Linux 服務器四級攻擊譜系與分級防禦體系

隨著 Linux 在企業級應用中的佔比持續攀升，針對其的攻擊手法亦呈現分層次、多階段特徵。本文從「攻擊深度」維度，將攻擊劃分為四級，並給出針對性防禦策略，構建分級防禦體系。

級別一：拒絕服務攻擊（DoS/DDoS）

特徵： 耗盡帶寬、連接表、CPU、內存等資源，導致合法服務不可用。不直接竊取數據、不提權，但持續時間長、溯源難、業務損失大。

常見變體： SYN Flood、UDP Flood、HTTP Flood、DNS 放大、NTP 放大、反射攻擊、Slowloris 等。

防禦組合拳：

• 邊緣清洗： ISP/Anti-DDoS 服務商清洗異常流量；
• 內核參數調優： net.ipv4.tcp_syncookies=1、net.ipv4.tcp_max_syn_backlog=8192、net.ipv4.tcp_synack_retries=2；
• 應用層限流： Nginx limit_req_zone、limit_conn_zone，WAF 規則集（CC 防護）；
• 服務收斂： 關閉非業務端口、禁用 ICMP 回應、啟用 iptables/nftables 速率限制；
• 補丁管理： 及時修復內核/服務漏洞（如 CVE-2018-14625 TCP 段重組漏洞）。

核心認知： 無法 100% 消除，目標是將攻擊成本推高、將業務影響壓低。

級別二：本地用戶越權訪問非授權文件

定義： 擁有合法 Shell 賬號的本地用戶，通過配置缺陷讀寫超出權限範圍的文件（如 /tmp、/var/tmp、其他用戶主目錄、配置文件）。

典型路徑： 社工釣魚獲取弱口令 → SSH 登錄 → 利用 SUID/SGID 錯誤配置、PATH 劫持、cron 任務注入、內核提權漏洞（Dirty COW 等）提權。

防禦體系：

• 賬號隔離： 所有 Shell 賬號集中於堡壘機/跳板機，業務服務器不開放 Shell，僅允許 SFTP/SCP/應用專用賬號；
• 最小權限： 移除不必要的 SUID/SGID、chmod 750 敏感目錄、noexec,nosuid,nodev 掛載 /tmp /var/tmp /dev/shm；
• 強制訪問控制： 啟用 SELinux（Enforcing）/ AppArmor，限制進程訪問標籤；
• 審計與告警： auditd 監控敏感文件讀寫、sudo 執行、提權嘗試，接入 SIEM 實時告警。

級別三：遠程用戶獲取特權文件讀寫權限

定義： 攻擊者無需合法賬號，利用服務漏洞（Web/CMS/中間件/數據庫）直接以服務進程權限（甚至 root）讀寫敏感文件（/etc/shadow、/etc/passwd、SSL 私鑰、應用配置、數據庫文件）。

核心手法： 密碼攻擊（字典/混合/暴力破解）、WebShell 上傳、反序列化 RCE、SQL 注入、文件包含、邏輯漏洞繞過鑒權。

防禦鐵三角：

1. 強認證： 禁用密碼登錄，強制 SSH 金鑰、MFA、憑證認證；密碼策略：≥12 位、大小寫數字特殊字符、定期輪換、歷史記憶；
2. 應用加固： WAF、代碼審計、最小權限運行（www-data/nginx）、禁用危險函數、文件上傳類型/大小/路徑/執行權限四重校驗；
3. 網絡微隔離： 安全組/防火牆僅放行業務端口，管理端口（22/3389/9090）僅堡壘機 IP 可達，資料庫不對外暴露。

級別四：完全控制服務器（Rootkit/持久化/橫向移動）

定義： 攻擊者已獲取 Root 權限，植入 Rootkit、WebShell、SSH 後門、計劃任務、systemd 服務、內核模組，實現長期駐留、數據竊取、跳板攻擊內網核心資產。

防禦終極線：

• 不可變基礎設施： 容器/Serverless 部署，鏡像簽名驗證，運行時不可寫入，異常即銷毀重建；
• 運行時保護： Falco/eBPF 監控異常系統調用（ptrace、execve、mount、內核模組加載）；
• 完整性校驗： AIDE/Tripwire 定期校驗關鍵文件哈希，配合 GitOps 實現配置漂移自動糾偏；
• 零信任網絡： 服務間 mTLS、SPIFFE 身份、最小授權策略，阻斷橫向移動；
• 應急預案： 定期紅藍對抗、取證演練、離線備份驗證可恢復性（RPO/RTO 量化）。

總結： 四級攻擊呈現「由表及裡、由虛到實」演進鏈條。防禦不在於單點產品，而在於分級佈防、纵深防禦、持續運營：
L1 流量清洗+內核調優 → L2 堡壘機隔離+MAC+審計 → L3 強認證+應用加固+微隔離 → L4 不可變基礎設施+運行時保護+零信任。
唯有將安全內化為架構基因、運營常態，才能在攻防博弈中保持主動。