云主机漏洞如何排查

本文目录导读：

1. 第一阶段：前期准备与资产盘点
2. 第二阶段：自动化漏洞扫描（核心步骤）
3. 第三阶段：安全配置核查（基线检查）
4. 第四阶段：日志分析与入侵痕迹排查
5. 第五阶段：应急响应与修复
6. 针对云环境的特殊建议
7. 总结排查优先级排序

云主机漏洞排查是一项系统性工作，通常涉及资产识别、漏洞扫描、配置核查、日志分析和基线加固五个核心环节,以下是分步骤的排查指南：

第一阶段：前期准备与资产盘点

1. 确认云主机资产清单
   • 通过云厂商控制台（如AWS EC2、阿里云ECS）或CMDB系统，列出所有云主机的IP、操作系统、中间件（Nginx/Apache/Tomcat）、数据库（MySQL/Redis）、开放端口及运行的服务。
   • 关键点：找出“僵尸主机”（长期未更新、无人维护的机器）,这些通常是漏洞高发区。
2. 获取最小权限账号

   准备一个拥有Sudo权限（Linux）或管理员权限（Windows）的临时账号，用于安全扫描和配置查看（避免使用root直接操作生产环境）。

第二阶段：自动化漏洞扫描（核心步骤）

使用专业工具进行系统性和应用层扫描：

• 系统级别漏洞
  • Linux：使用 yum --security check-update（CentOS/RedHat）或 apt list --upgradable（Ubuntu）检查系统补丁。
  • 专业扫描器：运行 Nessus、OpenVAS 或 Qualys 对主机IP进行扫描，重点检查：脏牛（Dirty COW）、PrintNightmare、Log4j、SSH漏洞等已知高危漏洞。
• Web应用漏洞
  • 如果主机运行Web服务，使用 Burp Suite、AWVS 或 Xray 扫描SQL注入、XSS、文件上传、命令执行等漏洞。
• 容器与镜像漏洞（如果主机运行Docker）
  • 运行 docker scan <镜像名> 或使用 Trivy、Clair 扫描容器镜像层级的漏洞（如基础镜像包含过时的OpenSSL）。

第三阶段：安全配置核查（基线检查）

漏洞扫描只能找“已知漏洞”,配置问题才是最大隐患：

1. 弱口令与默认凭据（最常见）
   • 检查SSH/RDP是否使用弱密码：hydra -l root -P password.txt ssh://目标IP
   • 检查数据库（MySQL/Redis/MongoDB）是否使用默认密码或空密码。
2. 开放端口与服务暴露
   • netstat -tulnp 或 ss -tuln 查看所有监听端口。
   • 高危操作：检查是否有Redis（6379）、Docker Remote API（2375）、Elasticsearch（9200）等无认证服务暴露在公网。立即禁止。
3. 防火墙与安全组规则
   • 检查云厂商安全组及主机内防火墙（iptables/firewalld）：是否允许了 0.0.0/0 访问22、3389等管理端口？应改为仅允许特定管理IP。
4. 文件权限异常
   • Linux：检查 /etc/shadow 权限是否为 -rw-------；检查 /tmp 目录是否有世界可写的敏感脚本。
5. SSH密钥与配置
   • 检查 ~/.ssh/authorized_keys 是否存在未知的公钥（后门）。
   • 检查 /etc/ssh/sshd_config 是否允许 PermitRootLogin yes 和 PasswordAuthentication yes（建议关闭密码登录，使用密钥）。

第四阶段：日志分析与入侵痕迹排查

如果怀疑已被入侵,重点检查以下日志：

第五阶段：应急响应与修复

排查出问题后,按优先级处理：

1. 高危漏洞：立即打补丁（如yum update）或临时禁用该服务。
2. 弱口令：立即修改密码为16位以上带特殊字符的随机密码,并启用SSH密钥登录。
3. 后门程序：
   • 删除可疑的SSH公钥。
   • Kill掉挖矿进程，删除相关的Cron任务和启动项（检查 /etc/rc.local、/etc/systemd/system/）。
4. 网络攻击：
   • 更新云厂商安全组,将管理端口IP白名单化。
   • 启用云厂商的WAF或主机安全防护软件（如阿里云安骑士、腾讯云管家、Cloudflare）。

针对云环境的特殊建议

• 使用云厂商自带的漏洞扫描服务：如AWS Inspector、阿里云云安全中心、腾讯云主机安全，它们能自动关联系统补丁和云配置最佳实践,效率最高。
• 检查云服务的特定组件：
  • 云监控Agent：检查是否有异常写入。
  • 元数据服务（Metadata Service）：检查是否有SSRF漏洞被利用来获取 http://169.254.169.254/latest/meta-data/ 中的临时凭据。
• 备份与回滚：如果无法快速修复漏洞，可以直接通过云控制台回滚到最近的快照（Snapshot）或使用AMI镜像重建实例。

总结排查优先级排序

1. 做：扫描已知CVE漏洞（特别是Log4j、Struts2、WebLogic等）。
2. 查：弱密码、无认证Redis/Elasticsearch、公网SSH/MySQL暴露。
3. 看：进程CPU异常、Cron定时任务、SSH密钥后门。
4. 堵：安全组最小权限策略、关闭不必要的云服务API暴露。

最后提醒：不要在生产环境高峰期直接运行高强度扫描工具（如Nessus Full Scan），可先用轻量级脚本或nmap做初步探测。