CentOS安全漏洞Exploit的利用与防范

CentOS安全漏洞 Exploit 的利用与防范

一 安全基线加固

• 最小化安装与清理：仅保留运行必需组件，关闭不需要的服务与端口；使用命令查看与禁用不必要服务（如 systemctl、chkconfig），并通过 netstat/ss 检查开放端口。
• 及时更新与补丁：定期执行 yum update 或 dnf update，生产环境优先分批更新关键包（如 kernel、sudo、openssh、glibc、bind、openssl）以降低业务中断风险。
• 账户与权限：禁用或删除无用账户，设置强口令策略（长度≥8位，包含大小写字母、数字与特殊字符），日常使用普通账户+sudo；可设置 TMOUT 自动注销与限制 su 使用组。
• SSH安全：禁用 root 远程登录（/etc/ssh/sshd_config 中设置 PermitRootLogin no），启用 SSH 密钥认证、禁用密码登录，必要时更改默认端口并限制登录尝试次数。
• 防火墙与网络：使用 firewalld/iptables 实施最小暴露面策略，仅开放必要端口与服务。
• SELinux：在 /etc/selinux/config 中启用 SELINUX=enforcing，仅在必要时使用 permissive 进行排障。
• 日志与审计：集中记录并分析 /var/log/secure、/var/log/messages，启用 auditd 做系统调用与关键文件完整性审计。
• 备份与演练：对关键数据执行周期性备份与恢复演练，确保被入侵后可快速恢复。

二 漏洞检测与风险评估

• 日志与行为监测：持续查看 /var/log/secure、/var/log/messages，关注异常登录、权限变更与命令执行；监控 CPU/内存/IO 异常突增。
• 网络与连接：排查异常出入站连接与大量数据传输，使用 netstat、ss、tcpdump 进行实时抓包与连接状态分析。
• 主动扫描与基线核查：定期使用 Nmap、Nessus、OpenVAS 扫描开放端口与已知漏洞；用 OpenSCAP/Lynis 做合规基线检查与加固建议。
• 渗透测试与演练：在授权范围内使用 Metasploit 等工具进行攻防演练，验证防御有效性并发现薄弱点。
• 风险评估流程：确认事件→隔离受影响主机→证据采集与分析→漏洞修复与清理→服务恢复与验证→复盘优化策略。

三 常见漏洞与修复示例

四 入侵处置与应急响应

• 隔离与止损：立即将受感染主机从网络中隔离，关闭非必要端口与服务，防止横向扩散。
• 证据留存：保全 /var/log/secure、/var/log/messages 等日志与关键配置文件；使用 tcpdump 抓包、记录进程与网络连接快照，便于溯源与取证。
• 清除与修复：终止可疑进程、清理异常定时任务与启动项、封堵攻击源 IP；依据漏洞类型实施精准修复（如升级内核/组件、调整 SELinux 策略、修复错误配置）。
• 恢复与验证：分批恢复服务，开展全面安全检测与基线核查，确认无后门与残留风险后再上线。
• 复盘与加固：优化监控告警阈值、口令与访问控制策略、补丁与变更流程，形成常态化安全运营闭环。

五 面向 CentOS 7 的加固脚本示例

#!/usr/bin/env bash
# 1) 更新安全补丁（分批执行关键包）
yum clean all
yum -y update kernel
yum -y update sudo
yum -y update openssh-*

# 2) SSH 加固
sed -i 's/^#*PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
systemctl restart sshd

# 3) 防火墙仅放行必要服务（示例：放行 SSH 与 HTTP）
firewall-cmd --permanent --zone=public --add-service=ssh
firewall-cmd --permanent --zone=public --add-service=http
firewall-cmd --reload

# 4) SELinux 强制模式
sed -i 's/^SELINUX=.*/SELINUX=enforcing/' /etc/selinux/config

# 5) 安装与启用审计与完整性检查
yum -y install auditd aide
systemctl enable --now auditd
aide --init && mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# 6) 自动封禁暴力破解（fail2ban）
yum -y install epel-release
yum -y install fail2ban
systemctl enable --now fail2ban

# 7) 合规基线核查（OpenSCAP）
yum -y install openscap-scanner
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_stig \
  /usr/share/xml/scap/ssg/content/ssg-centos7-ds.xml

提示：生产环境请先在测试环境验证脚本影响，分批执行并保留回滚方案。