用途：在 Windows 和 Linux 终端部署主机型入侵检测系统（HIDS），监控端点文件完整性、系统调用与配置变更，发现安全违规。适用于部署 Wazuh、OSSEC、AIDE 等 HIDS 代理，为 PCI DSS 11.5、NIST SI-7 等合规要求配置文件完整性监控（FIM），监控系统配置变更、rootkit 检测与安全策略违规，并将 HIDS 告警接入 SIEM 集中监控。不适用于网络型 IDS（Suricata、Snort）或 EDR 部署。
主要能力：安装 Wazuh 代理（Windows 使用 msiexec 安装 MSI，Linux 通过 apt 安装 wazuh-agent）；配置 syscheck 实现文件完整性监控，支持实时监控关键目录、Windows 注册表项、忽略规则与扫描频率；配置 rootcheck 进行 rootkit 与恶意软件检测；编写本地规则（local_rules.xml）对关键二进制修改、临时目录新增可执行文件、SSH 配置变更等告警；配置主动响应（active-response）自动封禁 IP 或禁用账户；通过 Filebeat 或直接集成将告警发送至 Splunk、Elasticsearch/OpenSearch 等 SIEM。
使用方式：需先部署可访问的 Wazuh 服务器（manager），具备终端管理员权限，并开放 1514（TCP/UDP）与 1515（TCP 注册）端口。按步骤安装代理、编辑 ossec.conf 配置 syscheck 与 rootcheck、添加自定义规则、配置主动响应，最后接入 SIEM。
限制与注意事项：监控过多目录会产生大量告警，应聚焦关键系统二进制、配置文件与 Web 根目录；需排除频繁变化的日志、临时与缓存文件；首次 FIM 扫描建立基线，基线稳定前约 48 小时内的变更多为噪声；主动响应规则须先在非生产环境测试，避免误封禁导致中断；代理须成功注册后才能开始监控，需确认防火墙放行 1514 与 1515 端口。具体收费、价格与平台支持范围暂未提供。