阅读量:54
1. 立即隔离受影响系统
将受感染的Ubuntu系统从网络中断开（如断开网线、关闭Wi-Fi或执行sudo ifconfig eth0 down），防止攻击者进一步扩散恶意活动或窃取数据。这是阻止损失扩大的首要步骤。
2. 备份重要数据（若未完全隔离）
若系统仍可访问，优先从离线备份（如外部存储设备、云存储的非实时同步目录）中还原关键数据（如数据库、用户文件、配置文件）。还原前需用哈希工具（如sha256sum）校验备份文件的完整性，确保未被恶意篡改。
3. 彻底清除恶意组件
- 终止恶意进程：通过
ps aux命令列出所有运行中的进程，识别异常进程（如无数字签名的二进制文件、占用高CPU/内存的陌生进程），用kill -9强制终止。 - 删除恶意文件：使用
find / -mtime -1查找24小时内修改过的文件，结合ls -la检查文件权限（如-rwsr-xr-x的可疑SUID文件），删除未经授权的可执行文件、脚本或配置文件。 - 清理临时文件：删除
/tmp、/var/tmp目录下的陌生文件，这些目录常被攻击者用于存放临时恶意脚本。
4. 更改所有凭证
攻击者可能已窃取系统凭证（如root密码、数据库密码、API密钥），需强制所有用户重置密码：
- 使用
chage命令强制用户下次登录时修改密码：sudo chage -d 0（如sudo chage -d 0 root）。 - 对于批量用户，可通过循环命令快速处理：
for user in $(cut -d: -f1 /etc/passwd); do sudo chage -d 0 $user; done。 - 更新所有服务的密码（如MySQL、PostgreSQL、Redis），并删除未使用的账户。
5. 从干净备份恢复系统
若系统受损严重（如内核被篡改、核心服务被植入后门），建议从最新的无恶意软件备份中恢复：
- 使用Ubuntu安装介质（如USB启动盘）进入恢复模式，选择“从备份恢复”选项。
- 若使用快照工具（如Timeshift），可选择受攻击前的快照进行还原。
- 恢复完成后，重启系统并进入恢复模式，重新安装系统分区（如
sudo apt install --reinstall ubuntu-minimal），确保系统文件未被残留恶意代码污染。
6. 扫描残留恶意软件
恢复后，使用安全工具扫描系统，确保无残留恶意软件：
- ClamAV（开源杀毒软件）：安装并更新病毒库（
sudo apt install clamav && sudo freshclam），执行递归扫描（sudo clamscan -r --remove /），删除检测到的恶意文件。 - Rootkit检测：使用
chkrootkit（sudo apt install chkrootkit）或rkhunter（sudo apt install rkhunter）扫描系统，检测隐藏的Rootkit（如/dev/shm下的可疑程序）。
7. 更新系统与软件
应用所有未安装的安全补丁，修补已知漏洞，防止攻击者利用同一Exploit再次入侵：
- 更新软件包列表并升级所有可更新的软件：
sudo apt update && sudo apt full-upgrade -y。 - 安装自动更新工具（如
unattended-upgrades），配置自动安装安全更新：sudo apt install unattended-upgrades && sudo dpkg-reconfigure -plow unattended-upgrades。
8. 强化系统安全配置
通过配置安全策略，降低未来被Exploit攻击的风险：
- 配置防火墙：使用
ufw（Uncomplicated Firewall）限制入站连接，仅允许必要的端口（如SSH的22/tcp、HTTP的80/tcp、HTTPS的443/tcp）：sudo ufw enable && sudo ufw allow 22/tcp && sudo ufw allow 80/tcp && sudo ufw allow 443/tcp。 - 禁用root登录：编辑
/etc/ssh/sshd_config文件，设置PermitRootLogin no，禁用root账户的SSH登录，使用普通用户+sudo提升权限。 - 启用SSH密钥认证：生成SSH密钥对（
ssh-keygen -t rsa -b 4096），将公钥复制到服务器（ssh-copy-id），修改@ /etc/ssh/sshd_config中的PasswordAuthentication no，禁用密码登录。 - 最小化服务：停止并禁用不必要的服务（如FTP、Telnet、Samba），减少攻击面：
sudo systemctl stop。&& sudo systemctl disable
9. 监控与审计
建立持续的监控机制，及时发现异常活动：
- 日志分析：定期检查系统日志（如
/var/log/auth.log记录登录尝试、/var/log/syslog记录系统事件），使用grep、awk等工具筛选可疑记录（如多次失败的SSH登录）。 - 入侵检测：安装
fail2ban（sudo apt install fail2ban），自动封禁多次尝试登录的恶意IP地址；或使用Lynis（sudo apt install lynis）进行系统安全审计，识别潜在漏洞。 - 实时监控：使用
journalctl命令实时查看系统日志（sudo journalctl -xe），或部署SIEM工具（如Elasticsearch + Logstash + Kibana）集中分析日志。