System Process Security (系统进程安全) – Page 3

October 11, 2022December 9, 2023

[内容] auditd 使用（监控文件或目录的变化）

内容一：auditd 的管理

1.1 启动 auditd

1.1.1 启动 auditd

# service auditd restart

1.1.2 查看 auditd 状态

# auditctl -s

1.1.3 设置 auditd 开机自启

# chkconfig auditd on

1.1.4 查看 auditd 开机自启状态

# chkconfig --list auditd

1.2 查看 auditd 的规则

# auditctl -l

1.3 删除 auditd 的规则

1.3.1 永久删除 auditd 的所有规则

1.3.1.1 清空 /etc/audit/audit.rules 文件里的所有内容

# vi /etc/audit/audit.rules

删除里面的所有内容

1.3.1.2 让刚刚的设置生效

# service auditd restart

或者：

# augenrules

1.3.2 临时删除 auditd 的规则

1.3.2.1 临时删除 auditd 的所有规则

# auditctl -D

（补充：此操作重启后失效）

1.3.2.2 临时删除 auditd 的普通规则（以 -w 开头的规则）

# auditctl -W <policy>

（补充：此操作重启后失效）

1.3.2.3 临时删除 auditd 的使用系统调用和过滤条件的监控规则（以 -a 开头的规则）

# auditctl -d <policy>

（补充：此操作重启后失效）

1.4 显示 auditd 日志

1.4.1 显示 auditd 的所有日志

# cat /var/log/audit/audit.log

1.4.2 显示某文件或目录的日志

# ausearch -f <file/directory>

1.4.3 显示某关键词的日志

# ausearch -k <key_name>

1.5 生成 auditd 日志报告

# aureport -k

内容二：auditd 的规则

2.1 普通监控规则

2.1.1 普通监控规则的格式

2.1.1.1 普通监控规则的格式

-w <file/directory> -p <previlege> -k <key_name>

（
补充：
1) 文件名或目录名，需要绝对路径
2) 监控的权限，可以是 rwxa 其中的任意 1 个或多个，r 代表读权限、w 代表写权限，x 代表执行权限，a 代表文件类型
3) 此类日志的关键词
）

2.1.1.2 添加普通监控规则的格式

2.1.1.2.1 临时添加普通监控规则的格式

# auditctl -w <file/directory> -p <previlege> -k <key_name>

2.1.1.2.2 永久添加普通监控规则的格式

# vim /etc/audit/audit.rules

添加以下内容：

......
-w <file/directory> -p <previlege> -k <key_name>

（
注意：永久添加的规则后要重启 auditd 服务后才会生效

# service auditd restart

或者：

# augenrules

）

2.1.2 添加普通监控规则的案例

2.1.2.1 案例一：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化的规则

# auditctl -w /etc/nginx/nginx.conf

（补充：这里以临时添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化的规则为例）

2.1.2.2 案例二：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化，并设置关键词为 nginx 的规则

# auditctl -w /etc/nginx/nginx.conf -p rwxa -k 'nginx'

（补充：这里以临时添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化，并设置关键词为 nginx 的规则为例）

2.2 使用系统调用和过滤条件的监控规则

2.2.1 使用系统调用和过滤条件的监控规则的格式

2.2.1.1 使用系统调用和过滤条件的监控规则的格式

-a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>

（
补充：
1) 和用于确定事件被记录，的值可以是 always 或者 never，的值可以是 task、exit、user 或者 exclude
2) 是系统调用，Linux 系统调用的名称在 /usr/include/asm/unistd_64.h 文件中，可以将多个系统调用放在一个规则里，例：-S <system_call> -S <system_call> ……，或者 -S <system_call>,<system_call>……
3) 和是过略条件，可以将多个过略条件放在一个规则里，-F <field>=<value> -F <field>=<value> ……
4) 是此类日志的关键词
）

2.2.1.2 添加使用系统调用和过滤条件的监控规则的格式

2.2.1.2.1 临时添加使用系统调用和过滤条件的监控规则的格式

# auditctl -a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>

2.2.1.2.2 永久添加使用系统调用和过滤条件的监控规则的格式

# vim /etc/audit/audit.rules

添加以下内容：

......
-a <action>,<filter> -S <system_call> -F <field>=<value> -k <key_name>

（
注意：永久添加的规则后要重启 auditd 服务后才会生效

# service auditd restart

或者：

# augenrules

）

2.2.2 使用系统调用和过滤条件的监控规则的案例

2.2.2.1 案例一：监控所有 UID 大于 1000 的用户的删除操作，并设置关键词为 delete

# auditctl -a always,exit -S rmdir -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=unset -F auid!=4294967295 -k delete

（补充：这里以临时监控所有 UID 大于 1000 的用户删除操作为例）

（注意：这里的 -F auid!=4294967295 是为了排除 login UID 没有被设置的用户）

2.2.2.2 案例二：监控所有 UID 大于 1000 的用户的文件删除操作，并设置关键词为 delete

# auditctl -a always,exit -S unlink -S unlinkat -S rename -S renameat -F auid>=1000 -F auid!=unset -F auid!=4294967295 -k delete

（补充：这里以临时监控所有 UID 大于 1000 的用户删除操作为例）

（注意：这里的 -F auid!=4294967295 是为了排除 login UID 没有被设置的用户）

2.2.2.3 案例三：监控所有网络连接

# auditctl -a always,exit -F arch=b64 -S socket
# auditctl -a always,exit -F arch=b64 -S connect
# auditctl -a always,exit -F arch=b64 -S sendmmsg
# auditctl -a always,exit -F arch=b64 -S sendmsg
# auditctl -a always,exit -F arch=b64 -S bind
# auditctl -a always,exit -F arch=b64 -S recvmsg
# auditctl -a always,exit -F arch=b64 -S close

（补充：这里以监控所有网络连接为例）

August 2, 2022August 4, 2022

[步骤] Linux 文件系统的安全（通过禁止执行共享内存里的程序或文件来防止恶意软件）

步骤一：临时禁止 /dev/shm 目录的执行权限

# mount -o remount,noexec,nodev /dev/shm

步骤二：永久禁止 /dev/shm 目录的执行权限

2.1 修改 /etc/fstab 配置文件

# vim /etc/fstab

添加以下内容：

......
/dev/shm             /dev/shm   tmpfs  defaults,rw,remount,noexec,nodev  0  0

2.2 让修改的配置生效

# mount -a

步骤三：确认 /dev/shm 目录的执行权限已被禁止

# mount | grep -E '\s/dev/shm\s' | grep -v noexec ; mount | grep -E '\s/dev/shm\s' | grep -v nodev

（补充：当没有任何输出结果时，则代表 /dev/shm 目录的执行权限已被禁止）

July 28, 2022October 19, 2022

Linux 防范黑客入侵的思路

黑客发现阶段

黑客在入侵前往往会先对整个网络进行扫描，尝试发现我们的系统。在这个阶段我们可以尝试的防范措施有：

1) 关闭 ICMP 协议，让黑客无法通过 ping 发现我们的系统
2) 关闭所有不需要的端口
3) 通过防火墙只让允许访问的 IP 地址访问对应的端口
4) 让防火墙使用 drop 操作丢掉所有没有被允许的访问请求

黑客列举阶段和黑客立足阶段

黑客在发现了我们的系统之后。会根据我们系统和软件的版本，列举不同的破解方法并进行取舍，并最终会选择一种或多种方法进行尝试。在这两个阶段我们可以尝试的防范措施有：

1) 不使用盗版的系统和软件
2) 不使用有漏洞的系统和软件
3) 尽量将所有的系统和软件升级到最新的版本
4) 删除所有非必须的软件
5) 在用户尝试登录系统时，取消显示系统的版本
6) 删除或禁用所有不需要的用户
7) 让所有的用户都使用复杂的密码
8) 定期检查和修改所有用户的密码
9) 定期检查和修改所有用户 ~/.ssh/ 目录中的密钥
10) 限制错误密码尝试的次数，以防止暴力破解
11) 定期检查系统防火墙策略
12) 定期检查系统开启的所有端口
13) 定期检查系统开启的所有进程
14) 定期查看 /var/log/message 中的尝试登录失败的日志记录

黑客保持持久性阶段

黑客在成功进入系统以后，会尝试为自己下次进入系统准备方法，以让入侵保持持久性。在这个阶段我们可以尝试的防范措施有：

1) 定期检查系统中的所有用户的名称和数量
2) 定期检查系统中所有拥有 root 权限的名称和数量
3) 定期检查和修改所有用户的密码
4) 定期检查和修改所有用户 ~/.ssh/ 目录中的密钥
5) 定期检查系统防火墙策略
6) 定期检查系统开启的所有端口
7) 定期检查系统开启的所有进程
8) 缩小重要文件的权限
9) 定期检查所有用户的登录日志
10) 通过 auditd 服务监控所有重要配置文件，并定期检查监控日志

黑客掩盖痕迹阶段

黑客让入侵保持持久性后，会尝试掩盖自己的痕迹。在这个阶段我们可以尝试的防范措施有：

1) 定期检查系统中的所有用户的名称和数量
2) 定期检查系统中所有拥有 root 权限的名称和数量
3) 定期检查和修改所有用户的密码
4) 定期检查和修改所有用户 ~/.ssh/ 目录中的密钥
5) 定期检查系统防火墙策略
6) 定期检查系统开启的所有端口
7) 定期检查系统开启的所有进程
8) 缩小重要文件的权限
9) 定期检查所有用户的登录日志，注意日志的时间是否连贯
10) 通过 auditd 服务监控所有重要配置文件，并定期检查监控日志，注意日志的时间是否连贯

July 28, 2022July 28, 2022

[内容] AppArmor 的设置

内容一：显示 AppArmor 保护进程的情况

1.1 显示所有 AppArmor 保护进程的情况

# aa-status

1.2 显示所有正在运行并监听网络但是没有被 AppArmor 保护的进程

# aa-unconfined

内容二：设置 AppArmor 保护进程的策略

2.1 将所有 AppArmor 进程规则设置为 enforce 模式

# aa-enforce /etc/apparmor.d/*

2.2 将所有 AppArmor 进程规则设置为 complain 模式

# aa-complain /etc/apparmor.d/*

2.3 将所有 AppArmor 进程规则设置为 disable 模式

# aa-disable /etc/apparmor.d/*

June 25, 2022July 9, 2023

[内容] Linux 命令安全的设置

确保以下目录的所属主和所属组是 root，且其它用户没有写入权限：

# ls -ld /usr/local/bin /usr/local/sbin /usr/bin/ /usr/sbin
dr-xr-xr-x. 2 root root 53248 Jun 24 15:09 /usr/bin/
drwxr-xr-x. 3 root root  4096 Jun 21  2021 /usr/local/bin
drwxr-xr-x. 2 root root     6 Jun 21  2021 /usr/local/sbin
dr-xr-xr-x. 2 root root 20480 Jun 24 15:09 /usr/sbin

内容一：auditd 的管理

1.1 启动 auditd

1.1.1 启动 auditd

1.1.2 查看 auditd 状态

1.1.3 设置 auditd 开机自启

1.1.4 查看 auditd 开机自启状态

1.2 查看 auditd 的规则

1.3 删除 auditd 的规则

1.3.1 永久删除 auditd 的所有规则

1.3.1.1 清空 /etc/audit/audit.rules 文件里的所有内容

1.3.1.2 让刚刚的设置生效

1.3.2 临时删除 auditd 的规则

1.3.2.1 临时删除 auditd 的所有规则

1.3.2.2 临时删除 auditd 的普通规则 （以 -w 开头的规则）

1.3.2.3 临时删除 auditd 的使用系统调用和过滤条件的监控规则 （以 -a 开头的规则）

1.4 显示 auditd 日志

1.4.1 显示 auditd 的所有日志

1.4.2 显示某文件或目录的日志

1.4.3 显示某关键词的日志

1.5 生成 auditd 日志报告

内容二：auditd 的规则

2.1 普通监控规则

2.1.1 普通监控规则的格式

2.1.1.1 普通监控规则的格式

2.1.1.2 添加普通监控规则的格式

2.1.1.2.1 临时添加普通监控规则的格式

2.1.1.2.2 永久添加普通监控规则的格式

2.1.2 添加普通监控规则的案例

2.1.2.1 案例一：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化的规则

2.1.2.2 案例二：添加监控 /etc/nginx/nginx.conf 文件的读、写、执行和文件属性变化，并设置关键词为 nginx 的规则

2.2 使用系统调用和过滤条件的监控规则

2.2.1 使用系统调用和过滤条件的监控规则的格式

2.2.1.1 使用系统调用和过滤条件的监控规则的格式

2.2.1.2 添加使用系统调用和过滤条件的监控规则的格式

2.2.1.2.1 临时添加使用系统调用和过滤条件的监控规则的格式

2.2.1.2.2 永久添加使用系统调用和过滤条件的监控规则的格式

2.2.2 使用系统调用和过滤条件的监控规则的案例

2.2.2.1 案例一：监控所有 UID 大于 1000 的用户的删除操作，并设置关键词为 delete

2.2.2.2 案例二：监控所有 UID 大于 1000 的用户的文件删除操作，并设置关键词为 delete

2.2.2.3 案例三：监控所有网络连接

步骤一：临时禁止 /dev/shm 目录的执行权限

步骤二：永久禁止 /dev/shm 目录的执行权限

2.1 修改 /etc/fstab 配置文件

2.2 让修改的配置生效

步骤三：确认 /dev/shm 目录的执行权限已被禁止

黑客发现阶段

黑客列举阶段和黑客立足阶段

黑客保持持久性阶段

黑客掩盖痕迹阶段

内容一：显示 AppArmor 保护进程的情况

1.1 显示所有 AppArmor 保护进程的情况

1.2 显示所有正在运行并监听网络但是没有被 AppArmor 保护的进程

内容二：设置 AppArmor 保护进程的策略

2.1 将所有 AppArmor 进程规则设置为 enforce 模式

2.2 将所有 AppArmor 进程规则设置为 complain 模式

2.3 将所有 AppArmor 进程规则设置为 disable 模式

1.3.2.2 临时删除 auditd 的普通规则（以 -w 开头的规则）

1.3.2.3 临时删除 auditd 的使用系统调用和过滤条件的监控规则（以 -a 开头的规则）