Linux服务器安全策略

一、Linux后门***检测工具

rootkit主要有两种类型：文件级别和内核级别

文件级别：文件被修改，如常用命令，带宽***

内核级别：像镜像中植入


rootkit后门检测工具RKHunter：

https://rootkit.nl/projects/rootkit_hunter.html

https://sourceforge.net/projects/rkhunter/files/rkhunter/1.4.2/


阿里云：云盾，取向商业化

云锁

WAF+iptables

WAF:

Web应用防护系统（也称：网站应用级***防御系统。英文：Web Application Firewall，简称： WAF）。利用国际上公认的一种说法：Web应用防火墙是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。


二、处理服务器遭受***的一般思路

1、一般思路

1)切断网络

2)查找***源

查看系统日志和登录日志/var/log/message和/var/log/secure和dmesg命令

3)分析***原因和途径

ps -ef  查看到带[]的是系统进程

伪装进程：如.vcjcjcjc .vgvgchchec .ssshd .a .b .1

查看crontab内容，是否有异常定时任务，/etc/crontab

系统漏洞、程序漏洞

4)备份用户数据

5)重新安装系统

6)修复程序或系统漏洞

7)恢复数据和连接网络

2、检测并锁定可疑用户

w命令

3、查看系统日志

/var/log/message和/var/log/secure和dmesg命令,家目录下.bash_history

4、检查并关闭系统可疑进程

kill掉进程，然后删除文件

1)ps -ef 查看pid

2)根据pid查文件：ll /proc/25199/exe或ll /proc/25199/fd

pidof命令：

pidof sshd

5、检查文件系统的完整性

6、重新安装系统恢复数据



堡垒机：类似防火墙，门卫，访问内网服务器需先进过堡垒机。

麒麟堡垒机：iso镜像