linux系统漏洞扫描

三年前我接手一台被入侵的统漏服务器，黑客留下的洞扫rootkit藏在内核模块里，常规扫描器全哑火。统漏那台机器跑了两年电商业务，洞扫日均订单上千——没人想过它早就不是统漏自己的了。这件事让我明白，洞扫漏洞扫描不是统漏装个工具点“开始”那么轻巧。

Linux的洞扫漏洞面比Windows更分散。你用的统漏发行版仓库、手动编译的洞扫nginx、容器里的统漏基础镜像，每个环节都有独立漏洞库。洞扫Ubuntu有USN公告，统漏RedHat有RHSA，洞扫Debian有DSA，统漏连内核补丁都分主线、稳定、长期支持三套时间线。扫描工具得先搞清楚自己面对的是哪个“生态位”，否则就像拿北京地图找上海弄堂。

Nessus和OpenVAS这类通用扫描器，对Linux的覆盖其实很粗。它们擅长检测开放端口和已知CVE，但漏掉最要命的配置缺陷：比如/etc/shadow权限变成644，或者sudoers里留了NOPASSWD条目。我见过某运维把SSH的PermitRootLogin改成yes方便传文件，结果扫描报告全是绿色——因为系统补丁打得很勤快。

真正的扫描要分层做。第一层查文件系统：用lynis审计系统加固状态，它会检查文件权限、用户配置、启动项异常。第二层看软件源：apt-get update后跑debsecan，或者用yum-plugin-security看红帽系的安全更新。第三层最容易被忽略——容器镜像。Trivy能扫出Docker镜像里的漏洞层，但很多团队只在CI阶段扫一次，运行时的镜像早就漂移了。

有个细节特别讽刺：Linux自带checksec和auditd，能把系统监控做到内核级，但大多数人根本没用过。上次帮朋友排查他的博客服务器，发现/var/log/auth.log里躺着一万多次SSH爆破记录，他居然说“日志太多懒得看”。扫描器能告诉你哪里有洞，但填不填是你的事。

自动化扫描要小心误伤。有次我用OpenVAS扫生产库，它检测到MySQL版本低，直接建议“升级或禁用”——但那个版本是业务方指定兼容的。扫描器不懂业务连续性，你得自己权衡风险。更坑的是某些扫描会触发应用层防御，比如fail2ban会把扫描IP直接拉黑，导致后续检测全部失效。

说点实在的。个人服务器至少每月跑一次apt update && apt upgrade，再用grep -r "PermitRootLogin" /etc/ssh/检查关键配置。企业环境建议用osquery做持续监控，它能实时查文件完整性、进程行为、网络连接——比定时扫描更接近“防患于未然”。

最后说个反常识的：漏洞扫描最大的敌人不是黑客，是“僵尸系统”。很多Linux服务器从装机起就没更新过，内核停留在3.10，openssl还带着Heartbleed。扫描器报出几百个漏洞，管理员嫌麻烦直接忽略——直到某天被勒索软件点名。扫描这活儿，三分靠工具，七分靠纪律。工具能给你清单，但决定是否修复、何时修复、怎么修复，始终是人的判断。别让扫描报告变成墙上的装饰画。