Linux 並非免疫病毒。從 1996 年首個 Staog 到 Ramen、Lion、Slapper 等蠕蟲，構建完整 Linux 惡意代碼譜系與分級防護策略。
一、Linux 病毒演進時間軸
| 年份 | 病毒 | 類型 | 特徵 |
|---|
| 1996 | Staog | ELF 感染器 | 汇編編寫、感染二進制、嘗試 3 種方式提權、演示性質無破壞 |
| 2001 | Ramen | 蠕蟲 | 自動傳播、掃描消耗頻寬、利用 Red Hat 6.2/7.0 rpc.statd + wu-ftp 漏洞 |
| 2001 | Lion | 蠕蟲+後門 | 竊取密碼/配置郵寄攻擊者、安裝後門、自我傳播、造成實質損失 |
| 後續 | OSF.8759、Slapper、Scalper、Unix.Svat、BoxPoison | 多樣化 | 持續出現，影響面隨用戶增長而擴大 |
二、五大類型與針對性防護
1. ELF 格式文件感染器 (如 Lindose)
- 機制：檢測 Intel 386+、尋找 ≥2784 字節空洞、覆蓋並掛載入口點
- 防護：嚴格權限管理 —— 日常不用 root、拒絕執行來路不明二進制、
chattr +i 保護關鍵二進制
2. 腳本病毒 (Shell/Perl/Python)
- 特點：編寫門檻低、破壞力強 (刪文件、裝木馬)、傳播力弱 (多為本機)
- 防護：不執行不明腳本、嚴控 root、
noexec 掛載用戶寫入分區
3. 蠕蟲病毒 (Ramen、Lion、Slapper)
- 機制：利用服務漏洞 (rpc.statd、wu-ftpd、OpenSSL、Apache mod_ssl 等) 自動掃描傳播
- 防護核心：**漏洞管理閉環**
- 訂閱安全郵件列表 (Red Hat Security Announce、CVE、LKML)
- 24h 內評估影響 → 48h 內部署補丁/緩解
- 防火牆限制高危埠對外暴露 (TCP 111、21、80、443 等)
- 部署入侵檢測 (Snort/Suricata) 識別掃描行為
4. 後門程序 (Rootkit、LKM、庫注入、服務劫持)
- 隱蔽性極強，常與入侵結合
- 防護：專用檢測工具
chkrootkit、rkhunter、Lynis 定期掃描aide/tripwire 文件完整性監控- 核心模組簽名強制載入 (
module.sig_enforce=1)
5. Windows 病毒攜帶風險 (Samba/NFS/FTP 文件服務器)
- Linux 不發作但可傳播 (「健康攜帶者」)
- 防護：文件服務器部署 **ClamAV** / **F-Prot** / **Kaspersky for Linux** 定時掃描 + 即時監控
三、綜合防護清單
- 最小化安裝、關閉非必要服務
- 強密碼策略 + SSH 金鑰登入 + 禁用 root 遠程登入
- 內核/用戶態及時打補丁 (yum-cron / dnf-automatic / unattended-upgrades)
- 防火牆預設拒絕、僅放行業務埠
- 審計子系統 (auditd) 記錄關鍵操作
- 定期離線備份 + 離線完整性校驗
- 入侵檢測 (HIDS/NIDS) + 日誌集中分析 (ELK/Splunk)
- 應急預案演練 (隔離、取證、清除、恢復、複盤)
Linux 安全非天生免疫，而是**架構優勢 + 運維紀律**雙重保障的結果。
