应急响应系统之 Linux 主机安全检查
|
副标题[/!--empirenews.page--]
我们在做主机安全检查或安全事件处置时，避免不了要去检查系统的安全情况。在进行 Linux 安全检查时，需要使用相关的脚本对系统的安全情况进行全面分析，一方面需要尽可能的收集系统的相关信息，另一方面在数量较多的时候尽可能的提高效率。由于在多次的安全检查中遇到检查时都是几十台服务器要做一个全面检查的情况，如果人工手写脚本的话，一方面效率较低另一方面需要安全检查者熟悉所需要检查的项。在这种情况下，本人写了一个 Linux 安全检查的脚本，该脚本主要在以下场景使用：
该脚本完成有一段时间，最近在应急响应群里讨论，发现这块的安全检查是大家的一个强需求，因此把该检查脚本共享给大家，共享的目的主要以两个:一是提高大家在 Linux 安全检查时的效率，释放大家的精力;另一方面希望大家在使用的过程中可以不断地发现问题，不断的总结缺少的安全检查项，协助完善该检查脚本。所以大家在使用过程中有任何问题或建议欢迎及时同步给我。
检查内容 1. 整体框架 关于 Linux 安全检查,这里面我总结主要需要检查以下内容：
2. 系统安全检查框架
3. 功能实现 功能设计：
目前到 V1.2 版本，后期完善 V1.3 相关的功能。 另外，操作上可以实现一键进行安全检查，并将检查后的结果保存到本机。只需要在hosts文本中输入相应的IP、账号、密码。操作上人工参与最小化。 4. 各脚本功能说明 下载后相关整个脚本的目录结构如下所示：
下面针对其中部分脚本进行介绍 (1) Checkrules 判断逻辑主要放在两个文件中:一个是 checkrules 中,格式为 dat,这里面建议将比较复杂的判断逻辑放在这里，如下面的 TCP 危险端口这块,因为比较多，如果放在 buying_linuxcheck.sh 中则代码有些冗长，下面是 TCP 高危端口的判断逻辑，主要还是根据木马默认使用的端口号，这里面判断的逻辑相对简单，可能会存在误报的情况，所以后续需要人工介入分析。
(2) buying_linuxcheck.sh 核心的功能收集与判断逻辑,比较简单的判断逻辑可以放在这里面进行判断。
5. 使用 使用比较简单,将本脚本拷贝到自己一台 Linux 主机上，可以使用虚拟机，将需要被检查的服务器的 IP、账号、密码放到 hosts.txt 目录中，直接运行即可实现一键安全检查。 相关操作如下: (1) 将需要被检查的服务器 IP、账号、密码写入到 hosts.txt 文件中,格式为
其中 user 为普通用户的账号,port 为 ssh 登录端口, uesrpassword 为普通账号的密码, rootpassword 为 root 的密码, 只所以加个普通用户是因为有的系统做了安全策略,不允许 root 直接登录，如果被检查的服务器允许 root 直接登录，可以直接把 user 和 userpassword 写成 root 以及 root 密码
这里面被检查的服务器允许 root 直接登录，因此直接写 root 账号和密码 (2) 运行安全检查脚本,
（编辑：核心网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
