Linux 系統安全體檢清單：賬號、日誌、進程、檔案、RPM、網路、排程七維度檢查指南

安全非一次性動作，而是持續的體檢與加固。本文提煉實戰經驗，構建七維度 Linux 安全體檢清單，涵蓋賬號審計、日誌分析、進程檢視、檔案系統掃描、RPM 完整性驗證、網路連接審查、排程任務檢查，每項給出具體指令與異常判斷標準。

1. 賬號審計

less /etc/passwd                    # 全量檢視
grep :0: /etc/passwd                # 找出 UID=0 的超級用戶（應僅有 root）

• 關注：新增不明用戶、非 root 的 UID=0、GID=0 異常賬號

2. 日誌分析

grep "entered promiscuous mode" /var/log/messages  # 網卡進入混雜模式（抓包/嗅探疑雲）
grep -i error /var/log/messages                    # 錯誤訊息聚焦
# 關注 RPC 異常：日誌含大量 ^PM-^PM- 等控制字元（>20 個），疑似緩衝區溢出攻擊

3. 進程檢視

ps -aux                          # 全量進程
# 關注：UID=0 的進程（root 權限執行）
lsof -p <可疑PID>                # 查看該進程打開的檔案/埠口

4. 檔案系統掃描

find / -uid 0 -perm -4000 -print          # SUID root 檔案（提權風險）
find / -size +10000k -print               # 超大檔案（>10MB，疑似資料外洩/日誌失控）
find / -name "..." -print                 # 隱藏檔（三個點）
find / -name " " -print                   # 空格檔名（視覺欺騙）
find / -name "." -print                   # 單點檔名
find / -name " " -print                   # 空白檔名

• 重點審查：SUID root、超大檔、偽裝檔名（..., ., 空格）

5. RPM 完整性驗證

rpm -Va

輸出碼含義：

• 嚴格關注：/sbin、/bin、/usr/sbin、/usr/bin 目錄下的 S/M/5/U/G/T 異常
• 習慣：安裝第三方軟體前驗證 MD5/SHA256
• 輸出大量「5」或「missing」若非上述關鍵目錄，通常可忽略

6. 網路連接審查

ip link | grep PROMISC               # 正常網卡不應為混雜模式（除安全設備）
lsof -i                              # 所有網路連接
netstat -nap                         # 監聽/建立連接 + PID/程式名
arp -a                               # ARP 表（需建立基線 MAC 白名單）

• 異常：非預期監聽埠、不明外連、ARP 欺騙跡象

7. 排程任務檢查

crontab -u root -l           # root 定時任務
cat /etc/crontab             # 系統級定時任務
ls /etc/cron.*               # cron.d/hourly/daily/weekly/monthly 目錄

• 關注：root 或 UID=0 使用者的排程任務（高權限自動執行風險）

實戰建議

• 📅 週期性執行：建議每週完整掃描，每日關鍵項（日誌、網路、進程）抽檢
• 📊 建立基線：乾淨系統安裝後立即跑一次全量掃描，保存輸出為基線，後續僅需 diff
• 🤖 自動化腳本化：將上述指令封裝為腳本，接入監控平台（Zabbix/Prometheus+Node Exporter）
• 🔐 最小權限原則：非必要不開 root、不設 SUID、不開混雜模式、不留不明排程

安全體檢如同人體檢查，平時覺得繁瑣，發現病灶時卻是救命稻草。將清單制度化、自動化、基線化，讓 Linux 系統始終處於可控可信狀態。