CentOS日志中隐藏的安全威胁有哪些

CentOS日志中隐藏的安全威胁与排查要点

一、核心日志源与定位

系统认证与登录：/var/log/secure（记录 SSH、sudo、su 等认证事件）
系统消息与内核：/var/log/messages、/var/log/kern.log
Web 服务：/var/log/httpd/access_log、/var/log/httpd/error_log（CentOS/RHEL）
计划任务：/var/log/cron
登录会话记录：/var/log/wtmp、/var/run/utmp（last、who 等工具读取）
数据库：/var/log/mysqld.log 等（具体路径依安装与配置而异）以上为 CentOS 环境中最常见且高价值的日志源，应优先纳入集中监控与审计。

二、隐蔽威胁清单与日志特征

威胁类型	常见日志特征	重点日志源
SSH 暴力破解与凭证滥用	同一来源短时大量 “Failed password”；随后出现 “Accepted password”；异常时段成功登录	/var/log/secure
Web 漏洞利用（SQL 注入、路径遍历）	访问日志含 UNION SELECT、’ OR 1=1 --、…/ 等；错误日志出现 SQL 语法错误或路径遍历报错	/var/log/httpd/access_log、/var/log/httpd/error_log
后门与可疑脚本植入	/tmp、/dev/shm 出现新可执行脚本；/etc/passwd、/etc/shadow 等被修改；异常定时任务	/var/log/secure、/var/log/cron、/var/log/messages
异常登录与账号异常	失效账号登录、单账号多 IP 同时在线、非工作时间登录、短时间内多账号对同一主机失败	/var/log/secure
异常网络连接与横向移动	出现未知外连或对可疑端口的连接；监听异常端口	/var/log/messages、/var/log/kern.log（辅以 netstat/ss）
服务异常启停与提权	无干预的服务启动/停止；sudo 执行异常命令；日志中出现异常错误	/var/log/secure、/var/log/messages
资源滥用与挖矿/勒索迹象	CPU/内存/磁盘 I/O 异常飙升；出现恶意软件特征字符串；文件被加密或篡改	/var/log/messages、/var/log/kern.log
日志篡改与日志丢失	日志文件被清空或轮转异常；关键事件缺失；文件权限被改动	/var/log/ 各日志文件
以上威胁在 CentOS 环境中长期高发，需结合多源日志进行关联分析以提高检出率。

三、快速排查命令示例

SSH 暴力破解与成功登录溯源
- 统计失败登录 Top N 来源 IP：grep "Failed password" /var/log/secure | awk '{print $11}' | sort | uniq -c | sort -nr | head -n 20
- 查看最近成功登录：grep "Accepted password" /var/log/secure | tail -n 50
Web 攻击特征筛查
- 可疑 SQL 注入与路径遍历：grep -E "(SELECT|UNION|eval\(|base64_decode|'\s*OR\s+1=1|--|\.\./)" /var/log/httpd/access_log
- 扫描器与可疑 UA：grep -i "sqlmap\|nikto\|wget\|curl\|harvest" /var/log/httpd/access_log
登录异常行为识别
- 单账号多 IP 成功登录（示例思路）：按账号与 IP 聚合成功会话，筛选同一账号短时间多源 IP 的情况
可疑进程与网络连接核验
- 实时连接与监听：ss -antp、netstat -tulnp
文件完整性与关键文件变更
- 基线校验：md5sum /etc/passwd；或使用 AIDE 建立并比对基线
登录会话取证
- 查看历史登录：last -f /var/log/wtmp；当前登录：who

四、检测盲区与加固建议

盲区与应对
- 日志被清空或轮转异常：启用 logrotate 的保留策略与异地/离线备份；监控日志文件大小与 inode 变化；必要时采集到 集中式日志平台（如 ELK/SIEM） 做完整性校验与留存。
- 日志权限与策略不当：确保日志目录与文件权限最小化，仅允许 root 与日志服务写入；启用 SELinux 策略限制非授权访问与篡改。
- 仅依赖系统日志不足：结合 应用日志、数据库日志、网络连接状态 进行多源关联；部署 Fail2ban 自动封禁暴力来源；对关键系统文件启用 完整性监控（AIDE）。
- 日志量过大导致漏检：使用 Logwatch/GoAccess 做摘要与可视化；在 SIEM 中设置阈值与异常基线告警，避免被海量正常日志淹没。

最新问答

相关标签