防范高级别特权攻击的核心是切断提权路径、压缩横向移动空间、确保越权行为可追溯，关键措施包括账户权限控制、服务最小化、日志审计闭环和运行时防护四大环节。
防范高级别特权攻击，核心不是堆砌工具，而是切断攻击者提权路径、压缩其横向移动空间、让每一次越权行为都留下可追溯痕迹。实战中真正有效的配置，集中在账户权限控制、服务最小化、日志审计闭环和运行时防护这四个关键环节。
严格限制账户权限与登录方式
特权攻击往往始于一个被滥用的普通账户或弱密码 root 登录。必须从源头掐断：
- 禁用 root 远程登录：修改 /etc/ssh/sshd_config，设 PermitRootLogin no；重启 sshd 生效
- 只允许密钥认证：关闭密码登录（PasswordAuthentication no），强制使用 Ed25519 密钥对，避免暴力破解和凭证重放
- 创建专用运维账户并限制登录源：例如 admin 用户，仅允许从公司固定 IP 段登录（AllowUsers admin@203.123.45.*）
- 启用密码策略：设置密码最长有效期 90 天、最短更改间隔 1 天，并锁定系统默认无用账户（如 nobody、games）
收敛服务暴露面与运行权限
攻击者常利用服务自身漏洞或以服务身份提权。减少攻击面比事后修补更有效：
- 卸载所有非必要服务：如 telnet、ftp、rsh 等明文协议组件，用 apt purge 或 yum remove 彻底清除
- 服务降权运行：确保 Apache、Nginx、MySQL 等不以 root 身份启动；检查配置中 User 和 Group 设置是否为低权限用户（如 www-data）
- 禁用危险内核模块：如 ip_vs、nf_nat_ftp 等非业务必需模块，通过 echo "install module_name /bin/true" > /etc/modprobe.d/disable.conf 阻止加载
- 启用 SELinux 或 AppArmor：强制进程按策略运行，即使 Web 服务被攻陷，也无法随意读写系统关键目录
部署实时监控与自动响应机制
高级攻击常隐蔽持久，靠人工巡检难以发现。需建立“检测—响应”自动化链路：
- 安装 Fail2Ban：监控 /var/log/auth.log，对 SSH、sudo 异常尝试自动封禁 IP，并联动 iptables 拒绝访问
- 启用文件完整性监控：用 AIDE 或 Wazuh 定期扫描 /etc、/bin、/usr/bin 等关键路径，一旦二进制或配置被篡改立即告警
- 集中日志审计：配置 rsyslog 将 auth、sudo、cron、system 日志实时转发至独立日志服务器，保留至少 180 天，防止本地日志被擦除
- 记录所有 sudo 命令：在 /etc/sudoers 中添加 Defaults logfile="/var/log/sudo.log"，并确保该文件权限为 600
加固关键服务的运行时防护
针对常见提权入口点做定向加固，堵住典型利用链：
- SSH 服务：改默认端口（如 3022）、限制最大会话数（MaxSessions 2）、禁用空密码（PermitEmptyPasswords no）
- Web 服务：Apache/Nginx 中禁用 mod_userdir、mod_cgi（除非明确需要），目录配置中禁止 FollowSymLinks 和 ExecCGI
- 数据库：MySQL 禁用 LOCAL INFILE，删除 test 数据库，限制用户只能从指定 IP 连接，禁用 root 远程访问
- 内核参数加固：在 /etc/sysctl.conf 中启用 kernel.randomize_va_space=2（ASLR）、vm.mmap_min_addr=65536（防 NULL 指针解引用提权）
