Linux 伺服器遭駭入侵：核心檢測指標與應急處置實務

核心檢測指標：三大鐵證

1. 系統指令被替換（ps、ls、netstat、top）

正常 /bin/ps 約 60 KB，Rootkit 替換版常僅 12 KB。
驗證：rpm -V procps (RHEL) / dpkg -V procps (Debian) / sha256sum /bin/ps 對比官方套件雜湊值。

2. 歷史紀錄導向 /dev/null

ls -l ~/.bash_history
# 正常：-rw------- 1 user user 13829 Oct 10 17:06 /home/user/.bash_history
# 遭竄：lrwxrwxrwx 1 user user 9 Oct 10 19:40 /home/user/.bash_history -> /dev/null

發現符號連結 → 立即斷網、備份資料、重灌系統，系統已完全失控。

3. 未授權 UID 0 帳號

grep :x:0: /etc/passwd
# 僅應回傳：root:x:0:0:root:/root:/bin/bash
# 多行輸出 = 後門帳號

進階檢測工具組

• chkrootkit：檢測已知 Rootkit 特徵、可疑字串、刪除檔案殘留
• rkhunter：檢測 Rootkit、後門、本地漏洞、埠監聽異常
• RootkitRevealer (Sysinternals) / unhide：掃描隱藏進程、埠、檔案
• auditd + ausearch：審計關鍵系統呼叫（execve、open、setuid）

應急處置標準流程（四階段）

階段 1：隔離與保全（發現即刻）

• 網路隔離：物理拔線 / 交換器關埠 / 防火牆拒絕規則
• 記憶體取證：LiME (Linux Memory Extractor) / AVML (Azure) 產生 .lime 檔
• 磁碟鏡像：dd if=/dev/sda of=/mnt/evidence/sda.dd bs=64K conv=sync,noerror → sha256sum 驗證
• 關鍵日誌封存：/var/log/secure、/var/log/messages、/var/log/audit/、~/.bash_history（若未被竄改）

階段 2：離線鑑識分析

• 掛載鏡像唯讀：mount -o ro,loop /mnt/evidence/sda.dd /mnt/analysis
• 時間線重建：log2timeline.py /mnt/analysis → psort.py 輸出 CSV
• 入侵向量定位：Web 日誌異常 POST、SSH 暴力破解成功、已知 CVE 利用痕跡
• 持久化機制排查：crontab、systemd/rc.d、/etc/ld.so.preload、kernel module、SSH authorized_keys
• 資料外洩評估：大量 scp/rsync/curl/wget 外連、DNS 隧道流量

階段 3：根除與重建（唯一可信路徑）

1. 不嘗試清理，Rootkit 可能植入核心模組、固件、MBR、BIOS
2. 全新安裝最新 OS（驗證 ISO 簽名）
3. 套用所有安全更新、CIS 基準強化
4. 從入侵前時間點乾淨備份還原應用代碼、配置、資料
5. 全量輪換憑證：Root、資料庫、應用、API Key、SSH Key、TLS 憑證
6. 部署 HIDS（Wazuh/OSSEC）、FIM（AIDE/Tripwire）、審計

階段 4：驗證、復原與複盤

• 滲透測試驗證修補有效性
• 業務 UAT 驗收
• 上線前 48h 強化監控（登入失敗、權限提升、異常進程、外連異常）
• 根因分析（5 Why）→ 改進追蹤表（責任人/期限/驗收）→ 資安教育/演練更新

預防基線：最小化攻擊面

• 最小安裝、移除無用套件/服務
• SSH：禁用 Root、金鑰認、非標準埠、Fail2Ban、Port Knocking
• 自動修補：yum-cron/unattended-upgrades、Kernel Live Patching
• 最小權限：專用帳號、sudo 精細、SELinux Enforcing
• 審計：auditd 規則覆蓋關鍵系統呼叫
• 備份：3-2-1 原則 + 定期還原演練