1. Linux安全检查与加固的核心价值在数字化浪潮席卷各行各业的今天Linux系统凭借其开源特性和高度可定制性已成为服务器、云计算和物联网设备的首选操作系统。但这也使其成为攻击者的主要目标——根据2023年全球威胁报告针对Linux系统的攻击尝试同比增长了47%。我曾在一次应急响应中发现某企业服务器因未禁用SSH空密码登录导致攻击者仅用2小时就建立了僵尸网络节点。Linux安全检查与加固不是简单的打补丁而是构建纵深防御体系的过程。这就像给老房子做抗震改造既要检查地基裂缝系统漏洞又要加固承重墙关键服务最后还得安装烟雾报警器监控措施。第一阶段的学习重点就是掌握这套房屋检修的基本功。2. 安全检查三板斧2.1 账户安全审计/etc/passwd和/etc/shadow是攻击者最先觊觎的目标。建议使用以下命令进行深度检查# 检查UID为0的异常账户 awk -F: ($3 0) {print $1} /etc/passwd | grep -v ^root$ # 检查空密码账户 awk -F: ($2 ) {print $1} /etc/shadow # 查看sudo权限分配 grep -Po ^sudo.:\K.*$ /etc/group去年处理过某金融公司案例攻击者通过遗留的测试账户UID0获取了root权限。建议定期执行账户清理特别是删除或禁用离职员工账户检查.bash_history文件中的可疑命令确认每个服务账户都有明确的归属记录2.2 服务安全扫描使用netstat -tulnp结合ss -plnt可以交叉验证监听端口。关键要注意非必要服务立即停止如telnet、rpcbind必须开放的服务配置最小权限如MySQL仅监听内网IP使用systemctl mask彻底禁用高危服务某电商平台曾因NFS服务配置不当导致用户数据泄露。建议对关键服务进行三重验证端口扫描确认实际开放情况检查服务配置文件权限如/etc/ssh/sshd_config应为600通过journalctl -u service_name查看异常日志2.3 文件系统完整性校验建立文件指纹库是检测入侵的关键证据。推荐工作流# 首次部署时生成基准指纹 find / -type f -exec sha256sum {} /var/log/system_baseline.sha256 # 定期校验差异 sha256sum -c /var/log/system_baseline.sha256 21 | grep FAILED重点监控目录包括/bin、/sbin可能被植入恶意程序/etc/init.d启动脚本可能被篡改/tmp常见攻击跳板3. 安全加固五步法3.1 内核参数调优/etc/sysctl.conf是网络防护的第一道防线。必须修改的参数示例# 禁用ICMP重定向 net.ipv4.conf.all.accept_redirects 0 # 开启SYN Cookie防护 net.ipv4.tcp_syncookies 1 # 限制核心转储 fs.suid_dumpable 0某次渗透测试中攻击者通过ICMP重定向成功实施了中间人攻击。建议调优后执行sysctl -p sysctl --system3.2 SSH安全加固sshd_config的黄金配置组合Protocol 2 PermitRootLogin no MaxAuthTries 3 LoginGraceTime 1m AllowUsers admin audit曾见过攻击者通过暴力破解弱密码入侵推荐配合fail2ban使用[sshd] enabled true maxretry 3 bantime 1h3.3 文件权限最小化关键目录权限设置参考chmod 750 /home/* chmod 600 /etc/shadow chattr i /etc/passwd特别提醒find / -perm -4000 -o -perm -2000可以查找危险SUID/SGID文件如非必要应立即移除特殊权限。3.4 日志监控增强配置rsyslog实现集中日志管理# 记录sudo执行记录 local2.debug /var/log/sudo.log # 记录SSH登录信息 auth.* /var/log/ssh_auth.log建议每天检查的关键日志事件非常规时间段的su尝试重复的认证失败记录异常的cronjob执行3.5 自动化合规检查使用OpenSCAP实现自动化审计oscap xccdf eval --profile stig \ --results scan-results.xml \ /usr/share/xml/scap/ssg/content/ssg-centos7-ds.xml输出报告应重点关注未修复的CVE漏洞不符合安全策略的配置项密码策略违规项4. 典型问题排查实录4.1 可疑进程排查流程# 定位异常CPU使用 top -c -o %CPU # 查看进程树 pstree -p 可疑PID # 检查进程文件 ls -l /proc/PID/exe # 网络连接验证 lsof -i -P -n | grep PID曾发现某进程伪装成/usr/sbin/sshd实际连接C2服务器。关键识别点进程启动时间异常如3AM父进程非init/systemd文件哈希不匹配官方版本4.2 后门检测方法使用rkhunter进行深度扫描rkhunter --update rkhunter --checkall --sk特别注意以下迹象被修改的共享库文件如libc.so异常的LD_PRELOAD环境变量隐藏的内核模块lsmod | grep -i evil4.3 应急响应清单发现入侵迹象时的黄金30分钟立即断开网络ifconfig eth0 down创建内存快照LiME或avml备份关键日志/var/log/secure*冻结系统状态mount -o remount,ro /联系专业团队处理5. 持续安全实践建议安全加固不是一次性任务建议建立以下机制每周执行自动化漏洞扫描如Trivy扫描容器镜像每月进行配置合规检查基于CIS Benchmark每季度开展红蓝对抗演练关键操作前创建系统快照LVM或ZFS个人经验中最易忽视的三点BIOS/UEFI固件更新硬件驱动漏洞修补供应链安全验证如软件包签名检查最后分享一个快速检查脚本框架#!/bin/bash echo [] 账户检查中... awk -F: ($2 ) {print} /etc/shadow echo [] 服务检查中... netstat -tulnp | grep -E 0.0.0.0|:: echo [] 文件校验中... rpm -Va | grep ^..5