# 🔒 宿主机安全巡检报告 — 2026年09月13日（周日）

**执行方式**：定时任务「周日服务器安全运维巡检」· 全流程 `ssh_exec` 采集
**巡检时刻**：2026-09-13 22:00 ~ 22:05（CST）
**总体结论**：🟢 **未发现恶意软件与入侵痕迹**；🟡 需关注 2 项（SSH 爆破持续 / Swap 偏高）；🟢 加固建议 5 项

---

## 一、系统状态速览

| 指标 | 数值 | 判定 |
|:---|:---|:---:|
| 主机名 | ser298351120000 | — |
| 运行时长 | 226 天 | 🟢 |
| 系统负载 | 1.31 / 1.30 / 1.29（8 核）≈ 16% | 🟢 |
| 内存 | 5.0Gi / 7.8Gi（64%），可用 2.4Gi | 🟢 |
| Swap | **3.0Gi / 4.0Gi（75%）** | 🟡 |
| 磁盘（系统 /） | 16G / 24G（69%） | 🟢 |
| 磁盘（数据 /www） | 32G / 79G（43%） | 🟢 |
| 容器 | 16 运行 / 19 总计 | 🟢 |
| 监听端口 | 48 个（均为已知业务） | 🟢 |

---

## 二、安全检查结果（逐项）

| # | 检查项 | 状态 | 说明 |
|:--|:---|:---:|:---|
| 1 | 恶意进程名扫描 | ✅ | `xmrig/minerd/kdevtmpfsi/kinsing/masscan/sysupdate` 等全无命中 |
| 2 | 资源异常进程 | ✅ | TOP CPU/MEM 均为已知服务：mysqld、nacos、dockerd、AstrBot、llbot、T2I、minio、redis |
| 3 | 临时目录可执行文件 | ✅ | `/tmp`、`/dev/shm`、`/var/tmp` 近 30 天无可疑可执行文件；无 `.X*` 伪装 |
| 4 | 网络外联 / 矿池端口 | ✅ | 3333/4444/5555/7777/8888/9999/14444/1080/1081 均无对外连接 |
| 5 | 计划任务（root crontab） | ✅ | 仅 `acme.sh --cron`（证书续期） |
| 6 | 计划任务（/etc/crontab、cron.d） | ✅ | 仅系统标准 run-parts + certbot/e2scrub/php；无 curl/wget/base64/bash -i |
| 7 | at 队列 | ✅ | 空 |
| 8 | 开机自启服务 | ✅ | 全部为已知服务（docker/containerd/nginx/mysql/redis/frps/mihomo/qzcloud/t2i/php8.1-fpm/snap 挂载） |
| 9 | systemd 单元近期改动 | ✅ | 近 7 天仅 2 个 snap 挂载单元（snap 自动刷新），无陌生 unit |
| 10 | UID=0 账号 | ✅ | 仅 `root` 一个 |
| 11 | 空密码账号 | ✅ | 无 |
| 12 | 普通用户 | ✅ | 仅 `Kronecker`（UID 1000，fish） |
| 13 | sudoers.d | ✅ | 仅 README，无自定义提权文件 |
| 14 | SSH 公钥 | ⚠️ | `authorized_keys` 仅 1 条，添加于 2025-08-09（备注为某邮箱）——**请主人确认是否仍为本人/熟人所有** |
| 15 | 成功登录审计 | ✅ | 今日 9 次全部来自主人常用移动网段（106.16.177.x / 223.153.236.x）+ 本机容器网段（172.21.0.x） |
| 16 | Docker 容器 | ✅ | 19 个容器镜像全部可识别；Exited 3 个为初始化任务(0)/旧 napcat(137)/历史容器(0) |
| 17 | Docker 特权容器 | 🟢 | `hoj-judgeserver` Privileged=true（在线评测机沙箱固有需求，可接受） |
| 18 | journalctl 近 7 天错误 | ✅ | 仅 SSH `kex_exchange_identification` 握手噪声（爆破副产品），无系统级异常 |
| 19 | 内核日志 | ✅ | 正常，仅 docker veth 网卡事件 |
| 20 | 防火墙 | 🟡 | `ufw` 状态 **inactive** |
| 21 | fail2ban | 🟡 | **未安装 / 未运行** |
| 22 | rootkit 检测 | ⚪ | `rkhunter`、`chkrootkit` 均未安装，无法执行；已用进程/文件/端口多源交叉替代 |

---

## 三、威胁发现

### 🟡 1. SSH 暴力破解持续进行

| 项目 | 数值 |
|:---|:---|
| 今日失败认证 | **16,863 次**（含 invalid user 记录合计 34,698 条） |
| 时间跨度 | 2026-09-13 00:00:04 ~ 22:02:22（**巡检时仍在持续**） |
| 攻击源 TOP6（打码） | `109.160.32.x`(8,195) · `77.239.124.x`(3,108) · `103.57.220.x`(2,785) · `51.91.64.x`(2,215) · `120.220.15.x`(1,097) · `183.252.184.x`(958) |
| 尝试账号 | root、elastic、alex、mahdi、arma3server、lx 等（典型字典爆破） |
| **是否攻破** | ❌ **未攻破**——今日 9 次成功登录全部来自主人常用网段与本机容器 |

**成因**：`PermitRootLogin yes` + `PasswordAuthentication yes` + 无 fail2ban + ufw 未启用 → 公网 22 端口对爆破完全敞开，目前仅靠 root 密码强度硬扛。

**处置**：按清单「🟡 中危只报告不擅动」原则，**本次未做任何改动**，等主人授权后执行加固。

### 🟡 2. Swap 使用率偏高（系统健康，非安全）

Swap 3.0Gi / 4.0Gi（75%），物理内存可用 2.4Gi。当前负载与响应正常，无异常进程占用；属长期驻留服务（Nacos/MySQL×3/HOJ 全家桶/Portainer 等）累积所致。建议观察，暂不处理。

---

## 四、加固建议（需授权后执行）

| 优先级 | 建议 | 效果 | 风险 |
|:---:|:---|:---|:---|
| ⭐⭐⭐ | 安装 **fail2ban**（`jail.local` 配 sshd：5 分钟内 5 次失败封 1 小时） | 直接压制爆破，日志噪声大减 | 极低，可随时停用 |
| ⭐⭐⭐ | 将 `PermitRootLogin` 改为 `prohibit-password`（保留密钥登录，关闭密码入口） | 爆破窗口基本关闭 | 需先确认密钥可用，避免自锁 |
| ⭐⭐ | 启用 **ufw**，仅放行 22 / 80 / 443 与业务必要端口 | 缩小暴露面 | 需先盘点端口，**须主人授权** |

> ⚠️ 以上三项均属「改动系统配置」，按巡检纪律**不会擅自执行**。

---

## 五、处置记录

**无。** 本次巡检未发现 🔴 高危项，未执行任何 `kill` / 文件隔离 / cron 清除 / 配置改动操作。

---

*巡检执行：ATRI 🥕（服务器安全巡检）· 2026-09-13 22:05*


---

## 六、处置执行 · 统一部署 fail2ban（2026-09-13 22:05~22:12，主人授权）

**授权原话**：「统一装fail2ban」——对全部受托服务器统一部署，配置保持一致。

| 主机 | 系统 | 结果 | 状态 |
|:---|:---|:---|:---|
| 宿主机（内部代号 ser-h） | Ubuntu 22.04.3 LTS | Fail2Ban v0.11.2 安装完成 | ✅ active / enabled |
| 外部 ECS（主站承载） | Ubuntu 24.04.2 LTS | Fail2Ban 安装完成 | ✅ active / enabled |

**统一配置**（`/etc/fail2ban/jail.local`，两台一致）
- `ignoreip`：回环 + 内网三段（10/8、172.16/12、192.168/16）+ 主人常用网段 + **我方出口地址**（避自锁）
- `bantime = 1h` · `findtime = 5m` · `maxretry = 5` · `backend = systemd`
- jail：`sshd`（仅监控 SSH，不影响 nginx / docker / 业务端口）

**宿主机启动后首 5 分钟实测**
- Currently failed 6 / Total failed 172
- Currently banned 6 / Total banned 6
- 已封来源（按 /24 打码）：`117.184.105.x` · `109.160.32.x` · `2.57.121.x` · `14.29.214.x` · `180.76.134.x` · `43.156.71.x`

**结论**：巡检报告中的 🟡「SSH 爆破持续」由「敞开挨打」转为「自动压制」；`PermitRootLogin` 与 `ufw` 两项仍待主人授权，本次未动。