Ubuntu Exploit防护实用清单
一 预防加固
二 加固命令示例
sudo apt update && sudo apt full-upgrade -y
sudo apt install -y unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades # 选择“是”以启用自动安全更新
sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH # 或 sudo ufw allow 22/tcp
sudo ufw allow 80/tcp,443/tcp
sudo ufw enable
sudo sed -i 's/^#*PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
sudo sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
echo "AllowUsers your_admin" | sudo tee -a /etc/ssh/sshd_config
sudo systemctl restart ssh
# 客户端需先部署公钥到 ~/.ssh/authorized_keys
sudo apt install -y apparmor apparmor-utils
sudo aa-enable /etc/apparmor.d/usr.sbin.sshd
sudo aa-status
sudo apt install -y aide aide-common
sudo aideinit
# 后续使用：aide --check 或 aide --update
三 监测与响应
四 常见漏洞与修复要点
五 安全配置核对清单
| 控制项 | 推荐做法 |
|---|---|
| 系统更新 | 启用自动安全更新（unattended-upgrades），定期 full-upgrade |
| 防火墙 | 仅放行 22/80/443 等必要端口，可按网段限制来源 |
| SSH | 禁用 root 与密码，使用密钥登录，限制可登录用户，必要时改端口 |
| 强制访问控制 | 启用并验证 AppArmor 策略，关键服务加载并定期审计 |
| 账号与权限 | 最小权限、清理无用账户、定期轮换密钥/口令 |
| 服务最小化 | 卸载不需要的软件包与关闭无用服务 |
| 完整性 | 部署 AIDE 基线并定期校验 |
| 恶意代码防护 | 部署并更新 ClamAV，结合日志与行为监测 |
| 日志与监控 | 集中收集与分析 auth.log/syslog，部署 fail2ban/IDS/IPS |
| 备份与恢复 | 定期离线/异地加密备份，恢复前进行完整性校验 |
提示：任何远程配置变更（如 SSH）请先保留本地控制台访问，避免因配置错误导致锁死。