如何写拦截高危操作脚本

wen 实用脚本 2026-06-26 32

企业级安全防护实战指南

目录导读

为什么需要拦截高危操作脚本？
高危操作的常见类型与识别标准
脚本设计核心原则
技术实现：从命令拦截到行为审计
实战案例：用Shell与Python构建拦截系统
常见问题与解答（FAQ）
未来趋势：AI驱动的智能拦截

为什么需要拦截高危操作脚本？

在运维与开发过程中,rm -rf /、DROP TABLE、chmod -R 777 / 等指令一旦执行，可能导致数据丢失、服务中断甚至被勒索攻击，据Verizon 2023年数据泄露调查报告显示，62%的安全事件源于人为误操作或内部威胁，拦截高危操作脚本，本质上是为系统建立“防呆机制”——用规则与自动化代码代替人工判断，达到“想错但做不错”的安全效果。

如何写拦截高危操作脚本

关键价值观：好的拦截脚本不是限制用户自由，而是避免“手滑”带来的代价，信用卡POCI行业规定的审计日志要求，就强制企业对多类高危命令进行拦截并记录。

高危操作的常见类型与识别标准

要编写有效脚本,先要明确“拦截什么”，根据OWASP与CIS基准建议，可分为三类：

类别	示例命令或操作	拦截依据
文件系统破坏类	rm -rf、chmod 777、dd if=/dev/zero of=/dev/sda	涉及根目录、系统关键文件
数据库危险操作	DROP TABLE、DELETE FROM 无WHERE、TRUNCATE	无备份确认或非事务模式
权限与配置篡改类	passwd root（无安全策略）、修改sudoers、关闭SELinux	未绑定审批流程

识别原则：监控who（谁操作）、when（什么时间）、what（具体指令）、where（在哪个目录）、how（以何种身份执行），可在脚本中定义“高危关键词正则”与“路径白名单列表”。

脚本设计核心原则（3W模型）

Warning（警告）：拦截前必须输出明确的警告信息，并显示风险等级。
Wait（缓冲）：强制等待5-10秒，让操作人员重新确认。
Witness（留痕）：无论用户是否继续，都记录详细日志，包括命令、时间、终端设备IP、命令来源（SSH/控制台）。

黄金原则：脚本本身不应依赖特殊权限，但可通过setuid或sudoers机制授权，必须设置“管理员绕过”机制（如紧急救援密码或双人审批），避免脚本影响正常维护。

技术实现：从命令拦截到行为审计

1 方法一：Shell环境级拦截（简单快速）

在.bashrc或.bash_profile中定义trap或alias：

alias rm='prevent_rm'
prevent_rm() {
    echo "[高危] 禁止直接使用 rm，请使用 /opt/script_safe_rm.sh"
    logger -p user.warning "用户 $USER 尝试执行 rm - 从 $SSH_CLIENT"
}

但此方法缺点明显：用户可轻易绕过\rm或执行/bin/rm。

2 方法二：审计系统级拦截（推荐）

通过auditd捕捉系统调用，结合Python脚本实现白名单或模式匹配。

Python拦截原型（简化版）：

import subprocess, os, sys
high_risk_patterns = [
    r'rm\s+(-rf|--recursive)\s+/', 
    r'drop\s+table', 
    r'chmod\s+777'
]
def check_command(cmd):
    for pattern in high_risk_patterns:
        if re.search(pattern, cmd, re.IGNORECASE):
            log_event(cmd, os.getenv('USER'))
            return True
    return False
# 实际场景建议用 eBPF 或 auditd 挂载事件流

3 方法三：基于Docker/LXC的沙箱（最严格）

所有高危操作在临时容器中执行,若触发规则则销毁容器并回滚文件快照，适合测试环境。

实战案例：拦截`rm -rf /`的完整脚本示例

目标：任何用户执行删除根目录的命令都会被拦截并生成告警。

步骤1：编写可执行脚本/usr/local/bin/safe_rm：

#!/bin/bash
if [[ "$*" == *" /"* ]] || [[ "$*" == *" /*"* ]]; then
    echo "⛔ 错误：检测到高危操作“rm -rf /”"
    echo "正在写入运维日志..."
    echo "$(date) - $USER - 命令：$* - 源IP：$SSH_CLIENT" >> /var/log/blocked_cmds.log
    # 可选：发送Webhook到安全告警系统
    curl -s -X POST -d "user=$USER&cmd=$*&time=$(date +%s)" https://aliyun.com/api/highrisk &
    sleep 5
    echo "操作已终止，如有紧急需要请使用：sudo /usr/local/bin/safe_rm --force"
    exit 1
fi
# 如果是安全操作，调用真正的 rm
/bin/rm "$@"

步骤2：配置别名始终调用安全脚本：

echo "alias rm='/usr/local/bin/safe_rm'" >> /etc/bashrc
source /etc/bashrc

步骤3：定期审计日志，对误杀情况做白名单调整。

常见问题与解答（FAQ）

Q1：拦截脚本会不会影响常规自动化部署？例如Ansible执行rm？
A：建议在Ansible的become用户下配置NO_PROMPT环境变量，或让自动化任务使用独立的bin路径（如/opt/automation/bin/rm），绕过别名，生产环境应在脚本中检测父进程是否为自动化工具。

Q2：如何避免用户使用/bin/rm绕过脚本？
A：最彻底的方法是修改PATH，但会引发兼容问题，更好的做法是结合auditd监控所有系统调用，当execve执行特定二进制时触发拦截脚本，例如审计规则：-a always,exit -S execve -F key=high_risk_rm，再配合rsyslog过滤。

Q3：若用户真的需要执行高危操作，如何按需放行？
A：设计“双重确认”机制，①在脚本中增加--i-am-sure参数，要求用户输入工单号；②监控系统要求第二个人通过Telegram bot审批；③将所有放行记录作为变更管理报告，以便事后追查。

Q4：如何做跨平台的拦截脚本？（Windows + Linux混合环境）
A：Windows可通过组策略禁止PowerShell执行特定命令，或使用AppLocker，统一方案是引入零信任端点工具（如腾讯云零信任安全管控平台），通过统一agent拦截。