Ubuntu Exploit：如何避免安全风险

Ubuntu 安全加固与漏洞利用防护实用指南

一 系统更新与补丁管理

• 保持系统与内核处于最新安全状态，优先启用自动安全更新，减少暴露窗口。
• 操作步骤：
  • 安装并启用自动安全更新：
    • sudo apt install unattended-upgrades update-notifier-common
    • sudo dpkg-reconfigure -plow unattended-upgrades（选择“是”）
  • 按需编辑策略文件 /etc/apt/apt.conf.d/50unattended-upgrades，建议开启：
    • Unattended-Upgrade::Mail “you@example.com”
    • Unattended-Upgrade::MailReport “only-on-error”
    • Unattended-Upgrade::Remove-Unused-Kernel-Packages “true”
    • Unattended-Upgrade::Automatic-Reboot “true”
    • Unattended-Upgrade::Automatic-Reboot-Time “03:00”
  • 验证与试运行：
    • unattended-upgrades –dry-run –debug
  • 了解系统更新计时器：
    • /lib/systemd/system/apt-daily.timer（默认每日 06:00、18:00 各一次，带随机延迟）
    • /lib/systemd/system/apt-daily-upgrade.timer（默认每日 06:00 执行升级与清理）

二 身份与访问控制

• 最小权限原则：日常使用普通账户，管理任务通过 sudo 提升；仅授予必要用户 sudo 权限。
  • 将用户加入 sudo 组：sudo usermod -aG sudo someuser
  • 核查 sudo 组成员：grep -Po ‘^sudo.+:\K.*$’ /etc/group
• 强化口令策略：安装并配置 libpam-pwquality
  • sudo apt-get install libpam-pwquality
  • 编辑 /etc/security/pwquality.conf，建议：
    • minlen = 16
    • ucredit = -1（至少1个大写）
    • lcredit = -1（至少1个小写）
    • dcredit = -1（至少1个数字）
    • ocredit = -1（至少1个特殊字符）
    • enforcing = 1
• 远程登录安全（SSH）：
  • 禁用 root 登录、使用 SSH 密钥 替代密码、按需更改默认端口，并限制可登录用户/组（如 AllowUsers/AllowGroups）。

三 网络与远程访问防护

• 启用并正确配置 UFW（默认拒绝入站、允许出站）：
  • sudo apt install ufw && sudo ufw enable
  • sudo ufw default deny incoming && sudo ufw default allow outgoing
  • 仅开放必要端口：sudo ufw allow ssh（或 sudo ufw allow 22）；Web 服务：sudo ufw allow http,https
  • 对 SSH 进行速率限制：sudo ufw limit ssh
• 防暴力破解：部署 Fail2ban
  • sudo apt install fail2ban
  • 复制配置：sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
  • 在 [sshd] 段启用并调参（示例）：
    • enabled = true
    • port = ssh
    • maxretry = 5
    • bantime = 3600（封禁 1 小时）
    • findtime = 600（统计窗口 10 分钟）
  • 重启服务并查看状态：sudo systemctl restart fail2ban；sudo fail2ban-client status sshd

四 运行环境与恶意代码防护

• 应用沙箱与强制访问控制：

  • 使用 Snap 应用（受限沙箱）；优先从 官方商店/可信开发者 安装。
  • 启用并管理 AppArmor：sudo systemctl enable --now apparmor；查看状态：sudo apparmor_status；按需为关键应用创建/强化配置（aa-genprof、aa-enforce）。

• 恶意代码与浏览器安全：

  • 在共享环境或需要扫描的场景，可部署 ClamAV 等反病毒工具进行按需扫描；桌面端建议配合 Ublock Origin / NoScript 等浏览器扩展降低脚本攻击面。
  • 核心风险在于“执行不受信任代码/脚本”，务必仅从受信任源获取软件与脚本，避免以高权限运行来历不明的代码。

五 启动、存储与审计监控

• 启动与固件安全：

  • 启用 UEFI 安全启动；设置 UEFI 管理/设置密码；禁用从外部介质启动；为 GRUB 设置密码；保持 内核锁定 在完整性模式（必要时测试“机密模式”兼容性）。

• 磁盘与数据保护：

  • 启用 LUKS/dm-crypt 全磁盘加密，防范物理窃取导致的数据泄露。

• 日志、审计与漏洞管理：

  • 启用并集中审计日志；按需部署 入侵检测系统（IDS）；定期使用 OpenVAS / Nessus 等工具进行漏洞扫描与整改。
  • 持续监控关键日志：/var/log/auth.log、/var/log/syslog（可用 Logwatch、journalctl 等工具辅助分析）。