【ch01】Linux服务器安全运维

项目一Linux服务器安全运维一、问答题1.Linux系统中删除无用默认用户、用户组的核心安全原理是什么？举例写出删除adm用户、adm用户组的命令，以及禁止nagios用户登录的命令。答案：（1）安全原理：系统内账号数量越多，可被黑客利用的攻击入口越多，闲置账号会增大入侵风险，因此无用账号/用户组需清理；无登录需求的系统账号需关闭登录权限。（2）删除adm用户命令：userdeladm（3）删除adm用户组命令：groupdeladm（4）禁止nagios登录命令：usermod-s/sbin/nologinnagios2.Telnet远程登录存在什么致命安全缺陷？SSH相比Telnet有哪些安全优势？并写出sshd_config中两项核心安全配置（禁止root远程登录、修改默认22端口）。答案：（1）Telnet缺陷：传输账号、密码、数据均为明文，极易被抓包窃取。（2）SSH安全优势：基于加密传输数据；支持密钥认证；可防范IP、DNS欺骗；传输数据会压缩，提升传输效率。（3）sshd_config安全配置：（4）禁止root远程登录：PermitRootLoginno（4）修改SSH默认端口：Port自定义端口号（非22）3.chattr命令的i属性和a属性分别作用是什么？哪些核心系统文件建议设置i属性，哪些日志文件适合设置a属性？哪些目录不能使用chattr锁定？答案：属性作用：i（immutable）：文件不可修改、删除、重命名、追加，root也无权限操作；a（append）：仅允许向文件追加内容，不能删除、覆盖原有数据。推荐设置i属性文件：/etc/passwd、/etc/shadow、/etc/sudoers、/etc/hosts、/bin、/sbin等系统核心目录与账户配置文件。推荐设置a属性文件：/var/log/messages、/var/log/wtmp等系统日志。不可锁定目录：/（根目录）、/dev、/tmp、/var，锁定后系统无法正常读写、运行。4.Rootkit分为哪两类？两者入侵原理、隐蔽性有什么区别？分别列举一款对应的检测工具。答案：分类：文件级别（用户态）Rootkit、内核级别Rootkit。区别：文件级别Rootkit：替换login、ps、netstat等系统二进制文件，植入后门；可通过校验文件完整性发现，隐蔽性较弱。内核级别Rootkit：篡改系统内核，劫持系统调用，不修改磁盘文件；常规命令、文件校验工具无法检测，隐蔽性更强，危害更大。检测工具：文件级Rootkit检测：Chkrootkit；通用Rootkit检测：RKHunter（同时支持两种Rootkit检测）。5.服务器遭受黑客攻击后，标准处理流程分为哪7个步骤？发现可疑登录用户后，锁定用户并强制下线的操作流程是什么？答案：（1）7步处理流程切断服务器网络，阻断持续攻击，保护内网其他主机；分析系统日志、进程、端口，定位攻击源；排查入侵途径与漏洞根源；备份业务数据，排查数据内是否携带恶意程序；重装操作系统（彻底清除底层后门、Rootkit）；修复系统、应用程序漏洞；导入干净备份数据，重启服务并恢复网络。（2）可疑用户处置流程使用who命令查看在线登录用户、终端、进程信息；使用passwd-l用户名锁定