CentOS系统漏洞排查实战指南
在日常运维工作中，CentOS系统的安全性始终是重中之重。无论你是刚接手服务器管理的新手，还是已经积累多年经验的老手，系统漏洞检测都是一项绕不开的基础工作。那么，从零开始，怎样高效完成CentOS系统的漏洞排查？接下来，我们按照一条清晰的脉络，逐步拆解整个过程。
一、基础准备工作：更新系统与识别环境
在动手检查漏洞之前，先将系统更新至最新状态，这能有效阻挡已知漏洞风险。操作步骤非常直接：
- 执行
sudo yum update，系统会自动安装所有可用的安全补丁； - 通过
cat /etc/redhat-release或uname -a确认当前系统版本，做到心中有数； - 再用
rpm -qa | grep patch检查已安装的系统补丁，确保没有遗漏任何关键更新。
二、常用漏洞检测工具及使用方法
工具的选择往往决定排查效率。这里整理了几款业界主流的漏洞检测工具，各有侧重，可根据实际场景灵活选用。
1. OpenVAS（开源综合扫描）
OpenVAS在开源社区中堪称功能全面的漏洞评估系统，系统漏洞、应用漏洞、网络漏洞都能覆盖。安装流程清晰明了：
- 运行
sudo yum install openvas完成安装； - 启动服务时，依次执行
sudo systemctl start openvas-scanner和sudo systemctl start openvas-manager； - 浏览器打开
https://localhost:9392登录Web界面，创建扫描任务即可执行检测。生成的漏洞报告详细全面，修复建议也一并附上。
2. Nessus（商业/个人版可用）
Nessus在全球范围内都是使用率极高的扫描工具，支持远程和本地两种扫描模式。安装步骤同样不复杂：
- 从Tenable官网下载对应CentOS版本的安装包，比如
Nessus-8.13.1-es7.x86_64.rpm； - 运行
sudo rpm -ivh Nessus-*.rpm安装； - 启动服务并设置开机自启：
sudo systemctl start nessusd； - 浏览器访问
https://localhost:8834激活账号，之后就可以创建扫描任务了。
3. Lynis（开源安全审计）
Lynis是一款效率极高的轻量级审计工具，专门针对Linux系统配置缺陷、未授权服务和弱密码等问题。使用起来非常直接：
- 安装：
sudo yum install lynis； - 运行扫描：
sudo lynis audit system； - 查看报告：
sudo lynis show reports，报告里会清晰标注高风险漏洞及修复建议。
4. Trivy（镜像/系统漏洞扫描）
Trivy是近年来兴起的轻量级开源工具，特别适合扫描CentOS镜像及系统漏洞。安装时需要先添加仓库：
- 编辑
/etc/yum.repos.d/trivy.repo，写入配置信息； - 然后
sudo yum install trivy安装； - 扫描系统用
sudo trivy fs --security-checks vuln /，扫描镜像用trivy image centos:7。支持按严重程度过滤结果，比如--severity HIGH,CRITICAL，只关注高风险问题。
5. Nmap（网络端口/漏洞扫描）
Nmap是老牌的网络扫描利器，主要用于检测开放端口和相关漏洞，比如未授权访问这类典型问题。安装简单：sudo yum install nmap；基本扫描可以直接执行或者 nmap -sV -O localhost；结合NSE脚本还能进一步挖掘已知漏洞 vulnerability nmap --script vuln localhost`
三、手动检查与辅助手段
1. 检查系统与服务配置
- 查看已安装软件：
yum list installed，对照CVE数据库查询是否有对应漏洞； - 检查开放端口：
netstat -tulnp或ss -tulnp，关闭非必要的高危端口，比如SSH的22端口可以通过修改配置文件禁用root登录； - 审计服务状态：
systemctl list-unit-files --state=enabled，禁用不必要的服务，比如telnet、ftp这类不再安全的服务。
2. 分析日志文件
- 查看认证日志：
journalctl -u sshd或grep 'fail' /var/log/secure，检查是否有异常登录尝试，比如多次失败； - 查看系统日志：
journalctl -xe或/var/log/messages，重点关注系统错误、警告信息，比如内核漏洞触发的崩溃日志。
3. 使用安全工具深度检测
- 检测Rootkit：
sudo chkrootkit、sudo rkhunter --check，识别系统中的隐藏后门； - 检测恶意软件：
sudo clamscan -r /（ClamA V扫描），清理系统中的恶意程序。
四、持续维护建议
漏洞排查不是一次性的任务，而是一个持续迭代的过程。以下几条建议值得长期坚持：
- 定期更新：强烈建议开启自动更新，通过
sudo yum install yum-cron安装，并编辑配置文件启用apply_updates = yes，及时应用安全补丁； - 订阅安全公告：关注CentOS官方安全公告，比如邮件列表或官网Security Advisories，第一时间获取最新漏洞信息；
- 定期扫描：每周执行一次自动化漏洞扫描（OpenVAS或Nessus均可），每月进行一次全面手动审计；
- 强化配置：启用SELinux（
setenforce 1进入Enforcing模式），配置firewalld规则限制访问，从配置层面降低漏洞利用风险。
话说回来，工具和流程都是辅助手段，真正决定安全水平的是运维人员的习惯和意识。每一步操作都做到位，CentOS系统的安全防线就能扎实很多。
