用途：在 Ubuntu/Debian 或 RHEL 系服务器上做主动入侵检测，管理 fail2ban 并调查其封禁，运行 rkhunter/chkrootkit 根套件扫描；不负责边界防火墙与证书（用 linux-firewall-ssl）、只读安全审计（linux-security-analysis）、auditd 系统调用审计与 AIDE 文件完整性（已移至 linux-auditd-rules、linux-file-integrity）。
主要能力：fail2ban 管理与封禁调查；rkhunter 与 chkrootkit 签名/启发式扫描，二者互补；RHEL 系可将新增 SELinux AVC 拒绝作为入侵信号。
使用方式：查看与解封用 sudo fail2ban-client status、sudo fail2ban-client status <jail>、sudo fail2ban-client set <jail> unbanip <ip>，改配置后 sudo systemctl reload fail2ban。扫描安装 sudo apt install rkhunter chkrootkit（RHEL 系先启用 EPEL），刷新定义 sudo rkhunter --update，在已知干净主机上 sudo rkhunter --propupd，扫描 sudo rkhunter --check --sk --rwo 与 sudo chkrootkit -q，确认合法变更后再 --propupd。可选快路径 sudo install-skills-bin linux-intrusion-detection 安装 sk-fail2ban-status、sk-rootkit-scan 等包装脚本。
限制：默认只读，封禁、解封、jail 变更、安装、隔离、重设基线需明确响应授权；日志轮转、工具缺失或无可信基线时属降级模式，需说明覆盖缺口；干净的部分扫描不等于主机干净，警告仅代表“待核实”，需结合包校验与 AIDE/auditd 关联后再判定。