🔒 安全巡检：2026-10-11

2026-10-11 22:02:21 +08:00
parent ee4f570c24
commit 6352604a4f
1 changed files with 114 additions and 0 deletions
@@ -0,0 +1,114 @@
+# 🔒 宿主机安全巡检报告 — 2026-10-11（周日）
+
+**执行时间**：2026-10-11 22:00 ~ 22:12（CST）
+**执行方式**：`ssh_exec` 白名单命令，只读采集
+**总体结论**：🟢 **未发现恶意软件与入侵痕迹** ｜ 🟡 需关注 4 项 ｜ 🔴 处置 0 项
+
+---
+
+## 一、系统状态速览
+
+| 项 | 值 |
+|:---|:---|
+| 主机名 | `ser298351120000` |
+| 负载 | **1.26 / 1.34 / 1.35**（8 核）|
+| 内存 | 7.8G 中已用 5.5G，可用 1.9G |
+| **Swap** | **3.9G / 4.0G（近乎用满）** 🟡 |
+| 根分区 | 69%（16G / 24G）|
+| 数据盘 | 49%（37G / 79G）|
+| 运行时长 | 27 天 20 小时 |
+| 宿主内核 | 5.15.0-191-generic（Ubuntu）|
+
+---
+
+## 二、安全检查结果（18 项）
+
+| # | 检查项 | 状态 | 说明 |
+|:---|:---|:---|:---|
+| 1 | 系统负载 | 🟢 | 1.26，远低于 8 核阈值 |
+| 2 | 内存/Swap | 🟡 | swap 近乎用满 |
+| 3 | 磁盘 | 🟢 | 根 69%、数据盘 49% |
+| 4 | 资源异常进程 | 🟢 | 全部可识别 |
+| 5 | 恶意进程名扫描 | 🟢 | 无 xmrig/kinsing/kdevtmpfsi 等 |
+| 6 | 网络监听 | 🟡 | 1080 对公网开放 |
+| 7 | 高危端口 | 🟢 | 3333 为 frps（非矿池），无其他命中 |
+| 8 | 计划任务 | 🟢 | 仅 acme.sh + 系统标准 |
+| 9 | 开机自启 | 🟢 | 无陌生 service |
+| 10 | SSH 登录记录 | 🟢 | 来源全为容器内网 |
+| 11 | UID=0 账号 | 🟢 | 仅 root |
+| 12 | 空密码账号 | 🟢 | 无 |
+| 13 | authorized_keys | 🟢 | 1 条（自有） |
+| 14 | 临时目录 | 🟢 | 无可疑可执行文件 |
+| 15 | 防火墙 | 🟡 | ufw 未启用；fail2ban 正常 |
+| 16 | Docker 容器 | 🟡 | 16 运行 / 3 退出；1 特权 |
+| 17 | 容器挂载 | 🟡 | 2 个挂载 docker.sock |
+| 18 | 日志 / rootkit | 🟢 | 仅 SSH 爆破记录 |
+
+### 进程清单（CPU 排序，全部正常）
+
+```
+qq --no-sandbox              （QQ 机器人）
+node /app/runtime/index.mjs  （Node 应用）
+mysqld / mysqld              （MySQL）
+java -jar /app.jar           （Java 服务）
+nacos-server.jar             （Nacos 配置中心）
+dockerd / containerd         （Docker）
+[scsi_eh_1] / [watchdogd]    （内核线程）
+chrome-headless-shell        （Playwright，T2I 渲染用）
+```
+
+**最高 CPU 占用仅 2.6%** —— 无挖矿特征。
+
+### 监听端口（全部可对应服务）
+
+`22` sshd · `80/443` nginx · `3306` mysql · `6379/6380` redis · `7890` mihomo · `8999` T2I · `6185/6199` AstrBot Dashboard · `8848` nacos · `7000` frps · `1080` docker-proxy（🟡 对外）
+
+---
+
+## 三、威胁发现与处置记录
+
+**🟢 未发现恶意软件与入侵痕迹。**
+
+以下 4 项为「需关注」，**全部只报告、未处置**：
+
+| 等级 | 事项 | 证据 | 处置 |
+|:---|:---|:---|:---|
+| 🟡 | **SSH 爆破持续** | 今日日志多条 `Broken pipe [preauth]` / `kex_exchange_identification`，含扫描特征串 `MGLNDD_<IP>_22`；**fail2ban 已拦**：累计 72406 次失败 / 封禁 12 IP / 历史封禁 3245 | 已自动处置（fail2ban） |
+| 🟡 | **AstrBot 容器挂载 `docker.sock`** | 容器内可直接触达宿主 Docker API（容器逃逸面） | 仅报告 |
+| 🟡 | **`1080` 端口对公网开放** | docker-proxy 转发，用途待确认 | 仅报告 |
+| 🟡 | **swap 3.9G/4.0G** | 内存压力信号 | 仅报告 |
+
+### Docker 细节
+
+- **特权容器**：`hoj-judgeserver`（判题机，属设计需要）
+- **挂载 docker.sock**：`portainer`（管理必需）、`astrbot`（🟡 待评估）
+- **未发现**：陌生镜像、挂载宿主 `/` 的容器
+
+---
+
+## 四、加固建议（3 条）
+
+1. **sshd 收紧** —— 当前 `PermitRootLogin yes` + `PasswordAuthentication yes`，建议改密钥登录并关闭密码认证（**改动前需主人授权**）
+2. **启用 ufw** —— 目前仅 fail2ban 挡 SSH，建议白名单化对外端口（尤其 `1080` / `8999`）
+3. **内存与 swap** —— swap 已用 3.9G/4.0G，建议留意常驻服务增长，必要时给容器加内存上限
+
+---
+
+## 五、处置动作留痕
+
+**本次巡检查未执行任何处置动作。**
+
+- ❌ 未 `rm` / 未 `kill` 任何进程
+- ❌ 未改动防火墙、sshd 配置
+- ❌ 未重启任何服务
+- ✅ 仅执行只读采集命令
+
+---
+
+## 六、脱敏与安全
+
+本文档不包含：QQ 号、群号、手机号、明文密码/密钥、完整服务器地址、精确公网 IP（爆破来源 IP 已省略）、SSH/SMTP 凭据。
+
+---
+
+*巡检执行：ATRI 🥕 · 2026-10-11 22:12 CST*