5. 根据你的需求更改 *group_vars/variables.yml* 中的所有变量。
6. 在运行 playbooks 之前启用 SSH root 访问：  ```
nano /etc/ssh/sshd_config
[...]
PermitRootLogin yes
[...]

ansible-playbook --inventory hosts.yml --ask-pass requirements-playbook.yml

ansible-playbook --inventory hosts.yml --ask-pass main-playbook.yml

ansible-playbook --inventory hosts.yml -e ansible_ssh_port=SSH_PORT --key-file /PATH/TO/SSH/KEY main-playbook.yml

([Table of Contents](#table-of-contents))

## 网络

### 使用 UFW（简单防火墙）

#### 为何

你可以说我偏执，而且你也无需同意，但我希望默认拒绝服务器上的所有进出流量，只放行我明确允许的。我的服务器为什么会发送我不知道的流量？如果我不知道外部流量的身份或意图，为什么要允许它访问我的服务器？说到良好的安全性，我的观点是默认拒绝/阻止，只允许例外情况。

当然，如果你不同意，也完全没问题，可以根据自己的需要配置 UFW。

无论如何，确保只放行我们明确允许的流量，这正是防火墙的职责。

#### 工作原理

Linux 内核提供了监控和控制网络流量的能力。这些能力通过防火墙工具暴露给最终用户。在 Linux 上，最常见的防火墙是 [iptables](https://en.wikipedia.org/wiki/Iptables)。然而，iptables 相当复杂且令人困惑（依我愚见）。这时 UFW 就派上了用场。你可以将 UFW 视为 iptables 的前端。它简化了管理 iptables 规则的过程，这些规则告诉 Linux 内核如何处理网络流量。

**UFW** 的工作原理是允许你配置规则，这些规则：

- **允许** 或 **拒绝**
- **输入** 或 **输出** 流量
- **到** 或 **从** 端口

你可以通过明确指定端口来创建规则，也可以使用指定端口的应用程序配置来创建规则。

#### 目标

- 阻止所有网络流量（输入和输出），除非我们明确允许

#### 备注

- 安装其他程序时，你需要启用相应的端口/应用程序。

#### 参考文献

- https://launchpad.net/ufw

#### 步骤

1. 安装 ufw。

   在基于 Debian 的系统上：

   ``` bash
   sudo apt install ufw
   ```

1. 拒绝所有出站流量：

   ``` bash
   sudo ufw default deny outgoing comment 'deny all outgoing traffic'
   ```

   > ```
   > Default outgoing policy changed to 'deny'
   > (be sure to update your rules accordingly)
   > ```

   如果你不像我这么偏执，不想拒绝所有出站流量，可以改为允许：

   ``` bash
   sudo ufw default allow outgoing comment 'allow all outgoing traffic'
   ```

1. 拒绝所有入站流量：

   ``` bash
   sudo ufw default deny incoming comment 'deny all incoming traffic'
   ```

1. 显然我们需要允许 SSH 连接入站。使用 limit 而非 allow 会自动阻止在 30 秒内尝试发起 6 次或更多连接的 IP 地址：

   ``` bash
   sudo ufw limit in ssh comment 'allow SSH connections in'
   ```

   > ```
   > Rules updated
   > Rules updated (v6)
   > ```

1. 根据需要允许额外流量。一些常见用例：

   ``` bash
   # allow traffic out to port 53 -- DNS
   sudo ufw allow out 53 comment 'allow DNS calls out'
   
   # allow traffic out to port 123 -- NTP
   sudo ufw allow out 123 comment 'allow NTP out'

   # allow traffic out for HTTP, HTTPS, or FTP
   # apt might needs these depending on which sources you're using
   sudo ufw allow out http comment 'allow HTTP traffic out'
   sudo ufw allow out https comment 'allow HTTPS traffic out'
   sudo ufw allow out ftp comment 'allow FTP traffic out'

   # allow whois
   sudo ufw allow out whois comment 'allow whois'
   
   # allow mails for status notifications -- choose port according to your provider
   sudo ufw allow out 25 comment 'allow SMTP out'
   sudo ufw allow out 587 comment 'allow SMTP out'

   # allow traffic out to port 68 -- the DHCP client
   # you only need this if you're using DHCP
   sudo ufw allow out 67 comment 'allow the DHCP client to update'
   sudo ufw allow out 68 comment 'allow the DHCP client to update'
   ```
   
   **注意**：你需要允许 HTTP/HTTPS 用于安装包和其他许多操作。

1. 启动 ufw：

   ``` bash
   sudo ufw enable
   ```

   > ```
   > Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
   > Firewall is active and enabled on system startup
   > ```

1. 如果你想查看状态：

   ``` bash
   sudo ufw status
   ```

   > ```
   > Status: active
   > 
   > To                         Action      From
   > --                         ------      ----
   > 22/tcp                     LIMIT       Anywhere                   # allow SSH connections in
   > 22/tcp (v6)                LIMIT       Anywhere (v6)              # allow SSH connections in
   > 
   > 53                         ALLOW OUT   Anywhere                   # allow DNS calls out
   > 123                        ALLOW OUT   Anywhere                   # allow NTP out
   > 80/tcp                     ALLOW OUT   Anywhere                   # allow HTTP traffic out
   > 443/tcp                    ALLOW OUT   Anywhere                   # allow HTTPS traffic out
   > 21/tcp                     ALLOW OUT   Anywhere                   # allow FTP traffic out
   > Mail submission            ALLOW OUT   Anywhere                   # allow mail out
   > 43/tcp                     ALLOW OUT   Anywhere                   # allow whois
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # allow DNS calls out
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # allow NTP out
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow HTTP traffic out
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # allow HTTPS traffic out
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow FTP traffic out
   > Mail submission (v6)       ALLOW OUT   Anywhere (v6)              # allow mail out
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow whois
   > ```

   或者

   ``` bash
   sudo ufw status verbose
   ```

   > ```
   > Status: active
   > Logging: on (low)
   > Default: deny (incoming), deny (outgoing), disabled (routed)
   > New profiles: skip
   > 
   > To                         Action      From
   > --                         ------      ----
   > 22/tcp                     LIMIT IN    Anywhere                   # allow SSH connections in
   > 22/tcp (v6)                LIMIT IN    Anywhere (v6)              # allow SSH connections in
   > 
   > 53                         ALLOW OUT   Anywhere                   # allow DNS calls out
   > 123                        ALLOW OUT   Anywhere                   # allow NTP out
   > 80/tcp                     ALLOW OUT   Anywhere                   # allow HTTP traffic out
   > 443/tcp                    ALLOW OUT   Anywhere                   # allow HTTPS traffic out
   > 21/tcp                     ALLOW OUT   Anywhere                   # allow FTP traffic out
   > 587/tcp (Mail submission)  ALLOW OUT   Anywhere                   # allow mail out
   > 43/tcp                     ALLOW OUT   Anywhere                   # allow whois
   > 53 (v6)                    ALLOW OUT   Anywhere (v6)              # allow DNS calls out
   > 123 (v6)                   ALLOW OUT   Anywhere (v6)              # allow NTP out
   > 80/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow HTTP traffic out
   > 443/tcp (v6)               ALLOW OUT   Anywhere (v6)              # allow HTTPS traffic out
   > 21/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow FTP traffic out
   > 587/tcp (Mail submission (v6)) ALLOW OUT   Anywhere (v6)              # allow mail out
   > 43/tcp (v6)                ALLOW OUT   Anywhere (v6)              # allow whois
   > ```

7. 如果需要删除规则

   ``` bash
   sudo ufw status numbered
   [...]
   sudo ufw delete 3 #line number of the rule you want to delete
   ```

#### 默认应用程序

ufw 附带一些默认应用程序。你可以通过以下命令查看：``` bash
sudo ufw app list
```
> ```
> Available applications:
>   AIM
>   Bonjour
>   CIFS
>   DNS
>   Deluge
>   IMAP
>   IMAPS
>   IPP
>   KTorrent
>   Kerberos Admin
>   Kerberos Full
>   Kerberos KDC
>   Kerberos Password
>   LDAP
>   LDAPS
>   LPD
>   MSN
>   MSN SSL
>   Mail submission
>   NFS
>   OpenSSH
>   POP3
>   POP3S
>   PeopleNearby
>   SMTP
>   SSH
>   Socks
>   Telnet
>   Transmission
>   Transparent Proxy
>   VNC
>   WWW
>   WWW Cache
>   WWW Full
>   WWW Secure
>   XMPP
>   Yahoo
>   qBittorrent
>   svnserve
> ```

要获取应用的详细信息，比如它包含哪些端口，请输入：``` bash
sudo ufw app info [app name]
```
> ``` bash
> sudo ufw app info DNS
> ```
> 
> ```
> Profile: DNS
> Title: Internet Domain Name Server
> Description: Internet Domain Name Server
> 
> Port:
>   53
> ```

#### 自定义应用程序

如果您不想通过显式提供端口号来创建规则，您可以创建自己的应用程序配置。为此，请在 `/etc/ufw/applications.d` 中创建一个文件。

例如，以下是用于 [Plex](https://support.plex.tv/articles/201543147-what-network-ports-do-i-need-to-allow-through-my-firewall/) 的内容：``` bash
cat /etc/ufw/applications.d/plexmediaserver
```
> ```
> [PlexMediaServer]
> title=Plex Media Server
> description=This opens up PlexMediaServer for http (32400), upnp, and autodiscovery.
> ports=32469/tcp|32413/udp|1900/udp|32400/tcp|32412/udp|32410/udp|32414/udp|32400/udp
> ```

然后你可以像启用其他应用一样启用它：```bash
sudo ufw allow plexmediaserver
```
([目录](#table-of-contents))

### 使用 PSAD 进行 iptables 入侵检测与防御

#### 为什么

即使有一个防火墙守卫你的大门，攻击者仍有可能尝试强行闯入任何已守卫的门。我们需要监控所有网络活动，以检测潜在的入侵企图，例如反复尝试进入的行为，并将其阻止。

#### 工作原理

我无法比来自 https://serverfault.com/ 的用户 [FINESEC](https://serverfault.com/users/143961/finesec) 解释得更好，他在 https://serverfault.com/a/447604/289829 中写道：

> Fail2BAN 扫描各种应用程序（如 Apache、SSH 或 FTP）的日志文件，并自动封禁表现出恶意迹象（如自动登录尝试）的 IP。另一方面，PSAD 扫描 iptables 和 ip6tables 的日志消息（通常是 /var/log/messages），以检测并可选地阻止扫描及其他可疑流量，如 DDoS 或操作系统指纹识别尝试。同时使用这两个程序是可以的，因为它们在不同层面上运作。

由于我们已经在使用 [UFW](#ufw-uncomplicated-firewall)，我们将遵循 [netson](https://gist.github.com/netson) 在 https://gist.github.com/netson/c45b2dc4e835761fbccc 上提供的出色说明，使 PSAD 与 UFW 协同工作。

#### 参考

- http://www.cipherdyne.org/psad/
- http://www.cipherdyne.org/psad/docs/config.html
- https://www.thefanclub.co.za/how-to/how-install-psad-intrusion-detection-ubuntu-1204-lts-server
- https://serverfault.com/a/447604/289829
- https://serverfault.com/a/770424/289829
- https://gist.github.com/netson/c45b2dc4e835761fbccc
- 感谢 [moltenbit](https://github.com/moltenbit) 指出了与 `psadwatchd` 相关的问题（[#61](https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/61)）。

#### 步骤

1. 安装 psad。

   在基于 Debian 的系统上：

   ``` bash
   sudo apt install psad
   ```

1. 备份 psad 的配置文件 `/etc/psad/psad.conf`：

   ``` bash
   sudo cp --archive /etc/psad/psad.conf /etc/psad/psad.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. 检查并更新 `/etc/psad/psad.conf` 中的配置选项。特别注意以下内容：

  |设置|设置为
  |--|--|
  |[`EMAIL_ADDRESSES`](http://www.cipherdyne.org/psad/docs/config.html#EMAIL_ADDRESSES)|你的电子邮件地址|
  |`HOSTNAME`|你的服务器主机名|
  |`EXPECT_TCP_OPTIONS`|`EXPECT_TCP_OPTIONS Y;`|
  |`ENABLE_PSADWATCHD`|`ENABLE_PSADWATCHD Y;`|
  |[`ENABLE_AUTO_IDS`](http://www.cipherdyne.org/psad/docs/config.html#ENABLE_AUTO_IDS)|`ENABLE_AUTO_IDS Y;`|
  |`ENABLE_AUTO_IDS_EMAILS`|`ENABLE_AUTO_IDS_EMAILS Y;`|

  更多详细信息请参阅 psad 配置文件文档 http://www.cipherdyne.org/psad/docs/config.html。

1. <a name="psad_step4"></a>现在我们需要对 ufw 做一些修改，使其与 psad 协同工作，方法是告诉 ufw 记录所有流量，以便 psad 进行分析。为此，需要编辑 **两个文件**，并在 **文件末尾但 COMMIT 行之前** 添加以下行。

   备份文件：

   ``` bash
   sudo cp --archive /etc/ufw/before.rules /etc/ufw/before.rules-COPY-$(date +"%Y%m%d%H%M%S")
   sudo cp --archive /etc/ufw/before6.rules /etc/ufw/before6.rules-COPY-$(date +"%Y%m%d%H%M%S")
   ```

   编辑文件：

   - `/etc/ufw/before.rules`
   - `/etc/ufw/before6.rules`

   并在 **文件末尾但 COMMIT 行之前** 添加以下内容：

   ```
   # 记录所有流量以便 psad 分析
   -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   ```

   **注意**：我们为所有 iptables 日志添加了一个日志前缀。这在 [将 iptables 日志分离到独立文件](#separate-iptables-log-file) 时会用到。

   例如：

   > ```
   > ...
   > 
   > # 记录所有流量以便 psad 分析
   > -A INPUT -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > -A FORWARD -j LOG --log-tcp-options --log-prefix "[IPTABLES] "
   > 
   > # 不要删除 'COMMIT' 行，否则这些规则将不会被处理
   > COMMIT
   > ```

1. 现在需要重新加载/重启 ufw 和 psad 以使更改生效：

   ``` bash
   sudo ufw reload

   sudo psad -R
   sudo psad --sig-update
   sudo psad -H
   ```

1. 分析 iptables 规则是否存在错误：

   ``` bash
   sudo psad --fw-analyze
   ```

   > ```
   > [+] 解析 INPUT 链规则。
   > [+] 解析 INPUT 链规则。
   > [+] 防火墙配置看起来没问题。
   > [+] 完成防火墙规则集检查。
   > [+] 结果已写入 /var/log/psad/fw_check
   > [+] 退出。
   > ```

   **注意**：如果出现任何问题，你将收到一封包含错误信息的电子邮件。

1. 检查 psad 的状态：

   ``` bash
   sudo psad --Status
   ```

   > ```
   > [-] psad: pid 文件 /var/run/psad/psadwatchd.pid 在 vm 上不存在于 psadwatchd
   > [+] psad_fw_read (pid: 3444)  %CPU: 0.0  %MEM: 2.2
   >     运行自：Sat Feb 16 01:03:09 2019
   > 
   > [+] psad (pid: 3435)  %CPU: 0.2  %MEM: 2.7
   >     运行自：Sat Feb 16 01:03:09 2019
   >     命令行参数：[未指定]
   >     警报电子邮件地址：root@localhost
   > 
   > [+] 版本：psad v2.4.3
   > 
   > [+] 前 50 个签名匹配：
   >         [无]
   > 
   > [+] 前 25 个攻击者：
   >         [无]
   > 
   > [+] 前 20 个被扫描端口：
   >         [无]
   > 
   > [+] iptables 日志前缀计数器：
   >         [无]
   > 
   >     协议数据包总数计数器：
   > 
   > [+] IP 状态详情：
   >         [无]
   > 
   >     总扫描源：0
   >     总扫描目标：0
   > 
   > [+] 这些结果可在 /var/log/psad/status.out 中查看
   > ```

([目录](#table-of-contents))

### 使用 Fail2Ban 进行应用程序入侵检测与防御

#### 为什么

UFW 告诉你的服务器哪些门需要封上，使它们不可见，以及哪些门允许授权用户通过。PSAD 监控网络活动以检测和防止潜在的入侵——反复尝试进入的行为。

但你的服务器上运行着应用程序/服务，如 SSH 和 Apache，并且你的防火墙配置为允许对它们进行访问。即使允许访问，也并不意味着所有访问尝试都是有效且无害的。如果有人试图通过暴力破解方式进入你服务器上运行的 Web 应用程序呢？这时 Fail2ban 就派上用场了。

#### 工作原理

Fail2ban 监控应用程序（如 SSH 和 Apache）的日志，以检测和防止潜在的入侵。它会监控网络流量/日志，并通过阻止可疑活动（例如短时间内的多次连续失败连接）来防止入侵。

#### 目标

- 对可疑活动进行网络监控，并自动封禁违规 IP

#### 注意事项

- 截至目前，该服务器上只运行了 SSH，因此我们希望 Fail2ban 监控 SSH 并在必要时封禁 IP。
- 随着你安装其他程序，你需要创建/配置相应的监禁规则并启用它们。

#### 参考

- https://www.fail2ban.org/
- https://blog.vigilcode.com/2011/05/ufw-with-fail2ban-quick-secure-setup-part-ii/
- https://dodwell.us/security/ufw-fail2ban-portscan.html
- https://www.howtoforge.com/community/threads/fail2ban-and-ufw-on-debian.77261/

#### 步骤

1. 安装 fail2ban。

   在基于 Debian 的系统上：

   ``` bash
   sudo apt install fail2ban
   ```

1. 我们不希望直接编辑 `/etc/fail2ban/fail2ban.conf` 或 `/etc/fail2ban/jail.conf`，因为未来的更新可能会覆盖它们，所以我们将创建本地副本。创建文件 `/etc/fail2ban/jail.local`，并在替换 `[LAN SEGMENT]` 和 `[your email]` 为适当值后添加以下内容：

   ```
   [DEFAULT]
   # 要忽略的 IP 地址范围
   ignoreip = 127.0.0.1/8 [LAN SEGMENT]

   # 发送电子邮件给谁
   destemail = [your e-mail]

   # 邮件发件人
   sender = [your e-mail]

   # 因为我们使用 exim4 发送邮件
   mta = mail

   # 获取电子邮件警报
   action = %(action_mwl)s
   ```

   **注意**：你的服务器需要能够发送电子邮件，以便 Fail2ban 在发现可疑活动或封禁 IP 时通知你。

1. 我们需要为 SSH 创建一个监禁规则，告诉 fail2ban 查看 SSH 日志，并根据需要使用 ufw 封禁/解封 IP。通过创建文件 `/etc/fail2ban/jail.d/ssh.local` 并添加以下内容来为 SSH 创建监禁规则：

   ```
   [sshd]
   enabled = true
   banaction = ufw
   port = ssh
   filter = sshd
   logpath = %(sshd_log)s
   maxretry = 5
   ```

   [懒惰者专用](#editing-configuration-files---for-the-lazy)：

   ``` bash
   cat << EOF | sudo tee /etc/fail2ban/jail.d/ssh.local
   [sshd]
   enabled = true
   banaction = ufw
   port = ssh
   filter = sshd
   logpath = %(sshd_log)s
   maxretry = 5
   EOF
   ```

1. 在上面我们告诉 fail2ban 使用 ufw 作为 `banaction`。Fail2ban 附带了一个用于 ufw 的操作配置文件，你可以在 `/etc/fail2ban/action.d/ufw.conf` 中查看它。

1. 启用 fail2ban：

   ``` bash
   sudo fail2ban-client start
   sudo fail2ban-client reload
   sudo fail2ban-client add sshd # 如果 sshd 监禁规则已默认添加，则此操作在某些系统上可能会失败
   ```

1. 检查状态：

   ``` bash
   sudo fail2ban-client status
   ```

   > ```
   > 状态
   > |- 监禁数量：     1
   > `- 监禁列表：     sshd
   > ```

   ``` bash
   sudo fail2ban-client status sshd
   ```

   > ```
   > 监禁状态：sshd
   > |- 过滤器
   > |  |- 当前失败：0
   > |  |- 总失败：  0
   > |  `- 文件列表： /var/log/auth.log
   > `- 操作
   >    |- 当前封禁：0
   >    |- 总封禁：  0
   >    `- 封禁 IP 列表：
   > ```

#### 自定义监禁规则

我目前还没有需要创建自定义监禁规则。一旦需要，并且我弄清楚如何操作，我会更新本指南。或者，如果你知道如何操作，请帮助 [贡献](#contributing).

#### 解封 IP

要解封某个 IP，请使用以下命令：``` bash
fail2ban-client set [jail] unbanip [IP]
```
`[jail]` 是包含被封禁IP的监狱名称，`[IP]` 是您想要解封的IP地址。例如，要解封来自SSH的`192.168.1.100`，您应该执行：``` bash
fail2ban-client set sshd unbanip 192.168.1.100
```
([返回目录](#table-of-contents))

### 使用CrowdSec实现应用入侵检测与防御

#### 为什么

UFW告诉你的服务器哪些门需要封堵，让外界无法看到，以及哪些门允许授权用户通过。PSAD监控网络活动以检测并阻止潜在的入侵——即反复尝试进入的行为。

CrowdSec与Fail2Ban类似，它监控应用程序（如SSH和Apache）的日志，以检测并阻止潜在的入侵。然而，CrowdSec与一个社区相结合，该社区向CrowdSec共享威胁情报，然后CrowdSec将社区拦截列表分发给所有用户。

#### 工作原理

CrowdSec监控应用程序（如SSH和Apache）的日志，以检测并阻止潜在的入侵。它会监控网络流量/日志，并通过阻止可疑活动（例如，短时间内多次连续失败的连接）来防止入侵。一旦检测到恶意IP，它将被添加到本地决策列表中，同时威胁信息会与CrowdSec共享，以更新恶意IP地址的社区拦截列表。当某个IP地址的恶意活动达到一定阈值时，它将自动传播给所有其他CrowdSec用户，以实现主动拦截。

#### 目标

- 网络监控可疑活动，并自动封禁违规IP

#### 注意事项

- 截至目前，该服务器上仅运行SSH，因此我们希望CrowdSec监控SSH并在必要时进行封禁。
- 当你安装其他程序时，需要安装额外的集合并配置相应的采集源。

#### 参考

- https://www.crowdsec.net/
- [了解CrowdSec如何维护社区拦截列表](https://www.crowdsec.net/our-data)
- [了解与CrowdSec共享哪些威胁情报](https://docs.crowdsec.net/docs/next/central_api/intro#signal-meta-data)
- https://docs.crowdsec.net/

#### 步骤

1. 安装CrowdSec安全引擎。（IDS）

   在任何Linux发行版上（包括基于Debian的系统）
   
   安装CrowdSec仓库：
   ``` bash
   curl -s https://install.crowdsec.net | sudo sh
   ```

   安装CrowdSec安全引擎：
   ``` bash
   sudo apt install crowdsec
   ```

> [!TIP]
> 如果你不喜欢 `curl | sh` 的方式，可以在此处找到其他安装方法：[安装文档](https://docs.crowdsec.net/u/getting_started/installation/linux)。

默认情况下，CrowdSec在安装安全引擎时会自动发现已安装的应用程序，并为其安装相应的解析器和场景。由于我们知道大多数Linux服务器默认运行SSH，CrowdSec会自动为你配置好。

2. 安装补救组件。（IPS）

   CrowdSec本身是一个检测引擎，因为在大多数现代基础设施中，你可能有一个上游防火墙或WAF，CrowdSec不会自行封禁IP地址。你可以安装一个补救组件来阻止CrowdSec检测到的IP地址。
   ```bash
   sudo apt install crowdsec-firewall-bouncer-iptables
   ```

> [!TIP]
> 如果你的UFW安装未使用 `iptables` 作为后端，你也可以选择安装 `crowdsec-firewall-bouncer-nftables`。安装的二进制文件没有区别，只有配置文件不同。

默认情况下，补救组件在安装时会自动配置必要的设置，以便与部署在同一主机上的安全引擎协同工作（如果安全引擎不在容器环境中）。

3. 检查检测和补救是否按预期工作：

   CrowdSec包附带了一个CLI工具，用于检查安全引擎和补救组件的状态。

   ```bash
   sudo cscli metrics
   ```

   ```bash
   Acquisition Metrics:
   ╭────────────────────────┬────────────┬──────────────┬────────────────┬────────────────────────┬───────────────────╮
   │ Source                 │ Lines read │ Lines parsed │ Lines unparsed │ Lines poured to bucket │ Lines whitelisted │
   ├────────────────────────┼────────────┼──────────────┼────────────────┼────────────────────────┼───────────────────┤
   │ file:/var/log/auth.log │ 5          │ 4            │ 1              │ 10                     │ -                 │
   │ file:/var/log/syslog   │ 30         │ -            │ 30             │ -                      │ -                 │
   ╰────────────────────────┴────────────┴──────────────┴────────────────┴────────────────────────┴───────────────────╯

   Local API Decisions:
   ╭────────────────────────────────────────────┬────────┬────────┬───────╮
   │ Reason                                     │ Origin │ Action │ Count │
   ├────────────────────────────────────────────┼────────┼────────┼───────┤
   │ crowdsecurity/http-backdoors-attempts      │ CAPI   │ ban    │ 73    │
   │ crowdsecurity/http-bad-user-agent          │ CAPI   │ ban    │ 4836  │
   │ crowdsecurity/http-path-traversal-probing  │ CAPI   │ ban    │ 87    │
   │ crowdsecurity/http-probing                 │ CAPI   │ ban    │ 2010  │
   │ crowdsecurity/thinkphp-cve-2018-20062      │ CAPI   │ ban    │ 88    │
   │ crowdsecurity/CVE-2019-18935               │ CAPI   │ ban    │ 7     │
   │ crowdsecurity/CVE-2023-49103               │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/http-admin-interface-probing │ CAPI   │ ban    │ 91    │
   │ ltsich/http-w00tw00t                       │ CAPI   │ ban    │ 3     │
   │ crowdsecurity/apache_log4j2_cve-2021-44228 │ CAPI   │ ban    │ 18    │
   │ crowdsecurity/nginx-req-limit-exceeded     │ CAPI   │ ban    │ 280   │
   │ crowdsecurity/ssh-slow-bf                  │ CAPI   │ ban    │ 3412  │
   │ crowdsecurity/spring4shell_cve-2022-22965  │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/ssh-cve-2024-6387            │ CAPI   │ ban    │ 24    │
   │ crowdsecurity/CVE-2023-22515               │ CAPI   │ ban    │ 2     │
   │ crowdsecurity/http-cve-2021-41773          │ CAPI   │ ban    │ 172   │
   │ crowdsecurity/netgear_rce                  │ CAPI   │ ban    │ 14    │
   │ crowdsecurity/ssh-bf                       │ CAPI   │ ban    │ 2000  │
   │ crowdsecurity/CVE-2022-35914               │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/http-cve-2021-42013          │ CAPI   │ ban    │ 2     │
   │ crowdsecurity/jira_cve-2021-26086          │ CAPI   │ ban    │ 9     │
   │ crowdsecurity/http-sensitive-files         │ CAPI   │ ban    │ 166   │
   │ crowdsecurity/http-wordpress-scan          │ CAPI   │ ban    │ 272   │
   │ crowdsecurity/CVE-2022-26134               │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/http-generic-bf              │ CAPI   │ ban    │ 7     │
   │ crowdsecurity/http-open-proxy              │ CAPI   │ ban    │ 948   │
   │ crowdsecurity/http-crawl-non_statics       │ CAPI   │ ban    │ 339   │
   │ crowdsecurity/http-cve-probing             │ CAPI   │ ban    │ 5     │
   │ crowdsecurity/CVE-2017-9841                │ CAPI   │ ban    │ 117   │
   │ crowdsecurity/CVE-2022-37042               │ CAPI   │ ban    │ 1     │
   │ crowdsecurity/fortinet-cve-2018-13379      │ CAPI   │ ban    │ 5     │
   ╰────────────────────────────────────────────┴────────┴────────┴───────╯

   Local API Metrics:
   ╭──────────────────────┬────────┬──────╮
   │ Route                │ Method │ Hits │
   ├──────────────────────┼────────┼──────┤
   │ /v1/alerts           │ GET    │ 2    │
   │ /v1/decisions/stream │ GET    │ 5    │
   │ /v1/usage-metrics    │ POST   │ 2    │
   │ /v1/watchers/login   │ POST   │ 4    │
   ╰──────────────────────┴────────┴──────╯

   Local API Bouncers Metrics:
   ╭────────────────────────────────┬──────────────────────┬────────┬──────╮
   │ Bouncer                        │ Route                │ Method │ Hits │
   ├────────────────────────────────┼──────────────────────┼────────┼──────┤
   │ cs-firewall-bouncer-1729025592 │ /v1/decisions/stream │ GET    │ 5    │
   ╰────────────────────────────────┴──────────────────────┴────────┴──────╯

   Local API Machines Metrics:
   ╭──────────────────────────────────────────────────┬────────────┬────────┬──────╮
   │ Machine                                          │ Route      │ Method │ Hits │
   ├──────────────────────────────────────────────────┼────────────┼────────┼──────┤
   │ <your_machine_id_will_be_here>                   │ /v1/alerts │ GET    │ 2    │
   ╰──────────────────────────────────────────────────┴────────────┴────────┴──────╯

   Parser Metrics:
   ╭─────────────────────────────────┬──────┬────────┬──────────╮
   │ Parsers                         │ Hits │ Parsed │ Unparsed │
   ├─────────────────────────────────┼──────┼────────┼──────────┤
   │ child-crowdsecurity/sshd-logs   │ 41   │ 4      │ 37       │
   │ child-crowdsecurity/syslog-logs │ 35   │ 35     │ -        │
   │ crowdsecurity/dateparse-enrich  │ 4    │ 4      │ -        │
   │ crowdsecurity/sshd-logs         │ 5    │ 4      │ 1        │
   │ crowdsecurity/syslog-logs       │ 35   │ 35     │ -        │
   ╰─────────────────────────────────┴──────┴────────┴──────────╯

   Scenario Metrics:
   ╭─────────────────────────────────────┬───────────────┬───────────┬──────────────┬────────┬─────────╮
   │ Scenario                            │ Current Count │ Overflows │ Instantiated │ Poured │ Expired │
   ├─────────────────────────────────────┼───────────────┼───────────┼──────────────┼────────┼─────────┤
   │ crowdsecurity/ssh-bf                │ 1             │ -         │ 1            │ 4      │ -       │
   │ crowdsecurity/ssh-bf_user-enum      │ 1             │ -         │ 1            │ 1      │ -       │
   │ crowdsecurity/ssh-slow-bf           │ 1             │ -         │ 1            │ 4      │ -       │
   │ crowdsecurity/ssh-slow-bf_user-enum │ 1             │ -         │ 1            │ 1      │ -       │
   ╰─────────────────────────────────────┴───────────────┴───────────┴──────────────┴────────┴─────────╯
   ```

以上输出可能会让人感到困惑，但这是检查安全引擎是否读取日志以及补救组件是否封禁IP的好方法。以下是每个部分的简要说明：

- **采集指标**：此部分显示安全引擎正在读取和解析的日志。如果在 `Lines unparsed` 列中看到日志，表示安全引擎无法解析这些日志。这可能是由于配置错误或日志格式不符合预期。
- **本地API决策**：此部分显示安全引擎在数据库中已有的决策。如果在 `Count` 列中看到数值，表示安全引擎已检测到恶意活动并封禁了IP地址。
   - **来源**：决策的来源。在此案例中，来自中央API（CAPI）。
- **本地API指标**：此部分显示对本地API的访问次数。本地API是安全引擎与补救组件通信的接口。
- **本地API弹跳器指标**：此部分显示补救组件对本地API的访问次数。
- **本地API机器指标**：此部分显示安全引擎对本地API的访问次数（如果你在集中式设置中运行多个安全引擎，这里会显示多个ID）。
- **解析器指标**：此部分显示安全引擎正在使用的解析器。如果在 `Unparsed` 列中看到日志，表示安全引擎无法解析这些日志。这可能是由于配置错误或日志格式不符合预期。
- **场景指标**：此部分显示安全引擎正在使用的场景。如果在 `Current Count` 列中看到数值，表示安全引擎已检测到恶意活动并正在追踪该IP地址。

#### 解封IP

要解封IP，请使用以下命令：``` bash
cscli decisions delete --ip [IP]
```
`[IP]` 是你要解除封禁的IP地址。例如，要解除SSH对 `192.168.1.100` 的封禁，你可以执行：``` bash
cscli decisions delete --ip 192.168.1.100
```
## 审计

### 使用AIDE进行文件/文件夹完整性监控（WIP）

#### 为什么

WIP

#### 工作原理

WIP

#### 目标

WIP

#### 参考资料

- https://aide.github.io/
- https://www.hiroom2.com/2017/06/09/debian-8-file-integrity-check-with-aide/
- https://blog.rapid7.com/2017/06/30/how-to-install-and-configure-aide-on-ubuntu-linux/
- https://www.stephenrlang.com/2016/03/using-aide-for-file-integrity-monitoring-fim-on-ubuntu/
- https://www.howtoforge.com/how-to-configure-the-aide-advanced-intrusion-detection-environment-file-integrity-scanner-for-your-website
- https://www.tecmint.com/check-integrity-of-file-and-directory-using-aide-in-linux/
- https://www.cyberciti.biz/faq/debian-ubuntu-linux-software-integrity-checking-with-aide/
- https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/83

#### 步骤

1. 安装AIDE。

   在基于Debian的系统上：
   
   ``` bash
   sudo apt install aide aide-common
   ```
   
1. 备份AIDE的默认配置文件：

   ``` bash
   sudo cp -p /etc/default/aide /etc/default/aide-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. 根据需求审查 `/etc/default/aide` 并设置AIDE的默认选项。如果希望AIDE每天运行并通过邮件通知，请确保将 `CRON_DAILY_RUN` 设置为 `yes`。

1. 备份AIDE的配置文件：

   ``` bash
   sudo cp -pr /etc/aide /etc/aide-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. 在基于Debian的系统上：

   - AIDE的配置文件位于 `/etc/aide/aide.conf.d/`。
   - 你需要查看AIDE的文档并根据自己的需求设置配置文件。
   - 如果需要新的配置（例如监控新文件夹），可以将其添加到 `/etc/aide/aide.conf` 或 `/etc/aide/aide.conf.d/`。
   - 备份默认配置文件：`sudo cp -pr /etc/aide /etc/aide-COPY-$(date +"%Y%m%d%H%M%S")`。

1. 创建新数据库并安装它。
  
   在基于Debian的系统上：

   ``` bash
   sudo aideinit
   ```
   
   > ```
   > Running aide --init...
   > Start timestamp: 2019-04-01 21:23:37 -0400 (AIDE 0.16)
   > AIDE initialized database at /var/lib/aide/aide.db.new
   > Verbose level: 6
   > 
   > Number of entries:      25973
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db.new
   >   RMD160   : moyQ1YskQQbidX+Lusv3g2wf1gQ=
   >   TIGER    : 7WoOgCrXzSpDrlO6I3PyXPj1gRiaMSeo
   >   SHA256   : gVx8Fp7r3800WF2aeXl+/KHCzfGsNi7O
   >              g16VTPpIfYQ=
   >   SHA512   : GYfa0DJwWgMLl4Goo5VFVOhu4BphXCo3
   >              rZnk49PYztwu50XjaAvsVuTjJY5uIYrG
   >              tV+jt3ELvwFzGefq4ZBNMg==
   >   CRC32    : /cusZw==
   >   HAVAL    : E/i5ceF3YTjwenBfyxHEsy9Kzu35VTf7
   >              CPGQSW4tl14=
   >   GOST     : n5Ityzxey9/1jIs7LMc08SULF1sLBFUc
   >              aMv7Oby604A=
   > 
   > 
   > End timestamp: 2019-04-01 21:24:45 -0400 (run time: 1m 8s)
   > ```

1. 测试一切正常（无变更）。

   在基于Debian的系统上：

   ``` bash
   sudo aide.wrapper --check
   ```
   
   > ```
   > Start timestamp: 2019-04-01 21:24:45 -0400 (AIDE 0.16)
   > AIDE found NO differences between database and filesystem. Looks okay!!
   > Verbose level: 6
   > 
   > Number of entries:      25973
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db
   >   RMD160   : moyQ1YskQQbidX+Lusv3g2wf1gQ=
   >   TIGER    : 7WoOgCrXzSpDrlO6I3PyXPj1gRiaMSeo
   >   SHA256   : gVx8Fp7r3800WF2aeXl+/KHCzfGsNi7O
   >              g16VTPpIfYQ=
   >   SHA512   : GYfa0DJwWgMLl4Goo5VFVOhu4BphXCo3
   >              rZnk49PYztwu50XjaAvsVuTjJY5uIYrG
   >              tV+jt3ELvwFzGefq4ZBNMg==
   >   CRC32    : /cusZw==
   >   HAVAL    : E/i5ceF3YTjwenBfyxHEsy9Kzu35VTf7
   >              CPGQSW4tl14=
   >   GOST     : n5Ityzxey9/1jIs7LMc08SULF1sLBFUc
   >              aMv7Oby604A=
   > 
   > 
   > End timestamp: 2019-04-01 21:26:03 -0400 (run time: 1m 18s)
   > ```

1. 测试进行一些更改后一切正常。

   在基于Debian的系统上：

   ``` bash
   sudo touch /etc/test.sh
   sudo touch /root/test.sh
   
   sudo aide.wrapper --check
   
   sudo rm /etc/test.sh
   sudo rm /root/test.sh
   
   sudo aideinit -y -f
   ```
   
   > ```
   > Start timestamp: 2019-04-01 21:37:37 -0400 (AIDE 0.16)
   > AIDE found differences between database and filesystem!!
   > Verbose level: 6
   > 
   > Summary:
   >   Total number of entries:      25972
   >   Added entries:                2
   >   Removed entries:              0
   >   Changed entries:              1
   > 
   > ---------------------------------------------------
   > Added entries:
   > ---------------------------------------------------
   > 
   > f++++++++++++++++: /etc/test.sh
   > f++++++++++++++++: /root/test.sh
   > 
   > ---------------------------------------------------
   > Changed entries:
   > ---------------------------------------------------
   > 
   > d =.... mc.. .. .: /root
   > 
   > ---------------------------------------------------
   > Detailed information about changes:
   > ---------------------------------------------------
   > 
   > Directory: /root
   >   Mtime    : 2019-04-01 21:35:07 -0400        | 2019-04-01 21:37:36 -0400
   >   Ctime    : 2019-04-01 21:35:07 -0400        | 2019-04-01 21:37:36 -0400
   > 
   > 
   > ---------------------------------------------------
   > The attributes of the (uncompressed) database(s):
   > ---------------------------------------------------
   > 
   > /var/lib/aide/aide.db
   >   RMD160   : qF9WmKaf2PptjKnhcr9z4ueCPTY=
   >   TIGER    : zMo7MvvYJcq1hzvTQLPMW7ALeFiyEqv+
   >   SHA256   : LSLLVjjV6r8vlSxlbAbbEsPcQUB48SgP
   >              pdVqEn6ZNbQ=
   >   SHA512   : Qc4U7+ZAWCcitapGhJ1IrXCLGCf1IKZl
   >              02KYL1gaZ0Fm4dc7xLqjiquWDMSEbwzW
   >              oz49NCquqGz5jpMIUy7UxA==
   >   CRC32    : z8ChEA==
   >   HAVAL    : YapzS+/cdDwLj3kHJEq8fufLp3DPKZDg
   >              U12KCSkrO7Y=
   >   GOST     : 74sLV4HkTig+GJhokvxZQm7CJD/NR0mG
   >              6jV7zdt5AXQ=
   > 
   > 
   > End timestamp: 2019-04-01 21:38:50 -0400 (run time: 1m 13s)
   > ```
   
1. 到此为止。如果你在 `/etc/default/aide` 中将 `CRON_DAILY_RUN` 设置为 `yes`，cron 将每天执行 `/etc/cron.daily/aide` 并通过邮件发送输出。

#### 更新数据库

每次对AIDE监控的文件/文件夹进行更改时，都需要更新数据库以捕获这些更改。在基于Debian的系统上，执行：``` bash
sudo aideinit -y -f
```
([Table of Contents](#table-of-contents))

### 使用 ClamAV 进行反病毒扫描（待完善）

#### 为什么

待完善

#### 工作原理

- ClamAV 是一个病毒扫描器
- ClamAV-Freshclam 是一个保持病毒定义更新的服务
- ClamAV-Daemon 保持 `clamd` 进程运行，以提高扫描速度

#### 目标

待完善

#### 注意事项

- 这些说明**并未**介绍如何启用 ClamAV 守护进程服务以确保 `clamd` 持续运行。`clamd` 仅在你运行邮件服务器时使用，并不提供文件的实时监控。相反，你需要手动或按计划扫描文件。

#### 参考

- https://www.clamav.net/documents/installation-on-debian-and-ubuntu-linux-distributions
- https://wiki.debian.org/ClamAV
- https://www.osradar.com/install-clamav-debian-9-ubuntu-18/
- https://www.lisenet.com/2014/automate-clamav-to-perform-daily-system-scan-and-send-email-notifications-on-linux/
- https://www.howtoforge.com/tutorial/configure-clamav-to-scan-and-notify-virus-and-malware/
- https://serverfault.com/questions/741299/is-there-a-way-to-keep-clamav-updated-on-debian-8
- https://askubuntu.com/questions/250290/how-do-i-scan-for-viruses-with-clamav
- https://ngothang.com/how-to-install-clamav-and-configure-daily-scanning-on-centos/

#### 步骤

1. 安装 ClamAV。

   在基于 Debian 的系统上：

   ``` bash
   sudo apt install clamav clamav-freshclam clamav-daemon
   ```

1. 备份 `clamav-freshclam` 的配置文件 `/etc/clamav/freshclam.conf`：

   ``` bash
   sudo cp --archive /etc/clamav/freshclam.conf /etc/clamav/freshclam.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```
   
1. `clamav-freshclam` 的默认设置通常已足够，但如果你想更改，可以编辑文件 `/etc/clamav/freshclam.conf` 或使用 `dpkg-reconfigure`：

   ``` bash
   sudo dpkg-reconfigure clamav-freshclam
   ```
   
   **注意**：默认设置每天会更新定义 24 次。要更改间隔，请检查 `/etc/clamav/freshclam.conf` 中的 `Checks` 设置，或使用 `dpkg-reconfigure`。

1. 启动 `clamav-freshclam` 服务：

   ``` bash
   sudo service clamav-freshclam start
   ```
   
1. 你可以确认 `clamav-freshclam` 正在运行：

   ``` bash
   sudo service clamav-freshclam status
   ```
   
   > ```
   > ● clamav-freshclam.service - ClamAV virus database updater
   >    Loaded: loaded (/lib/systemd/system/clamav-freshclam.service; enabled; vendor preset: enabled)   Active: active (running) since Sat 2019-03-16 22:57:07 EDT; 2min 13s ago
   >      Docs: man:freshclam(1)
   >            man:freshclam.conf(5)
   >            https://www.clamav.net/documents
   >  Main PID: 1288 (freshclam)
   >    CGroup: /system.slice/clamav-freshclam.service
   >            └─1288 /usr/bin/freshclam -d --foreground=true
   > 
   > Mar 16 22:57:08 host freshclam[1288]: Sat Mar 16 22:57:08 2019 -> ^Local version: 0.100.2 Recommended version: 0.101.1
   > Mar 16 22:57:08 host freshclam[1288]: Sat Mar 16 22:57:08 2019 -> DON'T PANIC! Read https://www.clamav.net/documents/upgrading-clamav
   > Mar 16 22:57:15 host freshclam[1288]: Sat Mar 16 22:57:15 2019 -> Downloading main.cvd [100%]
   > Mar 16 22:57:38 host freshclam[1288]: Sat Mar 16 22:57:38 2019 -> main.cvd updated (version: 58, sigs: 4566249, f-level: 60, builder: sigmgr)
   > Mar 16 22:57:40 host freshclam[1288]: Sat Mar 16 22:57:40 2019 -> Downloading daily.cvd [100%]
   > Mar 16 22:58:13 host freshclam[1288]: Sat Mar 16 22:58:13 2019 -> daily.cvd updated (version: 25390, sigs: 1520006, f-level: 63, builder: raynman)
   > Mar 16 22:58:14 host freshclam[1288]: Sat Mar 16 22:58:14 2019 -> Downloading bytecode.cvd [100%]
   > Mar 16 22:58:16 host freshclam[1288]: Sat Mar 16 22:58:16 2019 -> bytecode.cvd updated (version: 328, sigs: 94, f-level: 63, builder: neo)
   > Mar 16 22:58:24 host freshclam[1288]: Sat Mar 16 22:58:24 2019 -> Database updated (6086349 signatures) from db.local.clamav.net (IP: 104.16.219.84)
   > Mar 16 22:58:24 host freshclam[1288]: Sat Mar 16 22:58:24 2019 -> ^Clamd was NOT notified: Can't connect to clamd through /var/run/clamav/clamd.ctl: No such file or directory
   > ```
   
   **注意**：不用担心那个 `Local version` 行。检查 https://serverfault.com/questions/741299/is-there-a-way-to-keep-clamav-updated-on-debian-8 了解更多详情。

1. 备份 `clamav-daemon` 的配置文件 `/etc/clamav/clamd.conf`：

   ``` bash
   sudo cp --archive /etc/clamav/clamd.conf /etc/clamav/clamd.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```
   
1. 你可以通过编辑文件 `/etc/clamav/clamd.conf` 或使用 `dpkg-reconfigure` 更改 `clamav-daemon` 的设置：

   ``` bash
   sudo dpkg-reconfigure clamav-daemon
   ```

#### 扫描文件/文件夹

- 使用 `clamscan` 程序扫描文件/文件夹。
- `clamscan` 以执行用户的身份运行，因此它需要对要扫描的文件/文件夹具有读取权限。
- 以 `root` 身份使用 `clamscan` 是危险的，因为如果文件实际上是病毒，有可能利用 root 权限造成风险。
- 扫描文件：`clamscan /path/to/file`。
- 扫描目录：`clamscan -r /path/to/folder`。
- 你可以使用 `-i` 开关仅显示受感染的文件。
- 查看 `clamscan` 的 `man` 页面以了解其他开关/选项。

([Table of Contents](#table-of-contents))

### 使用 Rkhunter 检测 Rootkit（待完善）

#### 为什么

待完善

#### 工作原理

待完善

#### 目标

待完善

#### 参考

- http://rkhunter.sourceforge.net/
- https://www.cyberciti.biz/faq/howto-check-linux-rootkist-with-detectors-software/
- https://www.tecmint.com/install-rootkit-hunter-scan-for-rootkits-backdoors-in-linux/

#### 步骤

1. 安装 Rkhunter。

   在基于 Debian 的系统上：
   
   ``` bash
   sudo apt install rkhunter
   ```

1. 备份 rkhunter 的默认文件：

   ``` bash
   sudo cp -p /etc/default/rkhunter /etc/default/rkhunter-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. rkhunter 的配置文件是 `/etc/rkhunter.conf`。不要直接修改它，而是创建并使用文件 `/etc/rkhunter.conf.local`：

   ``` bash
   sudo cp -p /etc/rkhunter.conf /etc/rkhunter.conf.local
   ```
   
1. 浏览配置文件 `/etc/rkhunter.conf.local` 并根据你的需求进行设置。我的建议：

   |设置|说明|
   |--|--|
   |`UPDATE_MIRRORS=1`||
   |`MIRRORS_MODE=0`||
   |`MAIL-ON-WARNING=root`||
   |`COPY_LOG_ON_ERROR=1`|以便在出现错误时保存日志副本|
   |`PKGMGR=...`|根据文档设置为适当的值|
   |`PHALANX2_DIRTEST=1`|阅读文档了解原因|
   |`WEB_CMD=""`|用于解决 Debian 包中禁用 rkhunter 自我更新能力的问题。|
   |`USE_LOCKING=1`|防止 rkhunter 多次运行导致的问题|
   |`SHOW_SUMMARY_WARNINGS_NUMBER=1`|以显示实际发现的警告数量|

1. 你希望 rkhunter 每天运行并通过电子邮件发送结果。你可以编写自己的脚本，或查看 https://www.tecmint.com/install-rootkit-hunter-scan-for-rootkits-backdoors-in-linux/ 获取示例 cron 脚本。
  
   在基于 Debian 的系统上，rkhunter 自带 cron 脚本。要启用它们，请检查 `/etc/default/rkhunter` 或使用 `dpkg-reconfigure` 并对所有问题回答 `Yes`：
   
   ``` bash
   sudo dpkg-reconfigure rkhunter
   ```

1. 完成所有更改后，确保所有设置有效：

   ``` bash
   sudo rkhunter -C
   ```

1. 更新 rkhunter 及其数据库：

   ``` bash
   sudo rkhunter --versioncheck
   sudo rkhunter --update
   sudo rkhunter --propupd
   ```

1. 如果你想进行手动扫描并查看输出：

   ``` bash
   sudo rkhunter --check
   ```

([Table of Contents](#table-of-contents))

### 使用 chrootkit 检测 Rootkit（待完善）

#### 为什么

待完善

#### 工作原理

待完善

#### 目标

待完善

#### 参考

- http://www.chkrootkit.org/
- https://www.cyberciti.biz/faq/howto-check-linux-rootkist-with-detectors-software/
- https://askubuntu.com/questions/258658/eth0-packet-sniffer-sbin-dhclient

#### 步骤

1. 安装 chkrootkit。

   在基于 Debian 的系统上：
   
   ``` bash
   sudo apt install chkrootkit
   ```

1. 进行手动扫描：

   ``` bash
   sudo chkrootkit
   ```
   
   > ```
   > ROOTDIR is `/'
   > Checking `amd'...                                           not found
   > Checking `basename'...                                      not infected
   > Checking `biff'...                                          not found
   > Checking `chfn'...                                          not infected
   > Checking `chsh'...                                          not infected
   > ...
   > Checking `scalper'...                                       not infected
   > Checking `slapper'...                                       not infected
   > Checking `z2'...                                            chklastlog: nothing deleted
   > Checking `chkutmp'...                                       chkutmp: nothing deleted
   > Checking `OSX_RSPLUG'...                                    not infected
   > ```

1. 备份 chkrootkit 的配置文件 `/etc/chkrootkit.conf`：

   ``` bash
   sudo cp --archive /etc/chkrootkit.conf /etc/chkrootkit.conf-COPY-$(date +"%Y%m%d%H%M%S")
   ```

1. 你希望 chkrootkit 每天运行并通过电子邮件发送结果。
  
   在基于 Debian 的系统上，chkrootkit 自带 cron 脚本。要启用它们，请检查 `/etc/chkrootkit.conf` 或使用 `dpkg-reconfigure` 并对第一个问题回答 `Yes`：
   
   ``` bash
   sudo dpkg-reconfigure chkrootkit
   ```

([Table of Contents](#table-of-contents))

### logwatch - 系统日志分析器和报告器

#### 为什么

你的服务器会产生大量可能包含重要信息的日志。除非你计划每天检查服务器，否则你需要一种方式来获取服务器日志的电子邮件摘要。为此，我们将使用 [logwatch](https://sourceforge.net/projects/logwatch/)。

#### 工作原理

logwatch 扫描系统日志文件并进行汇总。你可以直接从命令行运行它，或安排它按计划重复运行。logwatch 使用服务文件来知道如何读取/汇总日志文件。你可以在 `/usr/share/logwatch/scripts/services` 中查看所有预设的服务文件。

logwatch 的配置文件 `/usr/share/logwatch/default.conf/logwatch.conf` 指定默认选项。你可以通过命令行参数覆盖它们。

#### 目标

- 配置 Logwatch 以每天发送服务器状态和日志的电子邮件摘要

#### 注意事项

- 你的服务器需要能够发送电子邮件才能使其工作
- 以下步骤将导致 logwatch 每天运行。如果你想更改计划，请修改 cron 作业以满足你的需求。你还需要更改 `range` 选项以覆盖你的重复窗口。参见 https://www.badpenguin.org/configure-logwatch-for-weekly-email-and-html-output-format 获取示例。
- 如果 logwatch 因电子邮件中有长行而无法投递邮件，请检查 https://blog.dhampir.no/content/exim4-line-length-in-debian-stretch-mail-delivery-failed-returning-message-to-sender，如 [issue #29](https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/29) 所述。如果你遵循了 [Gmail 和 Exim4 作为 MTA 并使用了隐式 TLS](#gmail-and-exim4-as-mta-with-implicit-tls)，那么我们在步骤 #7 中已经处理了这个问题。

#### 参考

- 感谢 [amacheema](https://github.com/amacheema) 修复了步骤中的一些问题，并告知我 exim4 的长行错误，如 [issue #29](https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/29) 所述。
- https://sourceforge.net/projects/logwatch/
- https://www.digitalocean.com/community/tutorials/how-to-install-and-use-logwatch-log-analyzer-and-reporter-on-a-vps

#### 步骤

1. 安装 logwatch。

   在基于 Debian 的系统上：

   ``` bash
   sudo apt install logwatch
   ```

1. 要查看 logwatch 收集内容的示例，你可以直接运行它：

   ``` bash
   sudo /usr/sbin/logwatch --output stdout --format text --range yesterday --service all
   ```

   > ```
   > 
   >  ################### Logwatch 7.4.3 (12/07/16) ####################
   >         Processing Initiated: Mon Mar  4 00:05:50 2019
   >         Date Range Processed: yesterday
   >                               ( 2019-Mar-03 )
   >                               Period is day.
   >         Detail Level of Output: 5
   >         Type of Output/Format: stdout / text
   >         Logfiles for Host: host
   >  ##################################################################
   > 
   >  --------------------- Cron Begin ------------------------
   > ...
   > ...
   >  ---------------------- Disk Space End -------------------------
   > 
   > 
   >  ###################### Logwatch End #########################
   > ```

1. 在继续之前，浏览 logwatch 的自我文档配置文件 `/usr/share/logwatch/default.conf/logwatch.conf`。无需在此更改任何内容，但请特别注意 `Output`、`Format`、`MailTo`、`Range` 和 `Service`，因为这些是我们将要用到的。为了我们的目的，我们不会在配置文件中指定选项，而是将它们作为命令行参数传递给执行 logwatch 的每日 cron 作业。这样，即使配置文件在更新期间被修改，我们的选项仍然存在。

1. 备份 logwatch 的每日 cron 文件 `/etc/cron.daily/00logwatch` 并取消执行位：

   ``` bash
   sudo cp --archive /etc/cron.daily/00logwatch /etc/cron.daily/00logwatch-COPY-$(date +"%Y%m%d%H%M%S")
   sudo chmod -x /etc/cron.daily/00logwatch-COPY*
   ```

1. 默认情况下，logwatch 输出到 `stdout`。由于目标是每天获取电子邮件，我们需要更改 logwatch 的输出类型，使其改用邮件发送。我们可以通过上面的配置文件来做到这一点，但这将适用于每次运行——即使我们手动运行并希望将输出显示在屏幕上。相反，我们将修改执行 logwatch 的 cron 作业以发送电子邮件。这样，手动运行时我们仍然获得 `stdout` 输出，而由 cron 运行时，它将发送电子邮件。我们还将确保它检查所有服务，并将输出格式更改为 html，以便更易于阅读，无论配置文件如何设置。在文件 `/etc/cron.daily/00logwatch` 中找到执行行，并将其更改为：

   ```
   /usr/sbin/logwatch --output mail --format html --mailto root --range yesterday --service all
   ```

   > ```
   > #!/bin/bash
   > 
   > #Check if removed-but-not-purged
   > test -x /usr/share/logwatch/scripts/logwatch.pl || exit 0
   > 
   > #execute
   > /usr/sbin/logwatch --output mail --format html --mailto root --range yesterday --service all
   > 
   > #Note: It's possible to force the recipient in above command
   > #Just pass --mailto [email protected] instead of --output mail
   > ```

   [对于懒惰的人](#editing-configuration-files---for-the-lazy)：
   
   ``` bash
   sudo sed -i -r -e "s,^($(sudo which logwatch).*?),# \1         # commented by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")\n$(sudo which logwatch) --output mail --format html --mailto root --range yesterday --service all         # added by $(whoami) on $(date +"%Y-%m-%d @ %H:%M:%S")," /etc/cron.daily/00logwatch
   ```

1. 你可以通过执行 cron 作业来测试它：

   ``` bash
   sudo /etc/cron.daily/00logwatch
   ```
   
   **注意**：如果 logwatch 因电子邮件中有长行而无法投递邮件，请检查 https://blog.dhampir.no/content/exim4-line-length-in-debian-stretch-mail-delivery-failed-returning-message-to-sender，如 [issue #29](https://github.com/imthenachoman/How-To-Secure-A-Linux-Server/issues/29) 所述。如果你遵循了 [Gmail 和 Exim4 作为 MTA 并使用了隐式 TLS](#gmail-and-exim4-as-mta-with-implicit-tls)，那么我们在步骤 #7 中已经处理了这个问题。

([Table of Contents](#table-of-contents))

### ss - 查看服务器正在监听的端口

#### 为什么

端口是应用程序、服务和进程相互通信的方式——无论是在服务器内部还是在网络中与其他设备通信。当你的服务器上运行某个应用程序或服务（如 SSH 或 Apache）时，它们会在特定端口上监听请求。

显然，我们不希望服务器监听未知的端口。我们将使用 `ss` 来查看所有服务正在监听的端口。这将帮助我们追踪并停止潜在危险的恶意服务。

#### 目标

- 找出非本地主机的开放端口并监听连接

#### 参考

- https://www.reddit.com/r/linux/comments/arx7st/howtosecurealinuxserver_an_evolving_howto_guide/egrib6o/
- https://www.reddit.com/r/linux/comments/arx7st/howtosecurealinuxserver_an_evolving_howto_guide/egs1rev/
- https://www.tecmint.com/find-open-ports-in-linux/
- `man ss`

#### 步骤

1. 查看所有监听流量的端口：

   ``` bash
   sudo ss -lntup
   ```
   
   > ```
   > Netid  State      Recv-Q Send-Q     Local Address:Port     Peer Address:Port
   > udp    UNCONN     0      0                      *:68                  *:*        users:(("dhclient",pid=389,fd=6))
   > tcp    LISTEN     0      128                    *:22                  *:*        users:(("sshd",pid=4390,fd=3))
   > tcp    LISTEN     0      128                   :::22                 :::*        users:(("sshd",pid=4390,fd=4))
   > ```
   
   **参数解释**：
   - `l` = 显示监听套接字
   - `n` = 不尝试解析服务名称
   - `t` = 显示 TCP 套接字
   - `u` = 显示 UDP 套接字
   - `p` = 显示进程信息

1. 如果你发现任何可疑内容，例如你不知道的端口或未知进程，请进行调查并根据需要进行补救。

([Table of Contents](#table-of-contents))

### Lynis - Linux 安全审计

#### 为什么

来自 [https://cisofy.com/lynis/](https://cisofy.com/lynis/)：

> Lynis 是一个久经考验的安全工具，适用于运行 Linux、macOS 或基于 Unix 的操作系统的系统。它对系统进行广泛的健康扫描，以支持系统加固和合规性测试。

#### 目标

- 安装 Lynis

#### 注意事项

- CISOFY 为许多发行版提供软件包。请查看 https://packages.cisofy.com/ 获取特定发行版的安装说明。

#### 参考

- https://cisofy.com/documentation/lynis/get-started/
- https://packages.cisofy.com/community/#debian-ubuntu
- https://thelinuxcode.com/audit-lynis-ubuntu-server/
- https://www.vultr.com/docs/install-lynis-on-debian-8

#### 步骤

1. 安装 lynis。https://cisofy.com/lynis/#installation 上提供了针对你发行版的详细安装说明。

   在基于 Debian 的系统上，使用 CISOFY 的社区软件仓库：

   ``` bash
   sudo apt install ca-certificates host
   sudo mkdir -p /etc/apt/keyrings