1. Lynis
Lynis是一款开源安全审计工具，专注于Linux/Unix系统的安全扫描与合规性检查。它通过检测系统配置缺陷、安全漏洞（如弱密码策略、未加密服务、SUID/SGID文件滥用）及内核参数设置，生成详细审计报告并提供修复建议。作为系统自带工具（部分发行版需手动安装），Lynis支持定期扫描（如通过cron定时任务），帮助管理员持续监控系统安全状态。
2. ClamAV
ClamAV是开源反病毒引擎，主要用于检测Linux系统中的恶意软件（包括病毒、木马、勒索软件及exploit payload）。它支持扫描压缩文件（RAR、Zip、Tar等）、电子邮件附件及系统文件，通过定期更新病毒库（freshclam命令）识别最新威胁。常用于邮件服务器、文件服务器等场景，防范恶意软件利用系统漏洞传播。
3. Rkhunter/Chkrootkit
Rkhunter（Rootkit Hunter）与Chkrootkit均为rootkit检测工具。Rkhunter通过检查系统文件（如/bin、/sbin目录）、内核模块、隐藏进程及错误配置（如/etc/passwd权限），识别潜在rootkit；Chkrootkit则通过字符串匹配、进程分析等方式，检测系统中的rootkit痕迹（如ps、netstat命令被篡改）。两者均需定期运行（如每周一次），确保系统未被植入隐蔽后门。
4. Nessus/OpenVAS
Nessus是全球流行的商业漏洞扫描工具，OpenVAS是其开源替代品。两者均支持远程/本地扫描，检测Linux系统中的已知漏洞（如内核漏洞、服务漏洞（SSH、Apache））、配置错误（如未关闭不必要的端口）及软件版本过旧问题。扫描结果提供详细漏洞描述（CVSS评分）、修复建议及优先级排序，帮助管理员针对性修复高风险漏洞。
5. Nmap
Nmap是网络端口扫描工具，可用于检测Linux系统中的开放端口、运行服务及版本信息。通过扫描（如nmap -sS -Pn -T4 target_ip），识别未授权开放的高危端口（如22/tcp SSH、80/tcp HTTP）及存在已知漏洞的服务（如旧版本Apache的远程代码执行漏洞），辅助发现潜在攻击面。
6. Snort/Suricata
Snort与Suricata均为开源网络入侵检测系统（IDS/IPS）。Snort通过分析网络流量（如TCP/IP包头、应用层数据），检测已知攻击模式（如SQL注入、缓冲区溢出）及异常行为（如大量失败登录尝试）；Suricata则支持更高级的功能（如多线程处理、协议解析）。两者均可实时预警攻击，帮助管理员及时阻断exploit尝试。
7. Tripwire/AIDE
Tripwire与AIDE（Advanced Intrusion Detection Environment）均为文件完整性监控工具。它们通过创建系统文件/目录的基准数据库（如/etc、/bin、/sbin），定期对比当前状态，检测未经授权的文件修改（如/etc/passwd被篡改、/bin/ls被替换为恶意程序）。这类工具能有效发现rootkit植入、配置文件篡改等攻击行为。
8. Searchsploit
Searchsploit是Exploit Database的命令行工具，用于搜索已知Linux exploit代码。它支持关键词搜索（如searchsploit "linux kernel 5.4"），获取针对特定漏洞的利用脚本（如远程代码执行、提权漏洞）。管理员可通过它验证系统是否存在未修复的高危漏洞，提前采取防护措施。
