samhain：比較變态的入侵檢測系統

[撰文/hmy]

主機完整性檢查工具，說它變态是因為在編譯的時候可以加入證書認證，配置檔案也需要通過證書簽名才能運作，檢查結果也是證書簽名的。最大限度的保障安全性。另外可以隐藏運作。另外還可以一個伺服器端專門接收檢測結果。遇到主機被入侵可以第一時間發現。

samhain 主要是通過對檔案夾或者檔案定義一些檢測規則來實作主機一緻性檢查。最敏感的設定，可以發現一個檔案的 atime（檔案被讀取的時間，用 stat filename 可以看到）的變化。

debian 庫裡有，希望對你有用。

詳細研究參考首頁：

<a href="http://la-samhna.de/samhain/">http://la-samhna.de/samhain/</a>