如何防范ubuntu exploit

防范 Ubuntu 系统被 exploit（漏洞利用/攻击），核心思路是：减少攻击面 + 及时打补丁 + 最小权限 + 监控异常。下面按“实用优先级”给你一套可落地的方案。

一、系统与软件更新（最重要）

1. 开启自动安全更新

sudo apt update
sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

✅ 自动安装 security 更新

2. 定期手动检查

sudo apt update
sudo apt upgrade
sudo apt dist-upgrade

3. 关注内核漏洞

uname -a

如果 Ubuntu 提示内核漏洞（如 Dirty Pipe、Dirty COW），立刻升级内核并重启。

二、账号与权限安全

1. 禁止 root 直接登录

sudo passwd -l root

使用 sudo 提权，而不是 root 登录。

2. 强密码 + SSH Key

• 禁用密码登录（仅允许 key）：

sudo vim /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin no

sudo systemctl restart ssh

3. 限制 sudo 用户

sudo visudo

只给必要用户 sudo 权限。

三、网络与服务最小化

1. 关闭不必要的服务

sudo ss -tulnp

关闭不需要的端口和服务（如 FTP、Telnet、RPC）。

2. 使用防火墙（UFW）

sudo ufw enable
sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw allow 80,443/tcp

3. 防暴力破解（fail2ban）

sudo apt install fail2ban
sudo systemctl enable fail2ban

四、内核与应用加固

1. 启用安全机制

Ubuntu 默认已启用：

• ASLR
• DEP/NX
• Stack Protector

确认：

cat /proc/sys/kernel/randomize_va_space
# 应为 2

2. 使用 AppArmor

sudo aa-status

对 nginx / mysql / docker 等开启 profile。

五、漏洞与 Exploit 防护

1. 关注 CVE

• https://ubuntu.com/security
• https://cve.mitre.org

2. 使用漏洞扫描

sudo apt install lynis
sudo lynis audit system

3. 避免运行未知二进制

• 不从不明来源下载 run / sh
• 不随便 curl | bash

六、日志与监控

sudo apt install auditd
sudo systemctl enable auditd

重点看：

• /var/log/auth.log
• /var/log/syslog
• journalctl -p err

七、云服务器额外建议

• 使用 安全组 限制 IP
• 禁用 22 端口公网暴露（改用跳板机）
• 定期快照备份

总结一句话

Ubuntu 被 exploit，90% 是因为：没更新 + 开端口 + 弱密码

如果你愿意，我可以：

• 按 服务器用途（Web / DB / Docker）给你定制加固清单
• 或帮你 检查当前 Ubuntu 的安全状态

你现在的 Ubuntu 版本是？