Linux系统防扫描的重要性
在网络安全威胁日益严峻的今天，Linux服务器作为互联网基础设施的核心组件，常成为黑客扫描攻击的目标，端口扫描、服务识别、漏洞探测等扫描行为是攻击者实施入侵的前置步骤，通过扫描可获取系统的开放端口、运行服务、版本信息等关键数据，一旦系统存在未修复的漏洞或不当的配置，攻击者便可利用这些信息进一步渗透，导致数据泄露、服务中断甚至控制权丧失，构建有效的Linux防扫描体系，是保障系统安全的第一道防线，其核心目标在于“隐藏自身、增加探测难度、及时预警异常行为”。
系统基础加固：减少暴露面
关闭不必要的服务与端口
Linux系统默认安装的服务可能包含潜在风险，应遵循“最小权限原则”关闭无关服务，通过systemctl list-unit-files --type=service查看所有服务，使用systemctl stop <service>和systemctl disable <service>禁用非必要服务（如telnet、rsh、 cups等），对于端口管理，可通过ss -tulnp或netstat -tulnp检查当前监听端口，使用firewall-cmd（CentOS/RHEL）或ufw（Ubuntu）关闭非业务必需的端口，仅保留必要服务端口（如SSH的22端口、Web服务的80/443端口）。
修改默认敏感信息
默认配置易被扫描工具识别，需进行个性化修改：
- SSH服务：编辑
/etc/ssh/sshd_config，修改默认端口（如改为2222），禁用root直接登录（PermitRootLogin no），启用密钥认证（PasswordAuthentication no），并限制登录IP（AllowUsers或AllowHosts指令）。 - 服务_banner：通过修改服务的配置文件或使用工具（如
bannergrab）隐藏版本信息，Apache可通过ServerTokens Prod隐藏版本，Nginx设置server_tokens off；SSH可通过/etc/issue和/etc/issue.net自定义登录提示，避免泄露系统版本。
网络层防护：过滤扫描请求
防火墙策略强化
防火墙是过滤扫描流量的核心工具，需精细化配置访问控制策略：
- iptables：通过
iptables -A INPUT -p tcp --dport 端口 -j DROP禁止对非必要端口的访问，结合iptables -A INPUT -p icmp --icmp-type echo-request -j DROP禁用ICMP ping请求（避免主机探测），但需注意不影响网络诊断。 - firewalld：使用
rich rules实现更复杂的控制，例如仅允许特定IP段访问SSH端口：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'。
入侵检测与防御系统（IDS/IPS）
部署如Snort或Suricata等IDS工具，通过规则库识别扫描行为并触发告警，Snort规则可检测端口扫描（alert tcp any any -> any any (msg:"Port Scan"; flags:S; threshold:type both, track by_src, count 5, seconds 60; sid:1000001; rev:1;)），当检测到短时间内大量端口连接请求时，自动阻断攻击者IP（需结合iptables联动）。
日志监控与异常检测
集中化日志管理
扫描行为会在系统日志中留下痕迹，需启用日志审计并集中收集，通过rsyslog或syslog-ng将日志发送至远程日志服务器（如ELK Stack、Graylog），避免本地日志被攻击者清除，重点关注以下日志文件：
- SSH登录日志：
/var/log/secure中的“Failed password”或“Accepted publickey”异常频率； - 系统服务日志：
/var/log/messages中的端口连接错误； - 防火墙日志：
/var/log/iptables.log中的频繁访问记录。
自动化告警脚本
利用awk、grep或logwatch工具分析日志，编写告警脚本检测异常行为，通过监控/var/log/secure中5分钟内失败登录超过10次的IP，触发邮件或短信告警：
#!/bin/bash
fail_count=$(grep "Failed password" /var/log/secure | grep "$(date '+%b %d %H')" | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr | head -1 | awk '{print $1}')
if [ $fail_count -gt 10 ]; then
echo "异常IP: $(grep "Failed password" /var/log/secure | grep "$(date '+%b %d %H')" | awk '{print $(NF-3)}' | sort | uniq -c | sort -nr | head -1 | awk '{print $2}') 失败登录次数: $fail_count" | mail -s "SSH暴力破解告警" admin@example.com
fi
高级防护技术
端口 knocking技术
通过“端口敲门”（Port Knocking）隐藏开放端口，仅在特定序列的端口连接后动态开放服务，使用knockd工具实现：
- 安装并配置
/etc/knockd.conf，定义敲门序列（如7000,8000,9000）和触发动作（如开放SSH端口）； - 客户端使用
knock <IP> 7000 8000 9000发送敲门请求，服务器检测到序列后自动开放端口，超时后自动关闭。
蜜罐系统部署
通过部署蜜罐（如Cowrie、Snare）模拟真实服务，诱骗攻击者进入隔离环境，记录其扫描行为与攻击手法，蜜罐的IP需通过防火墙严格限制访问，避免被误用为跳板。
定期维护与更新
防扫描策略需持续优化，定期执行以下操作：
- 系统与软件更新：使用
yum update或apt upgrade修复已知漏洞，避免攻击者通过漏洞扫描工具利用旧版本漏洞； - 安全配置审计：使用
Lynis或OSSEC等工具扫描系统配置，检查是否存在弱密码、不必要的服务或权限过高等问题； - 策略调整：根据最新的扫描工具特征（如Nmap、Masscan的参数变化），更新防火墙规则和IDS检测规则。
Linux防扫描是一个系统工程，需从基础加固、网络防护、日志监控、高级技术等多个维度协同发力，通过隐藏系统信息、过滤扫描流量、实时检测异常并持续优化策略，可显著降低系统被扫描和入侵的风险，防扫描的核心在于“纵深防御”——即使某一层防护被突破，其他层仍能有效抵御攻击,为Linux服务器构建坚实的安全屏障。
