Linux服务器被攻击了怎么办？如何防御Linux服务器攻击

Linux服务器安全防御的核心在于“最小权限原则”与“纵深防御体系”的构建，而非单纯依赖单一安全工具，服务器一旦遭受入侵，往往伴随着权限提升、横向移动与数据泄露，防御者必须在攻击链的每一个环节设置障碍，才能有效阻断攻击linux服务器的行为，构建这一防御体系，需要从账号管理、网络控制、文件系统加固及入侵检测四个维度同步推进,形成闭环安全生态。

收缩攻击面：服务与端口的极简配置

暴露在互联网上的每一个端口都是潜在的入侵入口，攻击者通常利用端口扫描工具探测目标服务器开放的SSH、RDP、数据库及Web服务端口,寻找版本漏洞或配置缺陷。

1. 端口最小化策略
   使用 netstat -tulnp 或 ss -tulnp 命令审计当前监听端口，关闭非业务必需的服务，例如如果服务器仅作为Web服务器，应关闭数据库端口（如3306、5432）的外网访问权限,仅允许本地回环调用。
2. SSH服务加固
   SSH是Linux服务器管理的主要入口，也是暴力破解的重灾区。
   • 修改默认端口：将 /etc/ssh/sshd_config 中的 Port 22 修改为非标准高位端口（如50022以上）,可规避大部分自动化扫描脚本。
   • 禁用Root直接登录：设置 PermitRootLogin no 强制使用普通账号登录后再切换至Root,增加攻击者窃取凭证的难度。
   • 密钥对认证替代密码：禁用 PasswordAuthentication，强制使用ED25519或RSA算法的SSH密钥对进行认证,从根本上杜绝弱口令爆破风险。

身份认证与访问控制：构建第一道防线

弱口令和权限滥用是导致服务器沦陷的常见原因，强化身份认证机制,是防止未授权访问的关键。

1. 强制密码策略与双因素认证
   利用 pam_pwquality 模块设置密码复杂度策略，要求密码长度不少于12位，且包含大小写字母、数字及特殊符号，对于关键业务服务器，建议部署Google Authenticator或类似的双因素认证（2FA）模块，即使密码泄露,攻击者也无法通过第二重验证。
2. 特权访问管理
   严格限制 sudo 权限的分配，遵循“需知原则”和“最小权限原则”，在 /etc/sudoers 文件中精确配置用户权限，避免使用 ALL=(ALL) ALL 这种宽泛的授权方式，定期审计 /var/log/secure 日志,监控异常的登录尝试与权限提升行为。

文件系统与内核安全：提升入侵成本

当攻击者通过Web漏洞（如SQL注入、文件上传）获得WebShell权限后,文件系统的加固能有效限制其破坏范围。

1. 关键文件锁定
   使用 chattr +i 命令对关键系统文件（如 /etc/passwd、/etc/shadow、/etc/sudoers）加锁，防止任何用户（包括Root）对其进行修改或删除,这能有效阻止攻击者创建后门账号或篡改系统配置。
2. 文件完整性监控
   部署AIDE（Advanced Intrusion Detection Environment）或Tripwire等工具，定期对系统关键目录生成指纹数据库，一旦系统文件被篡改，管理员能第一时间收到告警,快速识别被植入的后门文件。
3. 内核参数调优
   通过修改 /etc/sysctl.conf 开启内核层面的防护。
   • 开启SYN Cookies防御SYN Flood攻击：net.ipv4.tcp_syncookies = 1。
   • 禁止源路由转发与重定向：防止服务器被利用作为攻击跳板。
   • 配置完成后执行 sysctl -p 使配置生效。

入侵检测与应急响应：构建闭环机制

安全防御不是静态的,需要建立持续的监控与响应机制。

1. 日志审计与分析
   集中化管理日志，避免攻击者删除本地日志掩盖痕迹，使用ELK（Elasticsearch, Logstash, Kibana）或商业SIEM系统收集 /var/log/ 下的系统日志、安全日志及Web服务日志，重点关注频繁的登录失败记录、异常的进程启动记录以及未知的网络连接。
2. Webshell查杀与后门检测
   定期使用D盾、河马Webshell查杀工具或Linux下的 find 命令配合正则表达式，扫描Web目录下最近被修改的PHP、JSP、ASP文件，对于可疑文件,立即隔离分析。
3. 补丁管理与漏洞修复
   建立定期的补丁更新流程，启用 yum-cron 或 unattended-upgrades 实现关键安全补丁的自动更新，在更新前，务必在测试环境验证兼容性,防止因补丁导致业务中断。

相关问答

问：Linux服务器被植入挖矿病毒后，CPU占用率飙升，如何快速定位并清除？
答：首先使用 top 或 htop 命令查看占用CPU资源最高的进程PID，通过 ls -l /proc/$PID/exe 查找恶意程序的真实路径，使用 kill -9 结束进程，并删除源文件，随后检查 crontab -l、/etc/crontab 以及 /etc/cron. 目录，清除恶意计划任务，使用 chattr -i 解锁并检查 /etc/ld.so.preload 等动态链接库劫持配置,确保彻底清除Rootkit残留。

问：如何防止攻击者通过SSH暴力破解入侵Linux服务器？
答：除了修改端口和禁用Root登录外，最有效的方案是部署Fail2ban工具，Fail2ban能够监控日志文件（如 /var/log/secure），当检测到同一IP在短时间内连续登录失败达到阈值时，自动调用iptables或firewalld封禁该IP地址，建议配置策略为：5分钟内失败3次即封禁IP 1小时,极大提高暴力破解的时间成本。

您的Linux服务器是否曾遭遇过异常攻击？欢迎在评论区分享您的排查经验与防御心得。