線上Linux伺服器運維安全策略經驗分享
阿新 • • 發佈：2018-11-16
今天跟大家分享的主題是：線上Linux伺服器運維安全策略經驗。
查詢檔案：find / -type f -perm -2 -o -perm -20 |xargs ls -al 查詢目錄：find / -type d -perm -2 -o -perm -20 |xargs ls –ld
find / -type f -perm -4000 -o -perm -2000 -print | xargs ls –al
find / -user root -perm -2000 -print -exec md5sum {} ; find / -user root -perm -4000 -print -exec md5sum {} ;
find / -nouser -o –nogroup
[[email protected] ~]# mv /var/tmp/* /tmp [[email protected] ~]# ln -s /tmp /var/tmp
[[email protected] ~]# dd if=/dev/zero of=/dev/tmpfs bs=1M count=10000 [[email protected] ~]# mke2fs -j /dev/tmpfs [[email protected] ~]# cp -av /tmp /tmp.old [[email protected] ~]# mount -o loop,noexec,nosuid,rw /dev/tmpfs /tmp [[email protected] ~]# chmod 1777 /tmp [[email protected] ~]# mv -f /tmp.old/* /tmp/ [[email protected] ~]# rm -rf /tmp.old
最後，編輯/etc/fstab，新增如下內容，以便系統在啟動時自動載入loopback檔案系統：
/dev/tmpfs /tmp ext3 loop,nosuid,noexec,rw 0 0
[[email protected] chkrootkit]# /usr/local/chkrootkit/chkrootkit Checking `ifconfig'... INFECTED Checking `ls'... INFECTED Checking `login'... INFECTED Checking `netstat'... INFECTED Checking `ps'... INFECTED Checking `top'... INFECTED Checking `sshd'... not infected Checking `syslogd'... not tested
檢測rootkit使用的二進位制和系統工具檔案 檢測特洛伊***程式的特徵碼 檢測常用程式的檔案屬性是否異常 檢測系統相關的測試 檢測隱藏檔案 檢測可疑的核心模組LKM 檢測系統已啟動的監聽埠
[[email protected] ~]# /usr/local/bin/rkhunter --check --skip-keypress
30 09 * * * root /usr/local/bin/rkhunter --check --cronjob
[[email protected] ~]# pidof sshd 13276 12942 4284
[[email protected] ~]# ls -al /proc/13276/exe lrwxrwxrwx 1 root root 0 Oct 4 22:09 /proc/13276/exe -> /usr/sbin/sshd
[[email protected] ~]# ls -al /proc/13276/fd
[[email protected] ~]# rpm -Va ....L... c /etc/pam.d/system-auth S.5..... c /etc/security/limits.conf S.5....T c /etc/sysctl.conf S.5....T /etc/sgml/docbook-simple.cat S.5....T c /etc/login.defs S.5..... c /etc/openldap/ldap.conf S.5....T c /etc/sudoers
很多情況下，被***過的系統已經不再可信任，因此，最好的方法是將伺服器上面資料進行備份，然後重新安裝系統，最後再恢復資料即可。