产品概览

产品定位

启盾 Qidun 是一款面向单台服务器（主机）的安全监控平台：

• 单文件部署 — 一个 Go 编译产物同时包含全部监控模块、SQLite 存储与 Web 管理面板，拷贝到服务器即可运行，无需安装数据库、PHP 或其他运行时。
• 贴主机细节 — 直接读取系统登录事件、进程、磁盘、防火墙，而不是只做端口黑盒探测；处置动作（封禁、隔离）直接落到系统层。
• 告警可编程 — 全部安全事件经看门狗模块以 Webhook 推送到你的聊天工具 / 工单系统 / 另一台 Qidun，模板可自定义。
• 自身也是硬目标 — 面板强制 mTLS 双向认证、双进程互保、蜜罐端口、程序自检防篡改。

围绕「主机自身安全」提供六项核心能力：防爆破、防篡改、防后门、防宕机、快告警、强存活。

功能模块矩阵

模块	做什么	典型告警	手册
登录监控 loginmon	采集 SSH / 本机 / RDP 系统登录事件，窗口内失败达阈值自动防火墙封禁	warning 爆破封禁	登录监控
Web 登录防护 weblogin	保护 Qidun 面板自身登录：软锁 429 → 达阈值有限期封禁（默认 3 天）	warning 软锁 / critical 封禁	登录监控
文件指纹 fim	关键文件 SHA-256、目录聚合指纹基线，定时比对	warning 变更 / 删除	文件指纹
后门防护 webshell	站点目录 WebShell 特征扫描，可自动隔离	warning 发现后门	后门防护
缓存目录 cachedir	缓存目录体积测量与按天数清理	—（仅记录事件）	缓存目录
MySQL 监控 mysqlmon	多实例 14 项指标采集与阈值判定、宕机检测	warning / critical	MySQL 监控
MySQL 备份 backup	mysqldump 定时 / 手动备份，卡死自动中止	critical 失败 / 卡死	MySQL 备份
系统指标 sysmetrics	CPU / 内存 / 带宽 / 逐盘 / 磁盘 IO 四层检测	warning 超阈值	系统指标
端口守护 portguard	TCP 端口连通性拨测	warning down / info 恢复	端口守护
页面保活 pagekeep	HTTP(S) 页面拉取，状态码校验 + 快照缓存	warning down / info 恢复	页面保活
防火墙 firewall	封禁台账与系统防火墙规则执行层（netsh / iptables / nft）	由触发方上报	防火墙
关键操作 keyops	高危系统操作审计（建删用户、装服务、清日志、sudo…）	critical / warning	系统日志
系统自检 selfcheck	自身二进制完整性校验（SHA-256 + HMAC）	critical 疑似篡改	系统自检
守卫 guardian	双进程心跳互保 + 530 端口蜜罐	critical 蜜罐命中	安全设计
看门狗 watchdog	全部告警的 Webhook 统一上报出口 + 心跳保活	—（出口本身）	看门狗上报
外部报警 push	接收其他机器 / 设备推送的报警并入库、转发	转发告警原样	看门狗上报

数据是怎么流动的

• 所有事件先落 SQLite（库即队列，重启不丢），WebUI 页面直接查库渲染。
• 需要处置的（爆破、蜜罐、后门）调用防火墙 / 隔离逻辑落到系统层，处置结果同时入 audit_log 审计。
• 配置全部存于 SQLite settings 表（键前缀 cfg.），无配置文件；WebUI 保存即时生效。

适用场景

• 个人 / 小团队的服务器安全基线：登录爆破拦截、篡改发现、资源告警一站式。
• 多台服务器各自部署 Qidun，互相推送告警（A 台的告警转给 B 台汇总展示）。
• 对管理面板安全性要求高：mTLS 双向认证 + 蜜罐端口，不适合暴露公网裸奔的场景。
• 需要离线 / 内网运行：单二进制 + 内嵌静态资源 + SQLite，无任何外部服务依赖。

名词速查

名词	含义
main / guard	同一可执行文件的两种角色：main 绑定 529 跑全部模块；guard 只跑看门狗与守卫（心跳 + 蜜罐）
mTLS	双向 TLS 认证：客户端也要出示由 Qidun CA 签发的证书，否则连接被拒绝
看门狗 watchdog	告警统一上报出口（Webhook），与「监控某个服务是否存活」的端口守护是两回事
软锁	Web 登录失败达阈值后对来源 IP 返回 429 暂时拒绝，不解封防火墙
蜜罐端口	guard 进程监听的 530：非本机来源一连接即有限期封禁（默认 3 天，到期自动解封）
基线	文件指纹 / 自检模块保存的「正常状态快照」，之后周期性与现状比对
隔离	后门文件改名加 .qidun_quarantine 后缀使其失效，可恢复