Ubuntu 下用 iptables 检测漏洞的实操流程
一 基线核查与规则体检
- 查看当前生效规则与命中计数：执行 sudo iptables -L -n -v，核对是否存在过于宽松的规则（例如对0.0.0.0/0开放了非必要端口），并关注每条规则的packets/bytes是否异常偏高。
- 检查默认策略：确认 INPUT/OUTPUT/FORWARD 的默认策略，生产环境推荐 INPUT/OUTPUT 为DROP，仅对必需流量显式放行。
- 核对规则顺序与覆盖：规则是从上到下匹配，确保显式拒绝或速率限制等规则不会被后续 ACCEPT 覆盖。
- 保存与回滚基线：将当前规则导出保存（sudo iptables-save > /etc/iptables/rules.v4），便于审计与回滚。
- 注意 IPv6：若启用 IPv6，同步检查 ip6tables -L -n -v 与 /etc/iptables/rules.v6。
以上步骤能快速发现“配置性漏洞”（规则缺失、顺序不当、默认策略过宽）。
二 主动探测与日志审计结合
- 外部视角验证暴露面：在获得授权的网络位置，用 nmap 对目标主机进行扫描，例如：
- 快速扫描：nmap
- 服务与版本探测：sudo nmap -sV
将结果与本机 iptables 放行列表比对，定位“应关未关/误放”的端口（如6379/3306/11211等高风险服务）。
- 内部精细化日志：在关键链上添加日志前缀，便于追踪被拒流量与异常行为：
- 示例：sudo iptables -A INPUT -j LOG --log-prefix "IPTables-Dropped: " --log-level 4
- 查看：grep “IPTables-Dropped” /var/log/syslog（或 rsyslog 配置的其他日志文件）。
- 连接速率限制：对易遭暴力破解的端口（如 22/TCP）设置速率限制，超限丢弃：
- 示例：sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
- 示例：sudo iptables -A INPUT -p tcp --syn -j DROP
- 动态封禁：结合日志分析对恶意来源 IP 实施阻断：
- 示例：sudo iptables -A INPUT -s <恶意IP> -j DROP
以上方法把“主动探测”与“被动日志”结合，既能发现开放端口，也能捕捉扫描与暴力尝试。
三 用 TRACE 跟踪数据包在规则链中的走向
- 适用场景：当不确定某类流量（如UDP/TCP）为何被放行或丢弃时，用 TRACE 追踪其经过的表与链。
- 启用步骤：
- 确认并加载日志/连接跟踪模块：
for m in ipt_LOG nf_log_ipv4; do find /lib/modules/$(uname -r) ( -name “${m}.ko*” ) -type f | grep -q ${m} && mod=${m} && break; done
sudo modprobe ${mod}
sudo modprobe nf_conntrack_ipv4
sudo sysctl net.netfilter.nf_log.2=${mod}
- 对目标协议开启 TRACE：
sudo iptables -t raw -A OUTPUT -p udp -j TRACE
sudo iptables -t raw -A PREROUTING -p udp -j TRACE
- 观察内核日志（如 dmesg/日志文件）中带有 TRACE 的数据包路径，定位命中或未命中的规则。
TRACE 能直观展示 netfilter 钩子与规则优先级对数据包的处理路径，是排查“规则未生效/被覆盖”的利器。
四 异常行为检测与自动化响应
- 典型扫描与攻击特征：
- ICMP Echo/广播探测：大量 echo-request 或非工作时段异常 ICMP 记录。
- TCP Connect/半开扫描：短时间内对同一来源 IP 的不同端口发起大量 NEW 连接。
- Web 扫描：同一 IP 在短时间（如5 分钟）内发起高频 GET 请求（如每秒**10+**次）。
- 日志阈值检测思路：
- 维护“业务必需端口白名单”，对不在白名单的 NEW 连接进行计数与告警。
- 设定时间窗与阈值（如5 分钟内同一 IP 对不同端口超过3次则告警；对低频长周期扫描可用6 小时窗口）。
- 自动化处置：
- 使用 Fail2Ban 监控日志（如 /var/log/auth.log、syslog 中“IPTables-Dropped”），按策略自动添加临时 DROP 规则，缓解暴力破解与扫描。
- 配合 Lynis 做系统级安全审计，发现薄弱点并整改。
上述方法把“特征检测 + 自动封禁”形成闭环，降低漏洞被利用的风险。
五 安全加固与验证清单
- 加固要点：
- 将 INPUT/OUTPUT 默认策略设为 DROP，仅对必需端口/来源显式 ACCEPT。
- 对管理口（如 22/TCP）限制来源网段，并启用密钥登录、禁用 root 直登。
- 为关键服务（如数据库、缓存）仅在内网开放，或通过跳板/代理访问。
- 定期更新系统与软件包：sudo apt update && sudo apt upgrade。
- 验证闭环：
- 变更后用 nmap 再次扫描，确认仅暴露必要端口；
- 查看日志与规则命中计数，确认无异常放行；
- 将最终规则保存：sudo iptables-save > /etc/iptables/rules.v4。
以上步骤确保“发现—处置—验证”全流程闭环，减少“误配置导致的暴露”。
