Linux安全环境搭建：10年运维实战指南

　　耳机里老张又在咳嗽，说最近那台云服务器被扫出三个高危漏洞。我段位其实不高，但这种场面见得多了——近两个月刚帮三家小公司搭过安全基线，打得挺艰难。键盘左下角的Alt键声音比别的响，每次按下去都像在敲警钟。外卖刚到，我起身开门的时候老张突然喊：“等等！你刚才说的SELinux策略，是不是没关那个domain transition？”

文章配图，仅供参考

　　老张突然插话：“你刚才说禁用IPv6？那Docker网络怎么办？”我原以为他要杠，结果他甩过来个链接——是CVE-2023-XXXX的详细分析，攻击者正是利用了IPv6的NDP协议漏洞。充电线不够长，我只能歪着坐看代码，发现他说的那个场景里，攻击者能在60秒内完成从扫描到提权的全链条。这比我当年遇到的挖矿程序狠多了，那时候对方还要花两小时找漏洞。

　　说回优胜劣汰。上个月帮游戏公司搭环境，他们CTO非要保留telnet服务，说“我们运维用了十年了”。我直接把/usr/bin/telnetd改成了444权限，又在firewalld里加了条拒绝规则。结果第三天他们发现某个老脚本跑不通，CTO打电话来骂，我让他看/var/log/secure里的登录尝试记录——光那天就有237次暴力破解，全是冲着23端口的。现在他们改用SSH证书认证了，说比密码安全多了。

　　老王突然在语音里笑：“你们还记得2018年那个Struts2漏洞吗？”当然记得，那时候我负责的政务系统被攻破，数据泄露的通报文件至今还在抽屉里压着。那次之后我养成了个习惯：所有Web应用都跑在单独的chroot环境里，连/bin/sh都换成busybox的静态版本。上周做渗透测试，红队花了三天才拿到shell，结果发现连/tmp都挂载成了noexec，最后只能灰溜溜撤退。

　　有人问为什么不用AppArmor，说SELinux配置太麻烦。我段位不高，但这点还是懂的——SELinux的策略是白名单机制，AppArmor是黑名单。上个月帮医疗公司搭环境，他们有个自研的HIS系统，开发者为了方便直接给了777权限。我用SELinux把所有进程都限制在特定domain里，连/etc/passwd都只能由sshd和login读取。结果开发者找我吵架，说影响开发效率。我让他看audit.log里的记录——光那天就有47次异常文件访问，全是他们自己的测试脚本干的。

　　耳机里突然传来泡面翻倒的声音，老张说：“我键盘进水了！等会...这TM怎么按不动了？”我趁机说：“看到没？这就是为什么关键服务要跑在物理机上——虚拟机出了问题还能迁移，物理机挂了就是真挂了。”上周给银行搭环境，他们非要用虚拟化，我坚持把数据库服务器放在裸金属上，还配了双电源和RAID10。结果上周三机房停电，虚拟化集群全挂，只有那台数据库服务器靠着UPS撑到了发电机启动。

　　说个反常识的结论：最危险的不是0day漏洞，而是那些被忽视的1day。上个月做安全审计，发现某台服务器上跑着个三年前的Nginx版本，已知漏洞都能编成一本小册子了。更离谱的是，/etc/shadow的权限还是644，所有用户都能读。我问运维为什么不改，他说“怕影响业务”。我直接把他拉到监控屏幕前——看那些来自乌克兰和巴西的IP，每隔五分钟就来扫一次端口。现在那台服务器已经重装了CentOS 9，所有服务都跑在systemd的namespace里，连root用户都不能直接访问/proc文件系统。

　　老张终于修好键盘了，说：“你刚才说的那个iptables规则，是不是漏了ICMP类型？”我查了下配置，发现还真把echo-request给放了。这要是在生产环境，攻击者能直接用ping探测内网拓扑。赶紧改规则，保存的时候手都在抖——这种低级错误十年前就不会犯了，现在居然还能犯。看来安全这东西，真得天天练，稍微松懈就会出问题。就像我退坑的那个朋友，当年也是运维高手，现在改行卖保险了，说“不想再提心吊胆过日子”。

　　外卖盒子扔在桌上，泡面汤已经凝固了。老张说：“下次搭环境，记得把/dev/urandom的权限改成600。”我问为什么，他说：“防止攻击者替换成/dev/zero，让所有加密操作都失效。”我查了下文档，发现还真有这种攻击手法。看来安全这东西，永远没有尽头——你刚堵住一个漏洞，攻击者又找到新的入口。就像打游戏一样，版本在变，对手在变，你只能跟着升级装备和战术。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!