linux exploit怎样防护

在 Linux 环境下，“exploit（漏洞利用）”防护通常是一个多层次、纵深防御的问题，不能只靠单一手段。下面从系统层、内核层、应用层、运维层四个维度系统说明。

一、系统层防护（基础）

1. 及时打补丁

• 开启自动更新或定期更新

# Debian/Ubuntu
apt update && apt upgrade -y

# RHEL/CentOS
yum update -y
# 或
dnf update -y

• 关注安全公告：
  • CVE
  • 发行版安全邮件列表

2. 最小安装原则

• 不安装不必要的服务
• 关闭不需要的端口

systemctl disable telnet
systemctl stop telnet

3. 账户与权限控制

• 禁用 root 直接登录

PermitRootLogin no

• 使用 sudo + 普通用户
• 强密码 / 密钥登录
• 定期审计账户

cat /etc/passwd
last

二、内核与漏洞利用防护（关键）

1. 开启内核安全机制

ASLR（地址随机化）

cat /proc/sys/kernel/randomize_va_space
# 应为 2

禁用危险调用

# 禁止加载内核模块（服务器）
echo 1 > /proc/sys/kernel/modules_disabled

2. 使用安全增强机制

SELinux（推荐 RHEL 系）

getenforce
setenforce 1

AppArmor（Ubuntu 常用）

aa-status

3. 利用缓解技术（Exploit Mitigations）

确保编译/运行环境开启：

• NX / DEP
• Stack Canary
• PIE
• RELRO (Full RELRO)

查看程序安全属性：

checksec --file=./binary

三、网络与攻击面防护

1. 防火墙

# iptables
iptables -A INPUT -p tcp --dport 22 -s 管理IP -j ACCEPT

# 或 nftables / firewalld

2. 限制系统调用（seccomp）

• Docker / Kubernetes 默认支持
• 手动示例：

// seccomp filter

3. 端口与服务最小化

ss -tulnp
netstat -tulnp

• 关闭无用服务
• 使用非默认端口（仅作为干扰）

四、检测与响应（不能只防）

1. 日志与审计

journalctl -xe
/var/log/secure
ausearch -m avc

2. 入侵检测

• OSSEC
• Fail2Ban
• AIDE（文件完整性）

3. 漏洞扫描

• OpenVAS
• Lynis
• Trivy（容器）

五、针对“Exploit 利用”的专项防护

六、运维建议（非常重要）

✅ 不使用过期系统（CentOS 6/7）
✅ 生产环境禁用调试接口
✅ 定期红蓝对抗测试
✅ 重要系统启用 eBPF 安全（如 Tetragon）

如果你愿意，我可以：

• 给你一份 Linux 安全加固清单
• 针对 某个 CVE / 某类 exploit 讲防护
• 或讲 如何分析一个 Linux exploit

你更关心哪一块？