内核参数篡改风险高，需构建“可监控、可锁定、可追溯”三层防护：用auditd实时监控关键路径写入；通过fs.protected_sysctl=2等固化参数并禁用模块加载；结合快照比对、LSM及内存保护机制实现纵深防御。
内核参数是系统运行的“底层开关”，一旦被恶意或误操作篡改，可能直接导致网络中断、权限失控、密钥泄露甚至内核提权。防范这类篡改，不能只靠事后检查，而要构建“可监控、可锁定、可追溯”的三层防护机制。
实时监控关键参数写入行为
攻击者常通过 echo 1 > /proc/sys/net/ipv4/ip_forward 这类方式开启IP转发实施中间人攻击，但该操作默认不记日志。推荐用 auditd 精准捕获：
- 添加监控规则：
sudo auditctl -w /proc/sys/net/ipv4/ip_forward -p w -k net_forward - 修改后立即查源：
sudo ausearch -k net_forward | aureport -i -f，输出含进程名、PID、UID 和时间戳 - 对高危路径批量监控（如模块加载、BPF开关）：
sudo auditctl -w /proc/sys/kernel/modules_disabled -w /proc/sys/kernel/unprivileged_bpf_disabled -p w -k kernel_lock
固化参数并限制运行时修改能力
仅靠文件权限（如 chmod 400）不够——命名空间逃逸或容器逃逸可能绕过。必须启用内核级保护：
- 在
/etc/sysctl.conf中设置：fs.protected_sysctl = 2（Linux 4.17+），阻止非特权用户在用户命名空间中修改 sysctl - 禁用模块加载：设
kernel.modules_disabled = 1，并固化到内核启动参数（GRUB 中加modules_disabled=1），比仅写入 /proc 更可靠 - 关闭核心转储：
fs.suid_dumpable = 0，防止 Nginx、SSH 等服务崩溃时泄露内存中的密钥或会话令牌
定期快照比对 + 权限基线校验
适合离线审计或权限受限环境，也作为 auditd 的补充验证手段：
- 生成可信基线：
sudo sysctl -a | grep -E '^(net\.ipv4\.ip_forward|kernel\.unprivileged_bpf_disabled|vm\.swappiness)' | sort > /var/log/sysctl_baseline.txt - 每日自动校验：
diff -q /var/log/sysctl_baseline.txt <(sudo sysctl -a | grep -E '^(net\.ipv4\.ip_forward|kernel\.unprivileged_bpf_disabled)' | sort) - 同步检查权限异常：
find /proc/sys -type f -writable ! -user root 2>/dev/null，若返回任何结果即存在非 root 可写节点，需立即加固
配合 LSM 与内存保护机制提升纵深防御
单点防护易被绕过，需与内核安全模块联动：
- 启用 KASLR 和 SMAP/SMEP：
kernel.randomize_va_space=2+kernel.kptr_restrict=2，并确认cat /sys/cpu/kernel/smap返回 1，大幅增加 ROP 利用难度 - 若使用 AppArmor 或 SELinux，确保其策略覆盖关键服务（如 nginx、sshd）的 sysctl 访问能力，防止策略外进程越权写入
- 在支持 eBPF 的内核（≥5.7）中启用 BPF LSM：
security=bpf，为后续基于 eBPF 的实时拦截（如阻断非法 write() 到 /proc/sys 路径）打下基础
