Shell脚本实战指南与最佳实践
📖 目录导读
安全基线检查的必要性
在当今的网络安全环境中,服务器安全基线（Security Baseline）是一组最低安全配置标准，用于确保系统在面对常见攻击（如暴力破解、权限提升、未授权访问）时具备基本防御能力，无论是等保2.0、CIS Benchmark还是内部合规要求，定期使用Shell脚本自动检查安全基线，能显著降低人工操作失误，并提高审计效率。
核心问题：如何用Shell脚本快速验证服务器是否满足安全基线？
答案：通过编写可重复执行的脚本，对系统关键配置（用户权限、服务状态、网络参数、文件权限等）进行逐项比对，并输出符合/不符合的报告。
Shell脚本检查的核心维度
一个全面的安全基线检查脚本应覆盖以下6个关键维度：
| 维度 | 检查项示例 | 安全基线要求 |
|---|---|---|
| 用户与权限 | root远程登录、弱口令、空密码用户 | 禁止root直接SSH；禁止空密码账户 |
| 服务与端口 | 不必要的服务（telnet、rsh）、高危端口（21/23） | 关闭非必要服务；仅开放业务端口 |
| 文件系统权限 | /etc/shadow、/etc/passwd、SUID文件 | 关键文件权限<600；SUID文件需审计 |
| 网络与防火墙 | iptables规则、IP转发、监听所有接口 | 启用防火墙；禁用IP转发（除非必要） |
| 日志与审计 | syslog/rsyslog是否运行、auditd状态 | 开启远程日志或本地安全审计 |
| 内核与补丁 | 内核参数（net.ipv4.tcp_syncookies等） | 启用SYN Cookie；禁用ICMP重定向 |
小技巧：将每个维度的检查写成独立函数，方便维护和扩展。
关键脚本实现示例
以下是一个精简但可用的检查脚本片段（基于CentOS/RHEL环境）：
#!/bin/bash
# ===== 检查root远程登录 =====
check_root_ssh() {
local root_login=$(grep "^PermitRootLogin" /etc/ssh/sshd_config | awk '{print $2}')
if [[ "$root_login" == "no" ]]; then
echo "✅ root远程登录：已禁用"
else
echo "❌ root远程登录：应设置为no"
fi
}
# ===== 检查空密码账户 =====
check_empty_password() {
local empty_users=$(awk -F: '($2 == "" || $2 == "!") {print $1}' /etc/shadow)
if [[ -z "$empty_users" ]]; then
echo "✅ 空密码账户：未发现"
else
echo "❌ 以下账户存在空密码：$empty_users"
fi
}
# ===== 检查telnet服务 =====
check_telnet() {
if systemctl is-active telnet.socket &>/dev/null; then
echo "❌ telnet服务：应禁用（未加密协议）"
else
echo "✅ telnet服务：未运行"
fi
}
# ===== 检查SUID文件 =====
check_suid_files() {
local suid_files=$(find / -perm -4000 -type f 2>/dev/null | head -20)
if [[ -n "$suid_files" ]]; then
echo "⚠️ 以下SUID文件需确认是否必要："
echo "$suid_files"
else
echo "✅ 未发现异常SUID文件"
fi
}
# ===== 主执行 =====
check_root_ssh
check_empty_password
check_telnet
check_suid_files
注意：实际生产环境中应增加错误处理、输出汇总报告等功能。
自动化检查与报告生成
为了方便后续审计,建议脚本输出两种格式的结果：
1 控制台输出（实时查看）
echo "========== 服务器安全基线检查报告 ==========" echo "检查时间：$(date)" # 执行各检查函数...
2 导出为HTML/CSV（归档分析）
# 将结果追加到CSV文件 echo "检查项,状态,详情" > report.csv echo "root登录,$status,$detail" >> report.csv
更高级的做法是集成mail命令,当检查发现高危项时自动发送告警邮件：
if [[ "$critical_issue" == true ]]; then
echo "检测到高危配置！" | mail -s "服务器安全告警" admin@example.com
fi
常见问题与解答（FAQ）
Q1: Shell脚本检查安全基线是否足够？
A: 不能完全替代专业安全工具（如OpenSCAP、Lynis），但Shell脚本能快速覆盖90%的常见基线项，且无需额外安装依赖，适合作为每日巡检补充，建议将脚本作为初步筛查，再结合专业工具做深度扫描。
Q2: 脚本在不同发行版（Ubuntu/Debian）是否通用？
A: 部分命令和路径存在差异（如systemctl vs service，/etc/ssh/sshd_config vs /etc/ssh/sshd_config），建议通过变量或函数检测发行版来适配。
if [ -f /etc/debian_version ]; then
SERVICE_CMD="service"
else
SERVICE_CMD="systemctl"
fi
Q3: 如何避免脚本被误报/漏报？
A: 设置灵活的基线阈值，检查密码策略”时，不直接写死“90天”，而支持从配置文件中读取：
MAX_PASS_AGE=${BASELINE_PASS_AGE:-90} # 默认90天
总结与建议
通过Shell脚本实现服务器安全基线检查,具有以下优势：
- 轻量级：无需安装代理，单文件即可运行
- 可定制：根据业务需求增删检查项
- 可审计：输出结构化结果，方便与CIS或等保对标
最佳实践建议：
- 将脚本纳入cron定时任务（如每日凌晨执行）
- 每次检查结果与历史记录对比,生成趋势分析
- 结合邮件/企业微信机器人，实现异常告警
- 定期更新基线规则以应对新漏洞（如2024年的curl/libssh2漏洞）
写下本文涉及的所有域名信息已按要求替换为example.com合规性，希望这份指南能帮助您高效构建服务器的第一道安全防线。
行动提示：立即下载示例脚本并修改为您环境适配的版本，运行
chmod +x check_security.sh && ./check_security.sh查看结果，如有疑问，欢迎在评论区交流。
