一.、开发背景
因时势所逼，需要对服务器的文件系统实行监控。虽然linux下有不少入侵检测和防窜改系统，但都比较麻烦，用起来也不是很称手。自己琢磨着也不需要什么多复杂的功能，写个脚本应该就可以满足基本需求。于是整理了一下思路，编写了一个简单的文件完整性检测程序。
二、实现功能
1、能监测多个不同目录中文件的增删改变化。
2、允许监测的特定类型文件，并可根据具体情况设定是否需要生成摘要等。
3、对于变动的文件，新增或修改的可以生成摘要。删除的文件要有日志记录。
4、当监测到文件发生变动时，能生成简报以邮件方式提醒管理员。
三、设计思路
建立监测项配置文件，将需检测的目录路径以及相关设置记录在文件中。利用crontab定时执行脚本，第一次运行时按配置文件加载检测项，通过find命令获取文件列表，利用md5sum为符合条件的文件生成hash值，并保存到文件中做为以后校验的基准数据。脚本在以后的运行中，首先会将待测目录中符合条件的文件列出，并于基准数据中的文件进行比对，以发现新增文件。再利用md5sum检测目录中文件是否有被修改或删除。对修改或新增文件生成摘要，将检测结果生成简报存入日志文件，并将简报发送到指定邮箱。
四、监测项配置文件说明
配置文件每一行为一个检测目录项，配置项之间以逗号分隔，配置定义如下：
<待查目录>,<过滤条件>,<检测类型>
1、待查目录
需检测的目录完整路径，例如:/var/test
2、过滤条件
写在此处的内容会做为find命令中的查询条件，以过滤特定文件。例如：-name '*.txt' -type f
过滤条件字串中不要使用双引号。
3、检测类型
取值为0或1。
0：发现变更仅记录文件名不做摘要;（一般针对二进制文件检测）
1：发现变更则做摘要
五、程序运行方式
脚本可以通过crontab定时执行。同时为了方便日常工作，脚本支持参数运行。具体参数及用途如下：
-c 清空日志
-i 生成扫描项的验证码文件，做为原始校验范本。（一般用于文件正常变更后，管理员手动重新生成基准检验文件）
-s 生成所有扫描项的摘要文件。（一般用于初次生成HASH值之前，生成所有符合文件摘要，供管理员做检测）
六、题外话
1、本人才疏，原打算将所有find的过滤条件做为一个字串传给find执行，比如“ -name "*.txt" -type f ”。但实际运行时总是报错，不得已只能将-name的具体参数传入，请参看具体代码：$FindCmd $Search -name "$Arg"。如果有更好解决办法，请一定告之，谢谢！（1.2版已解决）
2、生成摘要的方式可以根据实际情况自行修改。
3、可以根据具体情况，自己扩展程序实现对变更文件做进一步检测的功能。
七、更新记录
2014.7.31 Ver 1.2 更新检索过滤条件处理方式，可以直接将find命令的参数写进配置文件中，比如“ -name '*.txt' -type f ”。
2014.7.25 Ver 1.1 更新邮件发送机制，修改旧版本中每组扫描项异常结果分别发送的方式，将多个扫描项结果汇总后发送。
2014.7.14 Ver 1.0