Ubuntu 监控 Exploit 活动的实用方案
一 基线核查与漏洞面收敛
- 明确系统与内核版本：执行 cat /etc/os-release、uname -r，确认是否运行受支持版本并规划内核/软件更新。
- 最小化攻击面：仅开启必需服务，关闭不必要的端口与内核模块，定期执行 sudo apt update && sudo apt upgrade。
- 用户与权限梳理：检查 /etc/passwd、/etc/shadow 是否存在异常账户；排查 SUID/SGID 可执行文件（如 find / -perm -4000 -ls 2>/dev/null），发现异常立即复核来源与用途。
- 启动项与服务：审查 systemctl list-unit-files --type=service 与开机自启项，禁用未知或可疑服务。
- 防火墙与访问控制：启用 UFW 或 iptables，仅放行必要来源/端口，对管理口与敏感服务设置来源白名单。
二 日志与主机行为监控
- 认证与会话：重点查看 /var/log/auth.log（SSH 登录、sudo 使用）、/var/log/syslog（系统事件）；使用 journalctl -f 实时跟踪关键服务日志。
- 进程与资源：用 top/htop、ps aux 发现异常高占用或未知进程；结合 lsof -i :端口 定位端口对应进程。
- 网络连接：用 ss -tulnp 或 netstat -tulnp 检查异常监听/外连；对可疑连接用 tcpdump -i any -nn -s0 -w capture.pcap 抓包，后续用 Wireshark 分析。
- 完整性校验：部署 AIDE 或 Tripwire 建立基准库并定期校验，识别关键系统文件被篡改。
- 恶意软件扫描：安装并更新 ClamAV 执行全盘或重点目录扫描（如 clamscan -r / --bell -i）。
三 入侵检测 文件完整性 与 Rootkit 检测
- 主机入侵检测 HIDS：部署 OSSEC 进行日志分析、文件完整性校验、rootkit 检测与主动响应（如阻断 IP）；按需配置监控目录、规则与告警通知。
- Rootkit 与隐藏进程：定期运行 chkrootkit、rkhunter；用 unhide 检测隐藏进程/端口，交叉验证异常。
- 网络入侵检测 NIDS：部署 Snort 进行实时流量分析与规则匹配，识别端口扫描、缓冲区溢出等攻击特征。
- 系统调用与关键文件审计：启用 auditd，对 /etc/passwd、/etc/shadow、/bin/su、/usr/bin/sudo 等配置变更与权限提升行为设置监控规则；使用 ausearch -k 与 aureport 查询审计事件。
四 漏洞扫描 合规审计与自动化
- 漏洞评估：使用 OpenVAS/Nessus 扫描未修复漏洞，Linux-Exploit-Suggester 基于内核/发行版提示潜在提权风险，Nmap 梳理开放端口与服务指纹。
- 安全审计与加固：运行 Lynis 进行系统强化与合规测试；用 OpenSCAP 基于 SCAP 标准做基线核查与自动修复。
- 集中化日志与告警：将 auth.log/syslog/audit.log 接入 ELK Stack（Elasticsearch+Logstash+Kibana） 或企业 SIEM，配置阈值与可视化告警。
- 自动化巡检：通过 Cron 定期执行漏洞扫描、完整性校验与日志汇总报告，形成持续监测闭环。
五 事件响应与处置流程
- 立即隔离：对疑似受感染主机执行 断网/隔离 VLAN，避免横向扩散。
- 快速取证：保存关键证据（如 /var/log/、audit.log、可疑进程内存映像、网络抓包 pcap），记录时间线与操作。
- 遏制与清除：终止可疑进程、下线异常服务，清理持久化（可疑 systemd 单元、cron、启动项、SSH 公钥）；必要时从干净快照/备份恢复。
- 修补与加固：全面更新系统与软件包，修补内核/中间件漏洞；强化 SSH（禁用 root 远程登录、改用密钥登录、限制来源 IP）、启用 UFW 并收紧策略。
- 复盘与预防：基于日志与审计记录复盘入侵路径，完善 auditd 规则与 IDS/IPS 策略，建立例行巡检与演练机制。