一、Linux 进程管理

进程是操作系统运行的核心单元，也是攻击者常利用的入口（如植入后门进程）。掌握进程管理是网络安全工程师的必备技能。

1. 基础命令

2. 进程监控工具

3. 实战案例：检测异常进程

场景：发现服务器 CPU 占用率飙升，疑似被挖矿木马感染。
步骤：

1. 定位高 CPU 进程：

top -c          # 按 CPU 占用排序，找到 PID 和进程名  

2. 分析进程行为：

lsof -p <PID>   # 查看进程打开的文件和网络连接  
strace -p <PID> # 跟踪系统调用（发现异常网络活动）  

3. 终止进程：

kill -9 <PID>   # 强制终止  

4. 预防措施：通过 auditd 记录进程创建事件：

auditctl -a exit,always -F arch=b64 -S execve -k process_creation  

二、iptables 防火墙基础

iptables 是 Linux 内核的包过滤工具，用于控制网络流量进出。掌握 iptables 可实现基础的边界防护（如封禁恶意 IP、限制端口访问）。

1. 基本概念

2. 规则配置实战

场景：仅允许 SSH（22 端口）和 HTTP（80 端口）入站流量，其余拒绝。
配置步骤：

# 1. 清空现有规则（谨慎操作！）  
iptables -F  

# 2. 设置默认策略（拒绝所有流量）  
iptables -P INPUT DROP  
iptables -P FORWARD DROP  
iptables -P OUTPUT ACCEPT  

# 3. 允许已建立的连接（避免断网）  
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT  

# 4. 允许 SSH（22 端口）  
iptables -A INPUT -p tcp --dport 22 -j ACCEPT  

# 5. 允许 HTTP（80 端口）  
iptables -A INPUT -p tcp --dport 80 -j ACCEPT  

# 6. 保存规则（需安装 iptables-persistent）  
iptables-save > /etc/iptables/rules.v4  

3. NAT 网络地址转换

场景：内网服务器无公网 IP，需通过 NAT 实现外网访问。
配置示例：

# 1. 启用 IP 转发  
sysctl -w net.ipv4.ip_forward=1  

# 2. SNAT（源地址转换）：内网访问外网时替换为公网 IP  
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE  

# 3. DNAT（目的地址转换）：将外网 80 端口流量转发到内网服务器 8080  
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100:8080  

4. 安全加固与最佳实践

• 限制 SSH 访问：

iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT  # 仅允许内网 IP 访问  
iptables -A INPUT -p tcp --dport 22 -j DROP                                # 拒绝其他来源  

• 防御 DDoS：

iptables -A INPUT -p tcp --syn --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT  

• 日志记录：

iptables -A INPUT -j LOG --log-prefix "BLOCKED_INPUT: " --log-level 4  

5. 常见错误与注意事项

• 规则顺序敏感：iptables 规则按顺序匹配，需将“允许”规则放在“拒绝”规则之前。
• 保存与恢复：重启后规则丢失（需配合 iptables-persistent 或自定义脚本）。
• 性能影响：过多规则可能导致性能下降，建议优化规则逻辑（如合并相似规则）。

总结

• 进程管理：通过 ps、top、kill 快速定位和终止异常进程，结合 auditd 实现长期监控。
• iptables：通过规则配置实现流量过滤和 NAT 转换，需熟悉链、表、动作的关系，并定期备份规则。