Linux 服務器攻防全景圖譜：四級攻擊模型與分層防禦體系

隨著 Linux 在企業級應用中的普及，服務器安全對抗日益激烈。本文依據攻擊滲透深度，建立四級攻擊模型（DoS → 本地提權 → 遠程讀寫特權文件 → 遠程獲取 Root），並針對每級攻擊特徵提出針對性防禦策略，構建縱深防禦體系。

攻擊級別一：拒絕服務攻擊

特徵：工具泛濫、協議層缺陷難根治、持續時間長、難溯源。主要形式：DDoS、反射放大攻擊、DNS 放大、FTP 洪水等。
影響：業務中斷、服務不可用、間接造成經濟損失，通常不直接竊取數據。
防禦組合拳：

• 關閉非業務端口，精簡服務
• 調整 TCP 協議棧參數：net.ipv4.tcp_syncookies=1、net.ipv4.tcp_max_syn_backlog、net.ipv4.tcp_synack_retries
• 部署專業抗 DDoS 設備/雲防護（Anycast 清洗、流量檢測）
• 應用層限流：Nginx limit_req_zone、limit_conn_zone
• 及時修補內核與應用漏洞

攻擊級別二：本地用戶越權訪問

切入點：社工釣魚（冒充運維索要密碼）、弱口令復用、臨時文件目錄（/tmp）權限配置不當、本地提權漏洞（Dirty COW、Overlayfs 等）。
防禦策略：

• Shell 賬號集中管理：專用堡壘機/跳板機，統一審計
• CGI/應用服務隔離：獨立網段、VLAN 劃分、MAC 綁定防欺騙
• /tmp 掛載 noexec,nosuid,nodev，定期清理
• 強制密碼複雜度、定期輪換、禁止重用、啟用 MFA
• 安全意識培訓：識別社工攻擊、禁用共享賬號

攻擊級別三：遠程用戶獲取特權文件讀寫權限

核心成因：服務配置缺陷導致未授權命令執行（如 WebShell、RCE 漏洞）、密碼攻擊（字典、混合、暴力破解）。
密碼防禦鐵律：

• 長度 ≥ 12，大小寫+數字+特殊符號（#$%@!）
• 禁用常見弱口令字典（rockyou.txt 等）
• 啟用 pam_faillock.so / pam_tally2.so 鎖定策略
• 關鍵賬號強制雙因子認證（TOTP、硬件密鑰）

服務加固：最小權限運行、禁用危險函數（exec、system）、WAF 防禦注入、定期掃描 WebShell。

攻擊級別四：遠程獲取 Root 權限（致命級）

攻擊手法：TCP 會話劫持、被動嗅探、數據包攔截修改、中間人攻擊。
嗅探防禦鐵三角：

1. 安全拓撲：交換機替代集線器、VLAN 微分段、端口隔離、私有 VLAN，限制嗅探範圍
2. 全鏈路加密：SSH 替代 Telnet、HTTPS 替代 HTTP、SFTP 替代 FTP、IPsec/IKEv2 VPN、TLS 1.3 強制加密，令嗅探器只見密文
3. 異常流量檢測：部署 NIDS（Suricata/Zeek）監控 ARP 欺騙、異常協議行為、未授權設備接入（TDR 物理層檢測成本高，中小企業可用端口安全/NDP 監控替代）

統一防禦基礎設施

結語：攻擊者只需找到一處漏洞，防禦者必須守住每一處入口。四級模型揭示了攻擊遞進邏輯，分層防禦體系則是化解風險的系統工程。持續基線加固、持續威脅檢測、持續應急演練——安全無終點，唯有進化。