Debian日志中如何发现潜在的安全威胁
小樊
44
2025-12-31 23:22:51
Debian日志安全威胁排查与处置
一 核心日志与定位
- 优先关注以下日志源：/var/log/auth.log（SSH/登录/提权）、/var/log/syslog（系统全局事件）、/var/log/kern.log 与 /var/log/dmesg（内核与驱动）、/var/log/audit/audit.log（审计事件，需启用 auditd）、以及 Web 服务日志 /var/log/apache2/ 或 /var/log/nginx/。辅助的登录统计文件包括 /var/log/lastlog、/var/log/faillog、/var/log/wtmp、/var/log/btmp。这些文件覆盖了认证、系统、内核、审计与应用的常见安全线索。
二 命令行快速排查命令
- 认证与登录异常
- 查看失败登录与重复尝试：
sudo grep "Failed password" /var/log/auth.log | tail -n 50
- 统计来源 IP 的失败次数：
sudo grep "Failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr | head
- 发现成功登录的异常时段或来源：
sudo grep "Accepted" /var/log/auth.log | awk '{print $1,$2,$3,$11}' | sort | uniq -c
- 检查提权与 sudo 滥用：
sudo grep "sudo:" /var/log/auth.log | grep -v "session opened" | tail -n 50
- 系统与服务异常
- 内核与驱动告警：
sudo tail -n 100 /var/log/kern.log | grep -i "segfault\|oops\|error"
- 服务崩溃或重启：
sudo journalctl -u ssh --since "2025-12-30 00:00:00" -p err
- Web 攻击迹象
- 扫描与探测：
sudo tail -n 200 /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head
- 可疑路径与 404 大量出现：
sudo grep " 404 " /var/log/nginx/access.log | awk '{print $7}' | sort | uniq -c | sort -nr | head
- Web 错误集中：
sudo grep -i "error" /var/log/nginx/error.log | tail -n 50
- 审计与完整性线索
- 关键文件访问/变更：
sudo ausearch -f /etc/passwd -i 或 sudo ausearch -m USER_CMD -ts recent
- 登录历史与失败统计
- 查看最近登录：
last -n 20
- 查看失败登录：
lastb | head
- 实时滚动观察
- 实时跟踪认证日志：
sudo tail -f /var/log/auth.log | grep --line-buffered "Failed\|Accepted"
三 常见威胁模式与日志特征
- 暴力破解 SSH：短时间内同一来源 IP 出现大量 “Failed password”，随后可能出现 “Accepted”。
- 提权与横向移动：频繁 sudo 执行、su 切换、以及异常用户会话开启。
- Web 扫描与利用尝试：大量 404/403、访问 /wp-admin/、/phpmyadmin、/.env、/shell 等敏感路径，或异常 User-Agent。
- 内核/驱动异常：segfault、oops、call trace 等内核日志，可能预示本地提权或不稳定内核模块。
- 异常服务行为：关键服务（如 sshd、nginx、mysql）频繁重启、崩溃或配置被改写。
- 审计规则命中：auditd 报告对 /etc/passwd、/etc/shadow、/bin/su 等敏感文件的访问或执行。
四 集中化与自动化
- 集中与加固日志链路：将各主机日志发送至远程 syslog 服务器，启用 TLS/SSL 加密传输，限制来源 IP，统一审计口径与留存周期。
- 日志生命周期管理：使用 logrotate 配置合理的轮转与压缩策略，防止磁盘被占满导致日志丢失。
- 实时监控与告警：部署 ELK Stack（Elasticsearch、Logstash、Kibana） 或 Graylog 做聚合、可视化与阈值告警；结合 Wazuh 做文件完整性、日志与威胁检测联动。
- 入侵防护联动：使用 Fail2Ban 自动封禁反复失败的来源 IP，降低暴力破解成功率。
五 处置与加固建议
- 立即隔离与封禁：对确认的恶意来源 IP 实施防火墙封禁（如
iptables -A INPUT -s <IP> -j DROP），并保留取证日志。
- 加固访问面：禁用 root 远程登录、强制 SSH 密钥 认证、更改默认端口、限制可登录用户与来源网段。
- 修补与最小化：执行
sudo apt update && sudo apt upgrade 及时修复漏洞；关闭不必要的服务与端口，遵循最小权限原则。
- 完整性校验与恶意代码排查：定期运行 rkhunter、chkrootkit，结合
auditd 与文件完整性基线发现异常变更。
- 备份与恢复演练：在处置后及时恢复业务，并验证备份可用性与恢复流程有效性。
