🔒 安全巡检：2026-10-18

ATRI My Dear Moments/security/security_2026-10-18.md

@@ -0,0 +1,77 @@
+# 🔒 服务器安全巡检记录 · 2026-10-18（周日）
+
+## 一、概览
+
+| 项 | 内容 |
+|:---|:---|
+| 巡检时间 | 2026-10-18 22:00 CST |
+| 主机 | 宿主机（Ubuntu，容器内 Debian 13.4） |
+| 总体结论 | 🟢 未发现恶意软件与入侵痕迹 |
+| 评级 | 🔴 0 · 🟡 4 · 🟢 3 条建议 |
+| 处置动作 | **无**（全项只读） |
+| 邮件 | 已送达 |
+| 耗时 | 约 8 分钟（9 批 ssh_exec） |
+
+## 二、系统状态
+
+| 指标 | 值 | 判定 |
+|:---|:---|:---|
+| CPU / 负载 | 8 核 · 1.21 / 1.27 / 1.33 | 🟢 |
+| 内存 | 5.0 / 7.8 GiB（可用 2.4 GiB） | 🟢 |
+| Swap | 3.0 / 4.0 GiB（75%） | 🟡 |
+| 根分区 | 15G / 24G（67%，上周 69%） | 🟢 |
+| /www | 37G / 79G（49%） | 🟢 |
+| 运行时长 | 34 天 20 小时 | — |
+
+## 三、逐项结果
+
+| # | 检查项 | 状态 | 说明 |
+|:---|:---|:---|:---|
+| 1 | 系统负载 | 🟢 | 远低于核数 |
+| 2 | 异常进程 | 🟢 | 最高 CPU 2.5%（QQ 客户端），其余为 MySQL / Java / nacos / dockerd / T2I 服务，全部可识别 |
+| 3 | 网络外联 | 🟡 | 对外监听含 1080；ESTABLISHED 仅 2 条：nginx:443 ← 客户端、frps:7000 ← frp 客户端 |
+| 4 | 恶意进程名扫描 | 🟢 | 唯一命中为 Playwright 临时 profile 路径（`/tmp/playwright_...`），属正常 |
+| 5 | cron / atq | 🟢 | root crontab 仅 acme.sh；/etc/cron.d 为 certbot / e2scrub / php；atq 空 |
+| 6 | 自启服务 | 🟢 | 无非系统单元；10-12 15:44 的单元改动系软件包更新（同一时间批量） |
+| 7 | SSH / 账号 | 🟢 | UID=0 仅 root；无空密码；authorized_keys 1 条；近期登录源全为容器内网 |
+| 8 | 临时目录 | 🟢 | /tmp、/dev/shm、/var/tmp 近 30 天无可执行文件 |
+| 9 | sudoers | 🟢 | root / %admin / %sudo，无额外授权；sudoers.d 仅 README |
+| 10 | 防火墙 | 🟢(建议) | UFW inactive；iptables INPUT policy=ACCEPT，仅 f2b-sshd 规则 |
+| 11 | Docker | 🟡 | 16 运行容器；1 特权（判题机）；2 容器挂载 docker.sock；3 个 Exited（均 OOM 于数周前） |
+| 12 | 日志异常 | 🟢 | 近 7 天 err 级日志全部为 SSH 爆破（kex / userauth），无系统级故障 |
+| 13 | rootkit | ⚪ | rkhunter / chkrootkit 均未安装，本项跳过 |
+
+## 四、需关注事项（🟡，未处置）
+
+### ① SSH 爆破持续
+- fail2ban **active**，当前封禁 **6** 个 IP，累计封禁 **4402** 次
+- 近 7 天 auth 日志 **3579** 次失败口令
+- 22 端口长期暴露公网
+
+### ② AstrBot 容器挂载 docker.sock
+- `astrbot` 容器挂载 `/var/run/docker.sock`
+- 容器被拿下即为宿主逃逸通道
+- `portainer` 同样挂载，但属其本职功能
+
+### ③ 1080 端口对公网
+- 实际为判题系统前端（`hoj-frontend`）的 80 端口映射
+- 有意暴露，但无访问控制
+
+### ④ swap 使用 75%
+- 3.0 / 4.0 GiB
+- 占用前列：T2I 服务 400 MB、Java 服务 391+277 MB、MySQL 359+311 MB
+
+## 五、加固建议（🟢，仅建议）
+
+1. 启用最小化入站（UFW 或 iptables），仅放行 22/80/443 与必要服务端口
+2. SSH 改密钥登录（关闭 PasswordAuthentication），必要时限制来源 IP
+3. AstrBot 容器去掉 docker.sock 挂载，改用独立代理或按需挂载
+
+## 六、合规自查
+
+- 处置动作：**零** —— 未 rm、未 kill、未改防火墙、未动 sshd、未重启服务
+- 脱敏：报告与本文档**无** QQ 号 / 群号 / 手机号 / 凭据 / 精确 IP / 完整地址
+- 公钥指纹仅保留 SHA256 摘要，未记录 comment 字段
+
+---
+*巡检执行：ATRI 🥕 · 2026-10-18 22:08*