Web安全运维零门槛实操指南：从漏洞扫描到应急响应全流程落地

其中failregex对应的路径可根据你的实际后台登录地址修改，配置完成后执行`sudo systemctl restart fail2ban && sudo systemctl enable fail2ban`启动服务，必须将SSH服务的默认22端口修改为10000以上的非知名端口，降低被扫描概率。

3.2 Web应用防火墙配置

以Nginx集成ModSecurity为例，启用默认OWASP核心规则集，配置步骤如下：

• 执行`sudo modsecurity-crs-setup`生成默认规则配置
• 编辑Nginx站点配置文件，在server块中添加以下内容：

  modsecurity on;
  modsecurity_rules_file /etc/modsecurity/modsecurity.conf-recommended;
  modsecurity_rules_file /etc/modsecurity/crs/crs-setup.conf;
  modsecurity_rules_file /usr/share/modsecurity-crs/rules/REQUEST-900-EXCLUSION-RULES-BEFORE-CRS.conf;
  modsecurity_rules_file /usr/share/modsecurity-crs/rules/.conf;
  

• 执行`sudo nginx -t`测试配置无误后，执行`sudo systemctl reload nginx`生效

四、入侵应急响应实操流程

4.1 入侵排查步骤

收到告警后按以下顺序执行排查，所有命令可直接复制：

• 排查登录异常： ``` 查看最近10条登录成功记录 last -n 10 查看登录失败记录，定位暴力破解源IP grep "Failed password" /var/log/auth.log 查看当前在线用户，踢掉异常用户执行pkill -KILL -u 用户名 w ```
• 排查Webshell： ``` 扫描Web目录下24小时内修改过的动态脚本文件 find /var/www/html \( -name ".php" -o -name ".asp" -o -name ".jsp" \) -mtime -1 扫描包含高危执行函数的PHP文件 grep -r "eval\|assert\|base64_decode\|system\|exec\|shell_exec" /var/www/html --include=".php" ```
• 排查异常进程： ``` 查看CPU/内存占用Top10进程，定位异常挖矿程序 ps aux --sort=-%cpu | head -n 10 查看对外连接的异常端口 netstat -antp | grep ESTABLISHED ```

4.2 漏洞修复优先级

排查到漏洞后按以下优先级修复：

• 高危漏洞（RCE、SQL注入、权限绕过）：24小时内完成修复，无法立即修复的先下线对应服务
• 中危漏洞（XSS、任意文件读取）：72小时内完成修复，期间通过WAF添加临时拦截规则
• 低危漏洞（信息泄露、弱密码）：7天内完成修复

五、常态化巡检规范

按以下频率执行巡检，确保安全防护持续生效：

• 每日巡检：查看Fail2ban拦截日志、ModSecurity拦截日志、服务器登录记录
• 每周巡检：执行全端口扫描、ClamAV恶意文件扫描、病毒库/漏洞库更新
• 每月巡检：全量漏洞扫描、安全规则优化、全服务弱密码排查

所有巡检记录需留存至少90天，满足等保合规要求。