前言：知己知彼，將攻擊「可視化」
隨著 Linux 在企業級應用普及，服務器安全成為核心命題。本文依據攻擊深度與權限獲取程度，將入侵劃分為四級，並給出分級防禦與應急響應方案。
級別一：拒絕服務攻擊 — 可用性打擊
特徵
- 手段：SYN Flood、UDP Flood、ICMP Flood、DNS/NTP/SSDP 放大、Slowloris、CC 攻擊等。
- 影響：服務不可用、帶鏈路飽和、合法用戶無法訪問；不竊取數據、不破壞完整性。
- 難點：工具低門檻、協議缺陷難根治、溯源極難 (偽造源 IP/反射)。
緩解措施
- 關閉非必要服務/端口；
sysctl -w net.ipv4.tcp_syncookies=1、調整 net.ipv4.tcp_max_syn_backlog、降低 tcp_synack_retries。
- 邊界防火牆/抗 DDoS 設備/雲廠商清洗 (Anycast + 淨化中心)。
- 應用層限流：Nginx
limit_req_zone、WAF 規則、CDN 緩存靜態資源。
- 及時打補丁 (內核 TCP 協議棧漏洞)。
級別二：本地用戶越權訪問 — 橫向移動跳板
特徵
- 攻擊者已擁有合法本地賬號 (Shell/SSH/FTP/應用賬號)。
- 利用配置錯誤 (權限過寬、SUID 程序漏洞、sudo 誤配、容器逃逸) 讀寫未授權文件 (如
/etc/shadow、應用配置、其他用戶數據)。
- 社工手段：偽裝運維索要密碼、釣魚郵件、USB 投放。
防禦體系
- Shell 隔離：所有 Shell 賬號集中於專用「堡壘機/跳板機」，業務服務器禁止直接 Shell 登入。
- 最小權限：
rbash 受限 Shell、chroot / 容器隔離、sudo 命令白名單、ACL 精細控制。
- 網段隔離：用戶 CGI/應用服務器置於獨立 VLAN/安全組，硬件地址欺騙無法跨段。
- 審計：
auditd 記錄關鍵文件訪問、pam_tty_audit 記錄終端操作。
級別三：遠程用戶獲取特權文件讀寫 — 權限提升前夜
特徵
- 攻擊者無需合法賬號，利用服務漏洞 (Web RCE、中間件反序列化、框架漏洞、配置錯誤) 直接以服務進程身份 (www-data、nginx、tomcat) 讀寫敏感文件 (配置、密鑰、數據庫憑證)。
- 密碼攻擊為主：字典攻擊、混合攻擊、暴力破解 (Hydra、Medusa、John the Ripper、Hashcat)；利用弱密碼 (生日、姓名、鍵盤序列) 或洩露憑證撞庫。
鐵律防禦
- 強密碼策略：≥12 位、大小寫+數字+特殊符號 (如
CountBak#$2024)、定期輪換、禁止歷史密碼復用。
- 多因子認證 (MFA)：SSH/VPN/管理後台強制
Google Authenticator/YubiKey/Duo。
- 服務最小化：非必要不開放、非 root 運行、
AppArmor/SELinux 強制限制進程能力。
- WAF/RASP：攔截已知/未知 Web 攻擊、虛擬補丁。
級別四：遠程用戶獲取 Root 權限 — 全盤淪陷
特徵
- 攻擊者擁有最高權限：讀寫執行任意文件、安裝 Rootkit/後門、修改內核、清理日誌、橫向滲透整個內網、隨時毀滅業務。
- 核心手段：TCP/IP 會話劫持 (序列號預測/旁路)、被動嗅探 (ARP 欺騙/交換器鏡像/光纖分路)、數據包攔截篡改 (中間人注入惡意代碼/竊取憑證)。
- 隱蔽性極強，往往潛伏數月 (APT 特徵)。
終極防禦
- 網絡分段微隔離：零信任架構、每個工作負載獨立安全組、服務網格 mTLS。
- 全鏈路加密：TLS 1.3 (服務間)、IPsec/VPN (跨網段)、SSH 替代 Telnet/FTP、即使被嗅探，數據也是密文。
- 主機入侵檢測 (HIDS)：
Wazuh/OSSEC/Auditd 監控文件完整性、Rootkit 掃描、異常進程/網絡連接。
- 網絡入侵檢測 (NIDS)：
Suricata/Zeek 流量行為分析、威脅情報匹配。
- 硬件嗅探檢測：TDR (時域反射儀) 掃描物理線路異常接入 (成本高，核心機房必要)。
應急響應：超過二級必啟動的標準化流程
- 即時備份：核心業務數據、配置、日誌 (離線/異地存儲)。
- 全局改密：所有系統/應用/數據庫/網絡設備密碼輪換，通知用戶走審批流程領取新憑證。
- 網段隔離：將受影響區域從核心網剝離，限制橫向擴散。
- 保留現場：不要急於踢走攻擊者，保持連接以收集證據 (內存鏡像、磁盤鏡像、網絡流量包)。
- 全鏈路取證：系統/應用/AAA/RADIUS/防火牆/HIDS/NIDS/磁盤/隱藏文件日誌；拍照留存、雙人操作、記錄每一步，產出法律級證據鏈。
- 溯源定位：多點流量回放、蜜罐誘捕、威脅情報比對，定位攻擊源 IP/跳板/手法。
- 法律追訴：委託權威安全機構協助、移交公安網安部門、依據《刑法》第 285/286/287 條追究刑責。
- 漏洞閉環：根因分析、修補漏洞、滲透測試驗證修復有效性、更新防禦規則集。
結語：技術是盾，法律是劍，管理是本
單靠技術工具永遠是被動防守。**將網絡安全上升至法律、合規、組織文化層面**，建立「防檢測響應預」閉環，才能在攻防博弈中立於不敗之地。
