適用環(huán)境企業(yè)業(yè)務(wù)系統(tǒng)生產(chǎn)環(huán)境 Linux 服務(wù)器檢查項(xiàng)來源企業(yè)安全基線 / CIS Benchmark / 等保 / 漏洞掃描平臺風(fēng)險(xiǎn)等級低僅內(nèi)核網(wǎng)絡(luò)參數(shù)不影響單播 Ping 連通性整改方式標(biāo)準(zhǔn)機(jī)對比 最小變更修復(fù)脫敏說明文中192.168.1.255為文檔示例廣播地址非真實(shí)內(nèi)網(wǎng)拓?fù)淠夸浺?、背景二、問題分析三、基線要求四、修復(fù)思路五、修復(fù)前檢查六、配置修復(fù)七、修復(fù)驗(yàn)證八、自動化修復(fù)腳本九、回滾方案十、風(fēng)險(xiǎn)評估十一、整改收益十二、經(jīng)驗(yàn)總結(jié)一、背景在企業(yè) Linux 安全基線檢查過程中經(jīng)常會遇到如下檢查項(xiàng)檢查項(xiàng)內(nèi)容類別Network Parameters (Host and Router)檢查項(xiàng)Ensure broadcast ICMP requests are ignored該項(xiàng)通常來源于企業(yè)安全基線、CIS Benchmark、等?；蚵┒磼呙杵脚_。檢查目標(biāo)是確認(rèn)系統(tǒng)是否忽略廣播地址發(fā)送的 ICMP Echo RequestPing請求從而避免系統(tǒng)成為網(wǎng)絡(luò)放大攻擊的一部分。本次整改針對某業(yè)務(wù)系統(tǒng)生產(chǎn)環(huán)境中的 Linux 服務(wù)器開展采用標(biāo)準(zhǔn)機(jī)對比 最小變更修復(fù)的方式完成整改。二、問題分析什么是廣播 ICMP 請求正常 Ping 通常是Client │ ├── ICMP Echo Request ▼ Server而廣播 Ping 則會向整個(gè)網(wǎng)段發(fā)送請求192.168.1.255網(wǎng)絡(luò)中的所有主機(jī)都有可能響應(yīng)。例如ping192.168.1.255如果服務(wù)器接受廣播 Ping 并回復(fù)將可能被攻擊者利用實(shí)施Smurf AttackSmurf 攻擊網(wǎng)絡(luò)放大攻擊網(wǎng)絡(luò)掃描DDoS 攻擊輔助三、基線要求系統(tǒng)應(yīng)開啟如下內(nèi)核參數(shù)net.ipv4.icmp_echo_ignore_broadcasts 1參數(shù)含義參數(shù)值含義0響應(yīng)廣播 Ping1忽略廣播 Ping安全基線要求配置為1四、修復(fù)思路本次整改遵循統(tǒng)一原則標(biāo)準(zhǔn)機(jī)驗(yàn)證配置差異分析最小變更修復(fù)驗(yàn)證結(jié)果避免直接修改大量系統(tǒng)配置降低生產(chǎn)環(huán)境風(fēng)險(xiǎn)。五、修復(fù)前檢查查看當(dāng)前運(yùn)行參數(shù)sysctlnet.ipv4.icmp_echo_ignore_broadcasts輸出示例net.ipv4.icmp_echo_ignore_broadcasts 0表示系統(tǒng)仍會響應(yīng)廣播 Ping。六、配置修復(fù)方式一新增獨(dú)立配置文件推薦創(chuàng)建專用配置文件vi/etc/sysctl.d/99-icmp-broadcast.conf寫入net.ipv4.icmp_echo_ignore_broadcasts 1加載配置執(zhí)行sysctl--system輸出類似* Applying /etc/sysctl.d/99-icmp-broadcast.conf ...說明參數(shù)已被系統(tǒng)加載。七、修復(fù)驗(yàn)證再次檢查sysctlnet.ipv4.icmp_echo_ignore_broadcasts返回net.ipv4.icmp_echo_ignore_broadcasts 1說明運(yùn)行態(tài)已經(jīng)生效。檢查配置文件確認(rèn)配置已持久化grepicmp_echo_ignore_broadcasts /etc/sysctl.d/*.conf預(yù)期結(jié)果/etc/sysctl.d/99-icmp-broadcast.conf: net.ipv4.icmp_echo_ignore_broadcasts 1八、自動化修復(fù)腳本為便于多臺服務(wù)器統(tǒng)一整改可封裝為標(biāo)準(zhǔn)化 Shell 腳本。文件名fix_icmp_broadcast_ignore.sh腳本內(nèi)容#!/bin/bashset-eechoechoFix: Ignore Broadcast ICMP RequestechoBACKUP_FILE/etc/sysctl.conf.bak.$(date%F-%H%M%S)cp-a/etc/sysctl.conf${BACKUP_FILE}echoBackup Created:echo${BACKUP_FILE}cat/etc/sysctl.d/99-icmp-broadcast.confEOF net.ipv4.icmp_echo_ignore_broadcasts 1 EOFechoApply sysctl...sysctl--system/tmp/sysctl_apply.log21echoVerify...RESULT$(sysctl-nnet.ipv4.icmp_echo_ignore_broadcasts)if[${RESULT}1];thenecho[PASS] net.ipv4.icmp_echo_ignore_broadcasts1elseecho[FAIL] Current value${RESULT}exit1fiechoCompleted.九、回滾方案若需要回退刪除配置文件rm-f/etc/sysctl.d/99-icmp-broadcast.conf重新加載sysctl--system或者恢復(fù)備份文件cp-a/etc/sysctl.conf.bak.YYYY-MM-DD-HHMMSS\/etc/sysctl.confsysctl--system十、風(fēng)險(xiǎn)評估本項(xiàng)整改屬于低風(fēng)險(xiǎn)配置。項(xiàng)目影響Web 服務(wù)無影響應(yīng)用服務(wù)無影響數(shù)據(jù)庫服務(wù)無影響SSH 遠(yuǎn)程登錄無影響SELinux無影響Firewalld無影響內(nèi)網(wǎng)業(yè)務(wù)訪問無影響HTTPS 訪問無影響實(shí)際影響僅為服務(wù)器不再響應(yīng)廣播 Ping 請求不影響正常單播 Pingping服務(wù)器IP仍可正常連通。十一、整改收益完成整改后可獲得以下收益滿足企業(yè) Linux 安全基線要求滿足 CIS Benchmark 相關(guān)控制項(xiàng)防止 Smurf Attack 攻擊降低網(wǎng)絡(luò)放大攻擊風(fēng)險(xiǎn)提高服務(wù)器網(wǎng)絡(luò)安全性提升安全掃描通過率十二、經(jīng)驗(yàn)總結(jié)本次整改屬于典型 Linux 內(nèi)核網(wǎng)絡(luò)參數(shù)加固場景。對于生產(chǎn)環(huán)境服務(wù)器推薦采用標(biāo)準(zhǔn)機(jī)對比 獨(dú)立 sysctl 配置文件 最小變更同步的實(shí)施方式而非直接修改大量系統(tǒng)默認(rèn)配置。通過將安全配置單獨(dú)存放于/etc/sysctl.d/目錄不僅便于后續(xù)審計(jì)和維護(hù)也能夠降低配置沖突風(fēng)險(xiǎn)適合作為企業(yè) Linux 基線整改的標(biāo)準(zhǔn)實(shí)踐。