在Ubuntu服务器上使用rkhunter（Rootkit Hunter）做每日自动化安全扫描并通过邮件通知结果，核心操作就是三步：安装rkhunter、配置cron定时任务、设置邮件发送。整个过程不复杂，但细节决定效果——比如rkhunter的数据库更新频率、扫描排除项的合理设置、邮件发送的可靠性配置，这些都直接影响你能不能真正用好这套安全监控体系。下面我把每一步拆开讲透，包括常见坑和优化建议。

一、rkhunter是什么、为什么要用它

rkhunter是一款开源的Linux系统安全扫描工具，专门用来检测系统中是否存在rootkit、后门程序、可疑文件修改和本地提权漏洞。它的工作原理是对比系统关键文件的哈希值、检查隐藏进程、扫描已知rootkit特征、检测网络监听端口异常等。虽然它不是万能的，不能替代入侵检测系统（IDS），但作为日常轻量级安全巡检工具，性价比极高，尤其适合个人服务器和中小企业的Ubuntu环境。

Ubuntu默认仓库里就有rkhunter，直接apt安装即可。但要注意，rkhunter的检测规则依赖于其自带的数据库文件，如果长期不更新，对新型威胁的检测能力会下降。所以后续配置里，数据库更新是必须自动化的环节。

二、Ubuntu上安装和基础配置rkhunter

先更新系统包索引，然后安装rkhunter：

sudo apt update
sudo apt install rkhunter -y

安装完成后，第一件事是更新rkhunter的检测数据库：

sudo rkhunter --update
sudo rkhunter --propupd

第一条命令更新程序和数据库文件，第二条命令更新文件属性数据库（记录系统正常状态的基线）。这两步在首次使用和每次重大系统变更后都要执行。

接下来编辑配置文件，路径是/etc/rkhunter.conf。用你熟悉的编辑器打开：

sudo nano /etc/rkhunter.conf

需要关注的几个关键配置项：

1、MAIL-ON-WARNING：设置为yes，这样发现警告时会发邮件。默认值可能是no，一定要改。

2、MAILTO：填写你要接收通知的邮箱地址，比如admin@yourdomain.com。

3、CRON_DAILY_RUN：设置为yes，允许cron每日调用rkhunter。这个选项在较新版本中可能默认已开启。

4、ALLOWHIDDENDIR：如果你有正常使用的隐藏目录（比如.ssh、.config），需要在ALLOWHIDDENDIR里加上/etc/ssh/sshd_config等路径，避免误报。常见需要加入的有：/etc/.java、/dev/.udev、/tmp/.ICE-unix、/tmp/.X11-unix等。

5、ALLOWDEVFILE：如果你使用了特殊设备文件，需要在这里声明。

6、SCRIPTWHITELIST：把你自定义的运维脚本路径加进去，防止被当成可疑脚本。

配置改完保存退出，然后手动跑一次测试：

sudo rkhunter --check --sk

--sk是skip keypress的缩写，跳过交互确认直接扫描。如果输出结果全是绿色的"OK"或者只有少量warning，说明配置基本合理。如果大量报错，先排查是不是误报，再决定是否调整配置。

三、配置cron实现每日自动扫描

rkhunter安装后通常会在/etc/cron.daily/目录下生成一个cron脚本。你可以检查一下：

ls -la /etc/cron.daily/rkhunter

如果文件存在且有执行权限，说明默认的每日任务已经就位。但默认脚本可能不够完善，比如没有强制更新数据库、没有自定义邮件主题、没有日志记录。建议自己写一个更可控的脚本。

创建自定义扫描脚本：

sudo nano /usr/local/bin/rkhunter_daily_scan.sh

写入以下内容：

#!/bin/bash
# rkhunter每日安全扫描脚本
# 日志文件路径
LOGFILE="/var/log/rkhunter_daily.log"
# 邮件接收地址
MAILTO="admin@yourdomain.com"
# 扫描结果临时文件
RESULTFILE="/tmp/rkhunter_scan_result.txt"

echo "===== rkhunter scan started: $(date) =====" >> $LOGFILE

# 第一步：更新数据库
rkhunter --update --quiet >> $LOGFILE 2>&1
rkhunter --propupd --quiet >> $LOGFILE 2>&1

# 第二步：执行扫描
rkhunter --check --sk --report-warnings-only > $RESULTFILE 2>&1

# 第三步：获取扫描结果摘要
WARNINGS=$(grep -c "Warning" $RESULTFILE)
ERRORS=$(grep -c "Error" $RESULTFILE)

echo "Scan completed: Warnings=$WARNINGS, Errors=$ERRORS" >> $LOGFILE

# 第四步：发送邮件通知
if [ $WARNINGS -gt 0 ] || [ $ERRORS -gt 0 ]; then
    SUBJECT="[ALERT] rkhunter scan found issues on $(hostname) - $(date '+%Y-%m-%d %H:%M')"
    cat $RESULTFILE | mail -s "$SUBJECT" $MAILTO
else
    SUBJECT="[OK] rkhunter daily scan clean on $(hostname) - $(date '+%Y-%m-%d')"
    echo "No issues found. Scan completed successfully." | mail -s "$SUBJECT" $MAILTO
fi

# 清理临时文件
rm -f $RESULTFILE

echo "===== rkhunter scan finished: $(date) =====" >> $LOGFILE
echo "" >> $LOGFILE

保存后赋予执行权限：

sudo chmod +x /usr/local/bin/rkhunter_daily_scan.sh

然后编辑crontab，设置每天凌晨3点执行（避开业务高峰）：

sudo crontab -e

添加一行：

0 3 * * * /usr/local/bin/rkhunter_daily_scan.sh

这样每天凌晨3点，系统会自动更新rkhunter数据库、执行扫描、根据结果决定发警告邮件还是正常通知邮件，同时把完整日志写到/var/log/rkhunter_daily.log。你可以随时用tail -f查看最新扫描记录。

四、确保邮件通知能正常送达

rkhunter本身依赖系统的mail命令来发邮件，但Ubuntu默认不安装邮件发送服务。你需要装一个轻量级的MTA（邮件传输代理）。推荐用postfix或者更简单的msmtp+msmtp-mta组合。

方案一：安装postfix（适合有自己邮件服务器的场景）：

sudo apt install postfix mailutils -y

安装过程中选择"Internet Site"，填写你的域名即可。装完后测试：

echo "test" | mail -s "test" admin@yourdomain.com

方案二：用msmtp配合外部SMTP（适合用第三方邮箱发通知的场景，比如企业邮箱、自建邮件服务）：

sudo apt install msmtp msmtp-mta -y

编辑配置文件：

sudo nano /etc/msmtprc
account default
host smtp.yourdomain.com
port 587
from admin@yourdomain.com
auth login
user admin@yourdomain.com
password your_password_here
tls on
tls_starttls on
logfile /var/log/msmtp.log

设置权限：

sudo chmod 600 /etc/msmtprc

测试发送：

echo "test body" | msmtp admin@yourdomain.com

如果你用的是外部邮箱服务（比如阿里企业邮、腾讯企业邮等），记得在对应的邮件服务后台开启SMTP服务并获取授权码，不要用登录密码。

五、常见问题和优化建议

1、误报太多怎么办？rkhunter对某些正常行为会报warning，比如SSH允许root登录、系统使用了某些非标准内核模块等。解决办法是在/etc/rkhunter.conf里把对应项加入白名单。不要盲目关闭所有警告，要逐条分析。

2、扫描速度慢怎么办？可以在配置里设置SCAN_MODE_DEV=0跳过设备文件扫描（如果你不需要），或者用--skip-keypress和--quiet参数减少输出和交互。对于大文件系统，可以用ALLOWHIDDENFILE和ALLOWHIDDENDIR精确排除已知安全目录。

3、日志文件越来越大怎么办？在crontab里加一个logrotate配置，或者在脚本末尾加清理逻辑，比如只保留最近30天的日志。

4、数据库更新失败怎么办？有时候网络问题导致rkhunter --update失败，可以在脚本里加重试逻辑，或者手动检查/var/lib/rkhunter/db目录下的文件是否完整。也可以设置镜像源，在/etc/rkhunter.conf里修改DB_MIRROR参数。

5、多台服务器怎么统一管理？如果你管理多台Ubuntu服务器，建议用ansible批量部署rkhunter配置和扫描脚本，统一日志收集到一台管理机上做集中分析。这比每台机器单独看邮件高效得多。

6、rkhunter能替代其他安全工具吗？不能。它只是文件完整性检查和已知rootkit检测工具，不具备实时入侵检测、流量分析、漏洞扫描等能力。建议搭配ufw防火墙、fail2ban防暴力破解、auditd审计系统一起使用，形成多层防御。

六、总结

在Ubuntu上用rkhunter做每日安全扫描并邮件通知，本质上就是"安装配置+定时任务+邮件通道"三件事。关键在于：数据库要保持更新、白名单要合理配置避免误报轰炸、邮件发送要测试确保送达、日志要有保留和清理策略。这套方案成本几乎为零，但能帮你在第一时间发现系统被篡改或植入后门的迹象。对于没有专职安全团队的中小团队来说，这是性价比最高的基础安全运维手段之一。把上面的步骤照着做一遍，半小时内就能跑起来，之后每天自动运转，你只需要偶尔看看邮件和日志就行。