怎样检查CentOS系统漏洞

一、基础准备工作：更新系统与识别环境 在检查漏洞前，需确保系统为最新状态，减少已知漏洞风险。使用以下命令更新系统及查看补丁信息：

执行sudo yum update更新所有可用的安全补丁；
通过cat /etc/redhat-release或uname -a确认系统版本；
使用rpm -qa | grep patch检查已安装的系统补丁，确保无遗漏。

二、常用漏洞检测工具及使用方法

1. OpenVAS（开源综合扫描）

OpenVAS是功能强大的开源漏洞评估系统，支持检测系统、应用程序及网络漏洞。安装步骤：

运行sudo yum install openvas安装；
启动服务：sudo systemctl start openvas-scanner、sudo systemctl start openvas-manager；
访问https://localhost:9392（默认端口）登录Web界面，创建扫描任务并执行。
该工具可生成详细漏洞报告，包含修复建议。

2. Nessus（商业/个人版可用）

Nessus是全球使用最广泛的漏洞扫描工具，支持远程/本地扫描。安装步骤：

从Tenable官网下载CentOS对应版本的安装包（如Nessus-8.13.1-es7.x86_64.rpm）；
运行sudo rpm -ivh Nessus-*.rpm安装；
启动服务：sudo systemctl start nessusd，设置开机自启动；
浏览器访问https://localhost:8834激活账号（需注册），创建扫描任务即可。

3. Lynis（开源安全审计）

Lynis专注于Linux系统安全审计，检测配置缺陷、未授权服务及弱密码等问题。使用方法：

安装：sudo yum install lynis；
运行扫描：sudo lynis audit system；
查看报告：sudo lynis show reports，报告中会标注高风险漏洞及修复建议。

4. Trivy（镜像/系统漏洞扫描）

Trivy是轻量级开源工具，适合扫描CentOS镜像及系统漏洞。安装步骤：

添加Trivy仓库：编辑/etc/yum.repos.d/trivy.repo，写入[trivy] name=Trivy repository baseurl=https://knqyf263.github.io/trivy-repo/rpm/releases/$releasever/$basearch/ gpgcheck=0 enabled=1；
安装：sudo yum install trivy；
扫描系统：sudo trivy fs --security-checks vuln /（扫描本地系统）；
扫描镜像：trivy image centos:7（替换为目标镜像）。支持按严重程度（--severity HIGH,CRITICAL）过滤结果。

5. Nmap（网络端口/漏洞扫描）

Nmap用于扫描开放端口及检测常见漏洞（如未授权访问）。安装：sudo yum install nmap；
基本扫描：nmap -sV -O localhost（扫描本地开放端口及服务版本）；
检测漏洞：结合NSE脚本（如nmap --script vuln localhost），识别已知漏洞。

三、手动检查与辅助手段

1. 检查系统与服务配置

查看已安装软件：yum list installed，核对是否有已知漏洞的软件包（可通过CVE数据库查询）；
检查开放端口：netstat -tulnp或ss -tulnp，关闭非必要的高危端口（如22端口需修改SSH配置，禁用root登录）；
审计服务状态：systemctl list-unit-files --state=enabled，禁用不必要的服务（如telnet、ftp）。

2. 分析日志文件

查看认证日志：journalctl -u sshd或grep 'fail' /var/log/secure，检查是否有异常登录尝试（如多次失败登录）；
查看系统日志：journalctl -xe或/var/log/messages，关注系统错误、警告信息（如内核漏洞触发的内核崩溃日志）。

3. 使用安全工具深度检测

检测Rootkit：sudo chkrootkit、sudo rkhunter --check，识别系统中的隐藏后门；
检测恶意软件：sudo clamscan -r /（ClamAV扫描），清理系统中的恶意程序。

四、持续维护建议

定期更新：开启自动更新（sudo yum install yum-cron，编辑配置文件启用apply_updates = yes），及时应用安全补丁；
订阅安全公告：关注CentOS官方安全公告（如邮件列表、官网Security Advisories），获取最新漏洞信息；
定期扫描：每周执行一次自动化漏洞扫描（如OpenVAS/Nessus），每月进行一次全面手动审计；
强化配置：使用SELinux（setenforce 1启用Enforcing模式）、防火墙（firewalld配置规则）限制访问，降低漏洞利用风险。