Linux系统漏洞检测实操指南
面对复杂的网络环境，一套系统性的漏洞检测流程，是守护Linux服务器安全的第一道防线。今天，我们就来梳理一份从思路到实操的完整指南。
一、检测思路与流程
有效的检测始于清晰的思路。一个完整的闭环流程通常包含以下几个关键环节：
- 资产梳理与暴露面确认：这是所有工作的起点。你得先搞清楚自己守护的是什么——系统是Web服务器、数据库还是DNS？对外的IP、域名有哪些？哪些端口和服务是敞开的，访问路径又是什么？摸清家底，才能有的放矢。
- 本地配置与合规审计：系统内部是否“健康”？检查SSH配置、文件权限、日志设置、内核参数以及防火墙规则等，看看是否符合CIS等安全基线的要求。很多漏洞其实源于不当的默认配置。
- 软件包与CVE比对：漏洞往往藏在细节里。对内核、glibc、OpenSSL、Apache/Nginx、数据库等关键组件进行版本排查，并与公开的CVE漏洞库进行匹配，根据风险等级（如Critical/High）进行分级处理。
- 网络与主机漏洞扫描：结合工具进行深度探测。通过端口和服务识别，利用漏洞插件进行扫描，这里需要一定的经验来区分真正的高危漏洞和可能的误报。
- 入侵痕迹与完整性校验：假设已经存在入侵，该如何发现？排查Rootkit、后门、异常进程、隐藏文件，校验关键系统文件和配置是否被篡改。
- 日志与行为分析：日志是忠实的记录者。集中采集和分析auth.log、syslog、journald等日志，必要时与主机入侵检测系统（HIDS）、网络入侵检测系统（IDS）或安全信息与事件管理（SIEM）系统联动，进行关联分析和告警。
- 修复与复测：发现问题不是终点。根据风险等级制定修复计划，打补丁或进行配置加固后，必须进行回归扫描和基线复核，确保漏洞真正被闭环处理。
二、本地安全审计与配置检查
千里之堤，溃于蚁xue。本地安全配置的加固往往能消除大部分低级风险。
- Lynis 本地审计
- 安装与运行：一条命令即可开始：
sudo apt install lynis -y && sudo lynis audit system。 - 关注重点：仔细查看输出中的Warning（警告）和Suggestion（建议）项，详细日志位于
/var/log/lynis.log。常见的加固项包括SSH配置、日志轮转策略以及防火墙状态等。
- 安装与运行：一条命令即可开始：
- 合规基线扫描（OpenSCAP）
- 操作示例（以Ubuntu 22.04为例）：
sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml
- 操作示例（以Ubuntu 22.04为例）：
- 文件完整性监控（AIDE）
- 初始化与日常检查：首次运行
sudo aideinit建立基线。之后可通过定时任务每日检查：/usr/bin/aide --check | mail -s “AIDE Report $(hostname)” admin@example.com。
- 初始化与日常检查：首次运行
- 账户与SSH安全
- 检查空口令账户：
awk -F: ‘($2 == “” ) {print $1}’ /etc/shadow - SSH配置核查：
sshd -T | egrep ‘permitrootlogin|passwordauthentication|maxauthtries’ - 推荐配置： PermitRootLogin prohibit-password； PasswordAuthentication no； MaxAuthTries 3
- 检查空口令账户：
- 审计与变更监控（auditd）
- 监控与查询： 例如监控/etc目录：
sudo auditctl -w /etc/ -p wa -k etc_changes；后续查询变更：ausearch -k etc_changes | aureport -f -i。
- 监控与查询： 例如监控/etc目录：
三、软件包与CVE漏洞比对
保持软件更新是堵住已知漏洞最直接的方法。
- Debian/Ubuntu 系
- 列出可升级包：
apt list --upgradable - 已知漏洞检查：
sudo apt install debsecan -y && debsecan --suite bookworm --format detail
- 列出可升级包：
- RHEL/CentOS/Fedora 系
- 安全更新列表：
sudo dnf updateinfo list updates --security（旧版系统可使用yum命令）
- 安全更新列表：
- 通用做法
- 对于OpenSSL、Apache、Nginx、系统内核等核心组件，需要特别关注。手动将其版本与CVE/NVD数据库中的条目进行比对和风险分级，优先修复Critical（严重）和High（高危）级别的漏洞。
四、网络与主机漏洞扫描
从外部视角审视系统，可以发现内部检查容易忽略的暴露点。
- 端口与服务识别（Nmap）
- 检查本机监听：
nmap -sT localhost - 远程基础识别：
nmap -A 目标IP - 深度全端口扫描：
nmap -sS -Pn -T4 -p- -A -v 目标IP
- 检查本机监听：
- 漏洞扫描平台（OpenVAS/GVM）
- 启动与使用： 启动服务：
sudo gvm-start。通过Web界面（https://localhost:9392）创建扫描任务（如Full and fast），并可导出详细的PDF或HTML报告。
- 启动与使用： 启动服务：
- 商业与专业方案（Nessus）
- 访问 https://
:8834 创建扫描任务，其漏洞库全面，能有效覆盖系统与应用层的CVE检测。
- 访问 https://
- Web 应用专项（Nikto/ZAP）
- Nikto快速扫描：
nikto -h 目标URL - ZAP深度测试： 使用OWASP ZAP的主动/被动扫描功能，配合基线策略，能深入发现Web应用漏洞。
- Nikto快速扫描：
五、入侵痕迹与完整性校验及修复闭环
安全是一个持续对抗的过程，检测入侵痕迹和形成修复闭环至关重要。
- Rootkit/后门检测
- rkhunter：
sudo apt install rkhunter -y && sudo rkhunter --propupd && sudo rkhunter --check（检查日志：/var/log/rkhunter.log） - chkrootkit：
sudo chkrootkit
- rkhunter：
- 恶意软件查杀
- ClamA V：
sudo apt install clama v -y && sudo freshclam && sudo clamscan -r /tmp /var/www
- ClamA V：
- 完整性监控与审计
- 使用Tripwire或AIDE建立系统文件基线数据库，定期校验
/etc、/usr/bin、/var/www等关键目录。 - 配置auditd持续记录敏感路径的变更，并通过ausearch/aureport工具生成审计报表。
- 使用Tripwire或AIDE建立系统文件基线数据库，定期校验
- 日志与威胁检测
- 集中化： 配置rsyslog进行远程日志收集，确保journald日志持久化。
- 实时化： 部署OSSEC等HIDS或Snort等IDS，进行日志分析和实时威胁告警。
- 修复与复测
- 优先级排序： 按照Critical/High等风险等级优先处理。对内核、中间件等重要更新，需制定滚动升级与回滚预案。
- 变更后验证： 修复后必须执行回归扫描（使用OpenVAS/Nessus）、重新进行基线合规检查（使用Lynis/OpenSCAP）以及文件完整性校验（使用AIDE/Tripwire）。
- 安全加固要点
- 最小化暴露面： 关闭一切非必要的端口和服务，对必须开放的端口严格限制访问来源IP。
- 强化访问控制： SSH强制禁用Root直接登录，改用密钥认证，并精细控制sudo权限范围。
- 运行时防护： 根据发行版启用SELinux或AppArmor，合理配置nftables/ufw防火墙规则，并落实日志审计策略。
