Ubuntu Exploit漏洞修复技巧

Ubuntu 漏洞修复与应急加固实用手册

一 快速响应流程

• 立即隔离受影响系统：断开公网/内网连接，避免横向扩散与数据外泄。
• 快速研判与取证：查看关键日志（如 /var/log/auth.log、/var/log/syslog），定位异常登录、提权与可疑进程；必要时保留现场快照。
• 获取并应用补丁：优先从官方源更新受影响的软件包与内核，无法立即修补时先采用临时缓解措施（见下文）。
• 恢复与验证：从干净备份恢复业务，复核服务可用性、完整性及安全基线；开展复盘与加固。
• 通知与报告：按合规要求通知相关方，并向 Ubuntu 安全团队或相关渠道提交利用情况（如适用）。

二 常规修复与加固

• 保持系统与内核为最新：
  • 更新索引与软件包：sudo apt update && sudo apt upgrade
  • 处理依赖变更：sudo apt full-upgrade（或 dist-upgrade）
  • 重启生效：sudo reboot
  • 清理无用依赖：sudo apt autoremove
• 启用自动安全更新：
  • 安装与配置：
    • sudo apt install unattended-upgrades
    • 编辑 /etc/apt/apt.conf.d/20auto-upgrades：
      • APT::Periodic::Update-Package-Lists “1”;
      • APT::Periodic::Download-Upgradeable-Packages “1”;
      • APT::Periodic::AutocleanInterval “7”;
      • APT::Periodic::Unattended-Upgrade “1”;
    • 编辑 /etc/apt/apt.conf.d/50unattended-upgrades，确保包含安全源：
      • Unattended-Upgrade::Allowed-Origins { “${distro_id}:${distro_codename}-security”; … }
  • 测试与日志：
    • 试运行：sudo unattended-upgrade --dry-run
    • 查看日志：cat /var/log/unattended-upgrades/unattended-upgrades.log
• 防火墙与访问控制：
  • 启用 ufw：sudo ufw enable；仅开放必要端口（如 22/tcp 或自定义端口），示例：sudo ufw allow 2222/tcp
  • 强化 SSH：禁用 root 直登（PermitRootLogin no），优先使用 SSH 密钥 替代口令
• 身份与权限治理：
  • 限制 su 使用范围（仅允许 wheel 组）：在 /etc/pam.d/su 增加 auth required pam_wheel.so use_uid 或 auth required pam_wheel.so group=wheel
  • 关键文件权限最小化：
    • sudo chmod 400 /etc/shadow; sudo chown root:shadow /etc/shadow
    • sudo chmod 400 /etc/gshadow; sudo chown root:shadow /etc/gshadow
    • sudo chown root:root /var/spool/cron; sudo chmod 700 /var/spool/cron
• 入侵防护与审计：
  • 部署 fail2ban 抑制暴力破解
  • 持续监控 /var/log/auth.log、/var/log/syslog，定期审计异常登录与提权迹象

三 临时缓解措施

• 禁用非特权用户命名空间（缓解部分容器/浏览器沙箱逃逸与本地提权风险）：
  • 临时：sudo sysctl -w kernel.unprivileged_userns_clone=0
  • 永久：创建 /etc/sysctl.d/99-disable-unpriv-userns.conf，写入 kernel.unprivileged_userns_clone=0，执行 sudo sysctl -p
• 黑名单高风险内核模块（仅在明确受影响且具备回退方案时采用）：
  • 检查：lsmod | grep nf_tables
  • 黑名单：在 /etc/modprobe.d/nf_tables-blacklist.conf 写入 blacklist nf_tables，重启生效
• 重要提示：模块禁用可能影响 容器/网络过滤 等功能，务必在测试环境验证并准备应急回滚方案。

四 验证与恢复

• 更新后验证：
  • 当前内核版本：uname -r
  • 可升级列表：apt list --upgradable；仅安全更新：apt list --upgradable | grep -i security
  • 服务重启：按需重启相关服务（如 sudo systemctl restart sshd），内核更新后执行 sudo reboot
• 回滚与应急：
  • 内核回滚：在 GRUB 启动菜单选择旧内核；或 apt install linux-image-<旧版本> 后更新引导
  • 配置回滚：使用 etckeeper/btrfs snapshots 或备份快速还原关键配置
• 业务恢复与加固：从干净备份恢复，复核最小权限、防火墙、SSH 与日志监控策略，完成安全审计与复盘。

五 常见场景速查表