服务器安全审计是对服务器暴露面和配置的系统性审查，目的是找出攻击者可能从何处入侵，以及进入之后能做些什么。如果你被要求委托一次审计，或者想开展一次内部审查，本指南将准确说明一次彻底的审计究竟检查哪些内容，以及每个领域为何重要。

审计是诊断性的：它告诉你目前所处的状况。它自然而然地与加固 相配合，加固就是修复审计所发现问题的工作。

要点速览（TL;DR）

  • 服务器审计会审查攻击面、操作系统与服务配置、补丁状态、访问控制、网络与防火墙设置以及监控
  • 通常会将服务器与公认标准（例如 CIS Benchmark）进行基准比对
  • 它包括恶意软件与 rootkit 扫描，以及对日志记录的审查，以便入侵行为能够真正被检测到
  • 输出应当是可据以行动的、按优先级排序并按风险分级的发现清单，而不是原始的扫描器转储

1. 攻击面审查

第一项工作是确定服务器实际暴露了什么。

  • 枚举所有正在监听的服务和开放的端口，并确认每一项都是有意为之的。
  • 区分面向互联网的服务与那些本应仅限内部的服务。
  • 标记那些在不带来价值的情况下扩大攻击面的过时或不必要的服务。

2. 操作系统与配置审计

  • 检查操作系统的版本和支持状态；已到生命周期终点（end-of-life）的操作系统是长期存在的风险。
  • 将配置与公认标准进行对照审查，通常是针对该发行版的 CIS Benchmark 。
  • 评估操作系统和已安装软件的补丁状态，并检查是否已启用自动安全更新。

3. 访问控制与身份验证

  • 审查用户账户和服务账户，移除过时的、默认的和未使用的账户。
  • 按照最小权限原则审计 sudo 和权限分配。
  • 检查 SSH 配置：基于密钥的身份验证、禁用 root 登录、禁用密码身份验证以及暴力破解（brute-force）防护。
  • 检查管理访问是否启用了多因素身份验证（MFA）。

4. 防火墙与网络分段

  • 确认 firewall 遵循默认拒绝（default-deny）策略，并且仅暴露所需的端口。
  • 审查网络分段，使得某一台主机被攻陷后不会获得在网络中自由移动的能力。
  • 检查管理接口是否被限制为仅可信来源或 VPN 访问。

5. 恶意软件与 rootkit 检测

  • 运行恶意软件和 rootkit 扫描，以检测已存在的攻陷。
  • 执行文件完整性检查，以识别对系统二进制文件和配置的意外更改。

6. 日志记录、监控与检测

  • 核实与安全相关的事件是否被记录（例如通过 auditd）并被保留。
  • 确认日志被传送到主机之外，使其不会被攻击者轻易抹除。
  • 检查可疑活动是否会触发告警，以便入侵行为能够真正被察觉。

7. 数据保护与备份

  • 确认敏感数据在静态存储时和传输中均已加密。
  • 核实备份确实存在、存储在服务器之外，并已通过还原进行过测试。
  • 检查是否存在恢复流程且已形成文档。

好的输出是什么样的

一次有用的审计不会只丢给你一份原始的扫描器报告。它交付按风险分级、按优先级排序的发现，并附有清晰的修复步骤，让你知道该先修复什么以及原因。任何人都能运行扫描器；价值在于专家的解读、误报的排除，以及针对真实世界风险的优先级排序。

关键要点

  • 服务器安全审计会审查攻击面、配置、打补丁、访问控制、网络设置、恶意软件和监控。
  • 应当预期它会与 CIS 等公认标准进行基准比对，并包含恶意软件与 rootkit 扫描。
  • 交付物应当是按优先级排序、按风险分级并附有修复指导的发现，而不是扫描器转储。
  • 审计负责诊断；加固负责修复。二者应结合使用。

获取专业的服务器安全审计

一次彻底的审计会受益于经验丰富的眼光，它知道哪些发现才真正重要。服务器安全审计服务 涵盖完整的攻击面审查、CIS Benchmark 对齐、恶意软件与 rootkit 检测、网络分段审查以及一份按优先级排序的加固报告。一旦你了解了自己所处的状况，Linux 服务器加固服务 和加固指南 会负责修复工作。

常见问题（FAQ）

什么是服务器安全审计？ 一种对服务器暴露面和配置的系统性审查，用于识别安全弱点，涵盖攻击面、操作系统与服务配置、补丁状态、访问控制、网络设置、恶意软件和监控。它告诉你哪里存在脆弱性以及如何修复。

审计与加固有何不同？ 审计是诊断性的：它发现并对弱点排定优先级。加固则是修复这些弱点的整改工作。你通过审计了解自己所处的状况，然后通过加固来弥补缺口。

服务器审计包含恶意软件扫描吗？ 彻底的审计包含。除了配置审查之外，它还应包括恶意软件与 rootkit 扫描以及文件完整性检查，以检测任何已存在的攻陷，而不仅仅是未来的风险。

服务器审计应当依据什么标准来衡量？ 针对你操作系统的 CIS Benchmark 是常见的基准。它提供一套客观且针对特定发行版的标准，使发现可衡量、可复现，而非主观判断。

我们应当多久审计一次服务器？ 应定期进行，并在发生重大变更之后进行，因为配置会发生漂移、新的漏洞会不断出现。许多组织会将每年或每半年一次的深入审计与其间持续的自动打补丁和监控结合起来。