服务器入侵应急处置：痕迹清理、漏洞封堵与事后加固全流程

服务器入侵应急处置流程痕迹清理发现入侵后需立即切断网络连接防止攻击者持续渗透。使用ps -ef和netstat -antp命令检查异常进程与网络连接终止可疑进程并记录PID。重点检查/tmp、/dev/shm等临时目录删除恶意文件时需同步清理crontab定时任务。登录日志分析应覆盖/var/log/secure、/var/log/auth.log及~/.bash_history特别注意非正常时间段的登录记录。Web应用需检查access_log中异常请求路径如/admin.php等敏感路径的访问记录。漏洞封堵通过rpm -Va或dpkg --verify校验系统文件完整性比对重要配置文件哈希值。更新所有软件包至最新版本优先修补已披露的CVE漏洞如OpenSSL、SSH等服务组件。防火墙规则需重置为最小化开放策略禁用非必要端口。使用iptables -A INPUT -p tcp --dport 22 -s trusted_ip -j ACCEPT实现源IP白名单控制。Web应用漏洞应部署WAF规则临时拦截攻击流量同时修复SQL注入、文件上传等代码层缺陷。事后加固启用SELinux或AppArmor强制访问控制配置/etc/sysctl.conf强化内核参数如net.ipv4.tcp_syncookies1防SYN洪水攻击。实施SSH证书登录替代密码认证设置PermitRootLogin no禁用root直接登录。建立持续监控机制部署OSSEC等HIDS工具监测文件变更。定期进行漏洞扫描与渗透测试关键业务系统建议部署网络隔离与双因素认证。完善备份策略采用3-2-1原则保留离线备份副本。溯源与报告收集/var/log/目录下所有日志文件使用logrotate确保日志连续性。网络流量捕获可通过tcpdump -i eth0 -w capture.pcap留存证据。编制详细的事件报告包含时间线、影响范围和处置措施向相关监管机构报备重大安全事件。