Linux系统中 exploit 漏洞修复实操指南
一、处置流程与优先级
- 建立闭环流程：发现 → 评估 → 测试 → 部署 → 验证 → 监控。先确认受影响范围与业务影响，再制定变更计划与回滚方案。高危 CVE（≥7.0） 需优先处理。
- 识别手段：运行命令查看可升级包（Debian/Ubuntu：apt list --upgradable；RHEL/CentOS/Fedora：yum/dnf check-update），并订阅发行版安全通告（如 Ubuntu Security Announce、NVD/CVE）。
- 评估与测试：在测试环境先行验证，必要时用 Lynis、OpenVAS 做基线检查与专项复扫，确认修复后不影响核心业务。
- 部署与回滚：生产环境在维护窗口操作，保留旧内核/旧包以便快速回滚；变更全程留痕（变更单、时间、影响面、回滚步骤）。
二、通用修复步骤
- 更新系统与软件包：优先安装带 security/errata 标签的更新。Debian/Ubuntu 执行 sudo apt-get update && sudo apt-get upgrade；RHEL/CentOS/Fedora 执行 sudo yum/dnf update。
- 启用自动安全补丁：Debian/Ubuntu 启用 unattended-upgrades，RHEL/CentOS 启用 yum-cron，确保关键安全补丁自动落地。
- 内核更新与重启：内核修复通常需重启。更新后使用 grubby --default-kernel 检查默认启动项，保留旧内核以便回滚。
- 验证生效：核对包版本（如 dpkg -l | grep <包名> 或 rpm -q <包名>），并对修复的 CVE 进行专项复扫。
- 变更留痕与回滚准备：备份关键配置（如 /etc/ssh/sshd_config）、记录服务启动参数，确保可快速恢复。
三、高风险内核漏洞的专项修复
- 升级内核（首选方案）：
- Debian/Ubuntu：执行 sudo apt-get update && sudo apt-get install linux-image-$(uname -r | cut -d’-’ -f1)-latest。
- CentOS/RHEL：执行 sudo yum update kernel；若需新版内核，可通过 ELRepo 安装（如 yum --enablerepo=elrepo-kernel install kernel-ml -y），然后用 grub2-set-default 0 设为默认并重启。
- 临时缓解（无补丁或等待重启窗口时）：
- 禁用非特权用户命名空间：
- RHEL/CentOS：echo “user.max_user_namespaces=0” > /etc/sysctl.d/userns.conf && sysctl -p
- Debian/Ubuntu：echo “kernel.unprivileged_userns_clone=0” | sudo tee /etc/sysctl.d/99-disable-unpriv-userns.conf
- 模块级缓解（示例）：对 CVE-2024-1086（nf_tables UAF），可临时黑名单 nf_tables：echo “blacklist nf_tables” > /etc/modprobe.d/nf_tables-blacklist.conf && reboot。
- 影响示例：CVE-2024-1086 影响 Linux 内核 v5.14–v6.6（不含已修补分支 v5.15.149、v6.1.76、v6.6.15），低权限可借此提权；CVE-2016-5195（Dirty COW） 影响 2.6.22 及以后版本，需升级内核修复。
四、应用与服务层修复
- 最小化暴露面：仅安装必要软件，systemctl disable 关闭非必要服务，关闭未使用端口，遵循最小权限原则与精细化 sudo 授权。
- 强化运行时防护：启用 SELinux 或 AppArmor，对关键服务（如 nginx、mysqld）加载最小化策略，限制被攻破后的横向移动。
- 加固访问控制：禁用 root 远程登录，使用 密钥登录，强制 强密码策略 与定期更换，限制高危命令的执行权限。
- 防火墙与端口治理：仅开放必要端口（如 22/80/443），使用 firewalld/iptables 实施白名单与速率限制，减少攻击面。
五、事件响应与持续加固
- 疑似被入侵的处置：立即隔离受影响主机（断网/下线），保留现场并收集日志（如 journalctl、/var/log/、tcpdump 抓包），排查可疑账户、进程与定时任务，完成取证后再恢复。
- 持续监控与审计：集中收集与分析日志，启用 IDS/IPS 与主机加固基线，定期执行 漏洞扫描 与配置审计，持续优化策略。
- 备份与演练：对关键数据与配置建立定期备份/快照与恢复演练机制，确保故障或攻击后可快速恢复业务。
- 安全更新常态化：在测试环境验证后，生产环境按计划滚动更新，启用 自动安全补丁，并对每次变更进行验证与记录。
