保护您的服务器。所有攻击与变更尽在一个面板。

Fail2ban 读取服务日志，并封禁未通过身份验证的地址。面板将所有 jail 汇总在一屏中显示：当前封禁了多少地址、服务启动至今共封禁多少，以及是哪个 jail 捕获了它们。完全没有捕获任何内容的 jail 与正常工作的一样清晰可见——这通常意味着它读取的日志文件不对。

IPSUM 是一份每日更新的地址名单，收录了曾攻击他人服务器的地址。Ipset 将其保存在内核内存中，因此校验数十万个地址也不会给防火墙带来负担。面板会显示名单规模和上次更新时间：这是先发制人的防护——地址在抵达服务前就被拦截。

Lynis 会执行数百项配置检查，并给出加固指数——满分 100 的评分。面板会解析报告，显示各项警告和建议，并附上测试标识符，方便您查看每一项的含义。满分 100 并非目标：部分建议是针对您服务器上并不存在的场景编写的。

ModSecurity 配合 OWASP CRS 规则集，在 Web 服务器内部过滤 HTTP 请求——就在解密之后、能看到请求内容的地方。面板读取审计日志：哪条请求被拦截、命中了哪条规则、异常评分是多少，以及请求来自何处。查看此处主要是为了排查误报：同一条规则一次次拦下您自己的表单。

Suricata 根据特征规则解析网络流量，并将检测结果写入 eve.json。面板直接在服务器上读取该文件，展示按类别分组的当日告警——无需 Elasticsearch 和 Kibana，它们在单台 VPS 上占用的资源比被监控的机器还大。全新安装在 suricata-update 至少运行一次之前不会有任何输出：此时其中还没有规则。

CrowdSec 按场景解析日志并作出封禁决策，同时还会参考网络中其他成员上报的地址——攻击者往往早已“榜上有名”。面板会显示生效中的决策及其对应场景与剩余时间，旁边则列出执行这些决策的已注册 bouncer。若第二个列表为空，则 CrowdSec 仅发出告警，不会执行任何封禁。

Falco 监控系统调用，当进程做出与自身无关的操作时便触发告警：从 Web 服务器启动 shell、写入系统二进制文件目录、建立异常的外发连接。面板会显示告警的优先级、触发的规则以及进程的命令行。无需 Kubernetes——在普通服务器上 Falco 同样运行良好。

Linux 上的杀毒软件保护的不是自身的二进制文件，而是从外部进入服务器的内容：通过上传表单植入的 Web Shell、经邮件服务器传入的附件、藏在临时目录中的载荷。面板会显示上次扫描时间、扫描发现了什么，以及最关键的一项——特征库的更新时长。特征库已过时一周的 ClamAV 只能营造出防护的假象，仅此而已。

AIDE 会为文件系统生成加密指纹，并报告自上次检查以来发生的所有变化——回答其他工具都回避的问题：它们到底动了什么。面板会显示三个列表：新增、修改和删除的文件，以及发生变化的属性。清晨最常见的报告通常源于夜间的软件包更新——请核对时间并重建数据库。

审计守护进程只记录您要求它记录的事件：/etc/passwd 与 /etc/shadow 的变更、sshd_config 的修改、提权类二进制文件的执行。面板会显示当前已加载的规则、受监控的路径，以及带有进程和结果的最新事件。查看规则和查看事件同样重要：规则集为空是 auditd 看似正常运行却记录不到任何有价值内容的最常见原因。

UFW 省去了 iptables 的繁琐语法，却帮不了您在几个月后重新理清整套规则。面板会列出每条规则的动作、端口、协议和来源，并把入站与出站的默认策略放在最前——恰恰是它们最容易被忽略。若默认策略仍停留在 allow，再严密的规则集也形同虚设。

扫描端口的攻击者不会留下任何一次失败的登录尝试，因此 Fail2ban 无法察觉。PSAD 弥补了这一缺口：它读取防火墙记录的被丢弃流量，并对结果进行评估。面板会显示被标记的地址、1 到 5 级的危险等级、数据包数量和端口。若防火墙中没有日志记录规则，PSAD 将保持沉默——这正是安装后页面为空的常见原因。

自动续期解决了大部分问题，同时也制造了一个更隐蔽的版本：证书会自行续期——直到某天不再续期，而第一个发现的往往是访客。面板会列出服务器提供的证书：颁发者、到期日期、剩余天数。若一张启用自动续期的证书剩余不足三十天，说明续期其实已经悄悄失效一段时间了。

此地图标出您自己的服务器封锁过的地址，解析到国家层级，并按命中次数缩放显示。这并非从外部购买的威胁情报数据流：每一个点都是真正到达这台主机的流量。地图的价值会随时间积累：来自同一网络的密集聚集通常意味着某个攻击者正在逐一遍历列表，而均匀的散布则往往只是常见的互联网噪声。

Logwatch 将一天的日志汇总成一份报告并通过邮件发送——可几周后它就躺进了无人问津的文件夹。问题从来不在信息本身,而在于送达方式。面板将报告保留在服务器上并分页展示,还带有往日归档:一天的报告告诉您发生了什么,一周的则告诉您有什么变化。

Monit 会监控进程、文件、文件系统和主机，并在发现异常时重启相应对象。面板会列出每一项检查，显示其当前状态、监控对象以及干预次数。重启计数是最诚实的字段：一个被重启了四十次的服务并不健康，它一次次崩溃，而重启只是在掩盖问题。

使用硬件密钥、Touch ID 或 Face ID 登录面板，无需第二重密码。密钥在协议层验证域名，因此在相似地址上仿冒的登录页面无法生效——钓鱼攻击无从截取。您可以注册多个密钥，每个都有各自的名称和最后使用时间，并可单独吊销其中任意一个。

这台机器上有哪些服务可从外部访问，是最有价值的安全问题，而 ss 的输出每次都得靠肉眼逐行细读。此面板列出监听中的套接字，包含端口、协议、绑定地址和进程，下方则是已建立的连接。首先应查看绑定地址：绑定在 127.0.0.1 的服务只能从本机访问，而同一服务绑定在 0.0.0.0 时则暴露给整个互联网。

Top 回答的是此刻这一秒的情况，而人们通常想知道的是昨夜发生了什么。采集器每五分钟向数据库追加一行数据，页面则据此绘制出最近一整天的曲线：load average、CPU 与 I/O wait 分开显示，内存与 swap、网络、磁盘、TCP 连接、文件描述符一应俱全。看图时应成对比对：CPU 平稳而 I/O wait 偏高，说明服务器在等待磁盘，此时增加处理器核心毫无意义。

磁盘故障有两类，且各不相同：一类是开始失效的存储设备，另一类是逐渐写满、并拖垮相关服务的文件系统。本面板同时覆盖两者——分区占用、SMART 属性和温度。有三项属性预示着故障：重映射扇区、待映射扇区和离线不可修复扇区。inode 单独显示——它们往往比可用空间更早耗尽，这也解释了为何磁盘明明还有空闲空间，写入却无法完成。

强制访问控制决定程序被允许做什么，与启动它的用户权限无关。AppArmor 预装在大多数 Ubuntu 和 Debian 服务器上，但在很多机器上几乎不做任何限制。面板会显示已加载的配置文件及其模式、受限进程，以及更有意思的部分——完全没有配置文件的进程。complain 模式下的配置文件只记录会拦截什么，却不做限制；只有 enforce 模式才真正生效。