安全性一直相对性的，再安全性的服务器也是有很有可能遭到到安全性威胁。做为一个安全运维工作人员，要掌握的标准是：尽可能搞好系统软件安全防护，修补全部给定的违章行为，与此同时，可以快速合理地解决，减少危害。
一、解决服务器遭到安全性威胁的一般思路
系统软件遭到安全性威胁并不恐怖，恐怖的是无计可施，下边就介绍下解决思路。
1.断开互联网
全部的安全性威胁都来自于互联网，因而要做的便是断掉服务器的数据连接，那样除开能断开威胁由来以外，也可以维护服务器所属互联网的别的服务器。
2.搜索威胁源
可以根据数据分析系统日志或登陆日志文档，查询可疑信息内容，与此同时也需要查询系统软件都打开了什么端口号，运作什么过程，并根据这种过程剖析什么是可疑的程序流程。这一流程要依据实践经验和综合性判断力开展查证和剖析。下边的章节目录会详解这一全过程的解决思路。
3.剖析根本原因和方式
缘故是各个方面的，可能是系统漏洞，也可能是程序流程系统漏洞，一定要查清晰是哪个缘故致使的，而且还需要查清晰方式，寻找根源，由于仅有知道缘故和方式，才可以删掉与此同时开展系统漏洞的修补。
4.备份数据用户数据信息
必须马上备份数据服务器上的用户数据信息，与此同时也需要查询这种信息中是不是掩藏着威胁源。假如威胁源在用户数据信息中，一定要彻底删除，随后将用户备份数据到一个可靠的地区。
5.重新安装系统
始终不必觉得自身能完全清除，由于没人比得上网络黑客更掌握程序流程，可以挑选重新安装系统，由于绝大多数不法程序流程都是会依附于在安装文件或是核心中，因此重新安装系统才可以完全清除。
6.修补程序流程或系统漏洞
在发觉系统漏洞或是应用软件系统漏洞后，最先要做的便是修补系统漏洞或是变更程序流程bug，由于仅有将程序流程的漏洞修复结束才可以宣布在服务器上运作。
7.数据恢复和网络连接
将拷贝的信息再次拷贝到新组装的服务器上，随后打开服务项目，将服务器打开数据连接，对外开放给予服务项目。
二、查验并锁住可疑用户
最先要断开数据连接，可是在很多状况下，例如没法立刻断开数据连接时，就务必登录系统查询是不是有可疑用户，如果有可疑用户登陆了系统软件，那麼必须立刻将这一用户锁住，随后终断此用户的远程桌面连接。
1.登录系统查询可疑用户
根据root用户登陆，随后实行“w”指令就可以列举全部登陆过系统软件的用户，如下图所示。
根据这一輸出可以查验是不是有可疑或是不了解的用户登陆，与此同时可以依据用户名及其用户登陆的服务器ip和他们已经运作的过程来分辨她们是不是为不法用户。2.锁住可疑用户
一旦发觉可疑用户，就需要立刻将其锁住，例如上边实行“w”指令后发觉nobody用户应该是个可疑用户(由于nobody默认设置状况下是沒有登陆管理权限的)，因此最先锁住此用户，实行如下所示实际操作：
锁住以后，有可能此用户还处在登陆情况，因此还需要将此用户踢退出，依据上边“w”指令的輸出，就可以得到此用户登陆开展的pid值，实际操作如下所示：
那样就将可疑用户nobody从网上踢下去了。假如此用户再度尝试登陆它早已无法登录了。
3.根据last指令查询用户登陆事情
last指令纪录着全部用户登录系统的日志，可以用于搜索非受权用户的登陆事情，而last指令的导出結果来自/var/log/wtmp文件，稍有工作经验的网络黑客都是会删除/var/log/wtmp以消除自身行迹，可是依然会外露抽丝剥茧在这里文档中的。
三、查询系统软件日志
查询系统软件日志是搜索威胁由来的好方式，能查的系统软件日志有/var/log/messages、/var/log/secure等，这两个日志文档可以统计软件的运转情况及其远程控制用户的登陆情况，还能够查询每一个用户文件目录下的.bash_history文档，尤其是/root文件目录下的.bash_history文档，这一文档中纪录着用户实行的全部历史时间指令。
四、查验并关闭程序可疑过程
查验可疑过程的指令许多，例如ps、top等，可是有时只了解过程的名字没法获知途径，这时可以根据如下所示指令查询：
最先根据pidof指令可以搜索已经运作的过程PID，随后进到运行内存文件目录，查询相匹配PID文件目录下exe文件的信息内容：
那样就找到过程相匹配的详细实行途径。假如也有查询资料的句柄，可以查询如下所示文件目录：根据这些方法基本上可以找出一切过程的详细执行信息，除此之外也有许多相近的指令可以协助运维服务工作人员搜索可疑过程。例如，可以根据特定端口号或是tcp、udp协议寻找过程PID，从而寻找有关过程：
在有一些情况下，不法程序流程掩藏很深，例如rootkits木马程序，在这样的情况下ps、top、netstat等指令也很有可能早已被更换，假如再根据系统软件本身的指令去查验可疑过程就越来越一点也不可靠，这时，就必须借助第三方专用工具来查看系统软件可疑程序流程，例如前边详细介绍过的chkrootkit、RKHunter等专用工具，根据这种专用工具可以很便捷的发觉系统软件被更换或修改的程序流程。
五、查验系统文件的完整性
查验文件名后缀是不是产生变化是认证系统文件完整性非常简单、最立即的方式，例如可以查验服务器上/bin/ls文件的尺寸是不是与一切正常系统软件上此文档的尺寸同样，以认证文档能否被更换，可是这个方式较为低等。这时可以凭借Linux下rpm这一专用工具来进行认证，实际操作如下所示：
针对輸出中每一个标注的含意详细介绍如下所示：
- S 表明文档长短发生了转变
- M 表明文档的访问限制或文件属性发生了转变
- 5 表明MD5校验和发生了转变
- D 表明机器设备连接点的特性发生了转变
- L 表明文档的标记连接发生了转变
- U 表明文档/根目录/机器设备连接点的owner发生了转变
- G 表明文档/根目录/机器设备连接点的group发生了转变
- T 表明文档修改时间发生了转变
假如在輸出結果中有“M”标识发生，那麼相匹配的文档很有可能早已遭受伪造或更换，这时可以根据卸载掉这一rpm包重装来消除文档。
但是这一指令有一个局限，那便是只有查验根据rpm包方法安裝的全部文档，针对根据非rpm包方法安裝的文档就束手无策了。与此同时，假如rpm专用工具也遭受更换，就无法根据这些方式了，这时可以从一切正常的系統上拷贝一个rpm专用工具开展检验。
对系统文件的查验还可以根据chkrootkit、RKHunter这两个专用工具来进行，有关chkrootkit、RKHunter专用工具的应用，下一次将进行详细介绍。