --now suricata
```
查看警报日志：Suricata的警报默认保存在/var/log/suricata/fast.log，可通过以下命令实时查看：
```
sudo tail -f /var/log/suricata/fast.log
```

3. Logwatch：日志分析与异常报告

Logwatch是一款日志分析工具，可自动生成每日/每周报告，帮助识别可疑活动（如多次失败的登录、异常文件访问）。

安装Logwatch：
```
sudo apt install logwatch
```
配置Logwatch：编辑配置文件/usr/share/logwatch/default.conf/services/sshd.conf，启用详细日志分析：
```
Title = "SSH Daemon"LogLevel = High
```
查看报告：手动生成当日报告并输出到终端：
```
logwatch --service sshd --output stdout
```
可设置每天定时发送报告到邮箱（需配置邮件服务）。

三、优化与维护建议

定期更新规则：Suricata、Fail2Ban的规则需定期更新，以应对新的攻击方式。
监控日志：定期检查/var/log/auth.log（SSH日志）、/var/log/suricata/fast.log（Suricata警报）等日志文件，及时发现异常。
备份配置：定期备份防火墙（/etc/ufw/）、IDS（/etc/suricata/、/etc/fail2ban/）的配置文件，避免误操作导致配置丢失。
测试防护效果：可使用工具（如nmap扫描端口、curl访问测试URL）模拟攻击，验证防火墙与IDS是否能正确拦截。