位置: 编程技术 - 正文
Linux服务器安全事件应急响应排查方法总结(linux服务器安全配置)
编辑：rootadmin推荐整理分享Linux服务器安全事件应急响应排查方法总结(linux服务器安全配置)，希望有所帮助，仅作参考，欢迎阅读内容。
文章相关热门搜索词:linux服务器安全软件,linux服务器安全策略详解,linux服务器安全策略有哪些,linux服务器安全加固,linux服务器安全策略有哪些,linux服务器安全设置,linux服务器安全策略有哪些,linux服务器安全策略有,内容如对您有帮助，希望把文章链接给更多的朋友！
Linux是服务器操作系统中最常用的操作系统，因为其拥有高性能、高扩展性、高安全性，受到了越来越多的运维人员追捧。但是针对Linux服务器操作系统的安全事件也非常多的。攻击方式主要是弱口令攻击、远程溢出攻击及其他应用漏洞攻击等。我的VPS在前几天就遭受了一次被恶意利用扫描其他主机SSH弱口令安全问题。以下是我针对此次攻击事件，结合工作中Linux安全事件分析处理办法，总结Linux安全应急响应过程中的分析方法。
一、分析原则
1.重要数据先备份再分析，尽量不要在原来的系统中分析；2.已经被入侵的系统都不再安全，如果条件允许最好采用第三方系统进行分析
二、分析目标
1.找到攻击来源IP2.找到入侵途径3.分析影响范围4.量化影响级别
三、数据备份采集
1.痕迹数据永远是分析安全事件最重要的数据
在分析过程中，痕迹数据永远是最重要的数据资料。所以第一件事自然是备份相关痕迹数据。痕迹数据主要包含如下几点：
1.系统日志：message、secure、cron、mail等系统日志；2.应用程序日志：Apache日志、Nginx日志、FTP日志、MySQL等日志；3.自定义日志：很多程序开发过程中会自定义程序日志，这些日志也是很重要的数据，能够帮我们分析入侵途径等信息；4.bash_history：这是bash执行过程中记录的bash日志信息，能够帮我们查看bash执行了哪些命令。5.其他安全事件相关日志记录
分析这些日志的时候一定要先备份，我们可以通过tar压缩备份好，再进行分析，如果遇到日志较大，可以尽可能通过splunk等海量日志分析工具进行分析。以下是完整备份var/log路径下所有文件的命令，其他日志可以参照此命令：复制代码代码如下:#备份系统日志及默认的httpd服务日志tar -cxvf logs.tar.gz /var/html</p><p>#备份lastlast > last.log</p><p>#此时在线用户w > w.log2.系统状态
系统状态主要是网络、服务、端口、进程等状态信息的备份工作：复制代码代码如下:#系统服务备份chkconfig --list > services.log</p><p>#进程备份ps -ef > ps.log</p><p>#监听端口备份netstat -utnpl > port-listen.log</p><p>#系统所有端口情况netstat -ano > port-all.log3.查看系统、文件异常主要针对文件的更改时间、属组属主信息问题，新增用户等问题，其他可以类推：复制代码代码如下:#查看用户信息：cat /etc/passwd</p><p>#查找最近5天内更改的文件find -type f -mtime -5
4.最后扫一下rootkitRootkit Hunter和chkrootkit都可以
四、分析方法
大胆猜测是最重要的，猜测入侵途径，然后进行分析一般都会事半功倍。一般来说，分析日志可以找到很多东西，比如，secure日志可以查看Accept关键字；last可以查看登录信息；bash_history可以查看命令执行信息等，不同的日志有不同的查看方式，最好是系统管理员的陪同下逐步排查，因为系统管理员才最懂他的服务器系统。此处不做太多赘述。
五、分析影响
根据服务器的用途、文件内容、机密情况结合数据泄漏、丢失风险，对系统使用者影响等进行影响量化，并记录相关安全事件，总结分析，以便后期总结。如果已经被进行过内网渗透，还需要及时排查内网机器的安全风险，及时处理。
六、加固方法
已经被入侵的机器，可以打上危险标签，最直接最有效的办法是重装系统或者系统还原。所以经常性的备份操作是必不可少的，特别是源代码和数据库数据。通过分析的入侵途径，可以进行进一步的加固处理，比如弱口令和应用漏洞等。
清理Linux系统垃圾文件操作方法图文步骤详解 在Linux系统中管理垃圾文件并没那么简单，虽然产生的Linux垃圾文件比较少，但随着对Linux系统的操作难免会产生各种软件安装包、软件残余、浏览器缓
Linux系统下怎么创建和管理逻辑卷？ 逻辑卷可以动态调整磁盘容量，从而提高磁盘管理的灵活性，本次主要讲解的是逻辑卷（LVM）的创建，LVM逻辑卷的创建遵循一下思路:PVVGLV格式化，挂载
Linux下修复inittab文件丢失的两种方法 /etc/inittab文件是linux系统初始化配置文件,该文件出现错误或者丢失时，可能导致无法启动系统，启动系统时会提示出INITNoinittabfilefonud的错误提示信息。
标签: linux服务器安全配置
本文链接地址:https://www.jiuchutong.com/biancheng/368189.html 转载请保留说明！上一篇：怎么恢复Linux root密码？Linux root恢复的两种解决办法(怎么恢复手机桌面时间和日期)
