Debian dhcp如何进行安全审计

Debian DHCP 安全审计清单

一 审计目标与范围

• 明确审计对象：运行 ISC DHCP Server（isc-dhcp-server） 的 Debian 主机及其配置文件、租约数据库、系统与服务日志、主机防火墙策略。
• 明确审计目标：验证 DHCP 仅由授权实体提供、租约分配可追溯、配置符合最小权限与变更可控原则、网络层与主机层防护到位、异常可被及时检测与响应。

二 配置与访问控制审计

• 配置文件与权威声明
  • 核对主配置文件 /etc/dhcp/dhcpd.conf 的权限与属主（建议 root:root，600/640），检查是否被未授权修改（对比包版本或备份）。
  • 确认仅在需要的作用域设置 authoritative，避免误将服务器声明为全网权威导致分配冲突或放大攻击面。
• 监听接口最小化
  • 在 /etc/default/isc-dhcp-server 的 INTERFACES 中仅保留必要接口，避免在所有接口上监听。
• 地址与静态绑定
  • 核查 subnet 与 range 是否与网络规划一致，避免过大地址池；对关键设备使用 host { hardware ethernet …; fixed-address …; } 静态绑定，减少地址漂移与滥用。
• 动态 DNS 与更新策略
  • 如未使用 DDNS，确认 ddns-update-style none; ignore client-updates; 已设置，防止未经授权的 DNS 更新。
• 主机防火墙与端口控制
  • 仅允许受管网段访问 UDP 67/68：例如使用 ufw 或 iptables 限制来源网段；禁止来自不受信任网络的 DHCP 报文抵达服务器。
• 交换机侧防护（配合网络审计）
  • 核查接入交换机已启用 DHCP Snooping：将上联/合法 DHCP 服务器端口设为 信任，其余端口为 非信任；启用速率限制与绑定表校验，抑制 DHCP 饿死、伪造与中间人攻击。
    以上检查点对应的配置与加固做法可参考 Debian 上 ISC DHCP 的部署与安全设置实践。

三 日志与租约审计

• 日志可达性与完整性
  • 确认 DHCP 日志写入 /var/log/syslog（或配置为 log-facility local7 并在 rsyslog 中落盘），检查日志轮转（如 logrotate）是否正常，避免因日志占满导致审计数据丢失。
• 关键审计事件
  • 在 syslog 中检索 DHCP 分配与回收事件，核对是否存在异常高频分配、异常 MAC OUI、非法续租/释放等；示例：
    • grep -i “dhcpd.*offer|dhcpd.*ack|dhcpd.*release” /var/log/syslog
    • 按时间窗口统计租约变化，识别突发分配峰值。
• 租约数据库核对
  • 定期导出并审查 /var/lib/dhcp/dhcpd.leases，与在线分配情况交叉校验，查找“幽灵租约”、超长租约、重复 MAC 等异常。
• 集中化与长期留存
  • 将 /var/log/syslog 统一接入 rsyslog/ELK 等日志平台，设置告警规则（如单 IP 短时间内多次不同 MAC 请求、非法服务器标识等）。
    上述日志与租约核对方法可直接用于日常审计与取证。

四 漏洞与基线审计

• 系统与软件更新
  • 核查 Debian 与 isc-dhcp-server 的安全更新是否及时应用，是否存在因 EOL 版本导致的未修复漏洞。
• 基线合规与安全检查
  • 使用 Lynis 对系统进行安全基线审计，关注 DHCP 相关项（服务暴露、端口开放、日志与权限配置等）并整改薄弱点。
• 防火墙与访问控制复核
  • 复核 iptables/UFW 规则，确保仅放通必要来源网段到 UDP 67/68，并定期审查规则变更记录。
• 持续监控
  • 部署 Fail2Ban 等机制对可疑 DHCP 相关异常进行临时封禁与告警，缩短攻击驻留时间。
    以上步骤有助于将 DHCP 纳入持续安全合规与漏洞治理闭环。

五 审计流程与输出

• 建议流程
  1. 资产与范围确认：列出所有 DHCP 服务器与监听接口。
  2. 配置基线采集：导出 dhcpd.conf、INTERFACES、防火墙规则、日志配置。
  3. 运行态核查：端口监听、服务身份、租约与日志一致性。
  4. 网络侧验证：在接入交换机核查 DHCP Snooping 状态与信任端口配置。
  5. 漏洞与基线：系统更新、Lynis 扫描、规则复核。
  6. 报告与整改：输出问题清单、风险评级与整改计划（含回退方案与验证步骤）。
  7. 持续化：建立周/月度巡检与告警规则，纳入变更管理流程。
• 交付物清单
  • 配置与权限清单（含 /etc/dhcp/dhcpd.conf、/etc/default/isc-dhcp-server、防火墙规则）。
  • 日志与租约审计报告（异常事件、峰值与趋势、可疑 MAC/OUI）。
  • 漏洞与基线评估表（风险级别、整改时限、验证记录）。
  • 网络侧防护核查表（DHCP Snooping 状态、信任端口列表）。