排查漏洞的准备工作
理解攻击面与目标
在进行防火墙漏洞修复前，明确服务器暴露的服务与端口是第一步。列出对外开放的端口、使用的协议，以及可能成为攻击入口的服务，如 ssh、web 服务器、数据库等。
同时，梳理业务合规要求以便后续选择合适的策略，避免误删必要的端口。
记录版本信息（操作系统版本、内核版本、firewalld/nftables 版本），以便对比后续的修复结果。强调在排查时要形成可追溯的基线。
收集环境信息与基线
获取当前防火墙状态、区域、区域策略等，基线对比可帮助快速定位异常。
rpm -qa | grep -E 'firewalld|iptables|nftables'
firewall-cmd --state
结合系统日志与配置文件，建立一个简易清单，确保后续修复可重复执行。
检查防火墙状态与服务
通过 systemctl 检查 firewalld 状态, 并 查看当前区域与规则。
systemctl status firewalld
firewall-cmd --get-default-zone
firewall-cmd --list-all-zones
systemctl is-enabled firewalld
若发现非最佳配置，请在继续前记录当前快照，以便后续对比和回滚。
漏洞诊断与排查步骤
日志与告警分析
分析 /var/log/audit/audit.log、/var/log/messages、/var/log/firewalld、/var/log/secure 等日志源，重点关注异常连接、重复失败、异常端口扫描等迹象。
tail -n 200 /var/log/secure
journalctl -u firewalld --since "24 hours ago"
ausearch -m avc -ts recent -m system_call
建立与告警系统的对接，确保对可疑活动有可观测性和可追溯性。
入侵迹象检测
通过对比历史基线，识别异常行为模式，如突然开放的端口、异常的连接速率、未授权的管理接口暴露等。
# 简单的入侵迹象示例
sudo ausearch -ts today -m login -m system_call
sudo iptables -L -n -v
与安全事件管理系统对接，构建持续监控策略。
端口与服务审计
使用 nmap、ss、netstat 等工具，查看对外端口和服务状态，找出未受控的暴露项。
ss -tulpen
netstat -tulpen
nmap -sS -p- your-server-ip
对照业务需求，确保只有必要端口处于开放状态。
防火墙规则的一致性检查
对比预期防火墙策略与当前规则，识别异常的放行规则，并记录变更点。
firewall-cmd --list-all --zone=public
iptables -S
iptables -L -n -v
若发现与业务需求不符的规则，需规划后续修正计划。
修复与修补策略
更新与补丁
确保系统和防火墙相关组件保持最新，及时应用内核与软件包更新，以修复已知漏洞。
sudo yum update -y
sudo yum update firewalld -y
sudo yum update kernel -y
在更新前后对重要服务做快照，避免更新导致新问题。
配置修正
禁用不必要的服务，最小化开放端口，设置默认拒绝策略，确保只暴露业务所需。
# 设置默认拒绝所有进入流量
sudo firewall-cmd --permanent --set-default-zone=public
sudo firewall-cmd --permanent --zone=public --set-target DROP# 仅开放必须端口
sudo firewall-cmd --permanent --add-service ssh
sudo firewall-cmd --permanent --add-service http
sudo firewall-cmd --permanent --add-service https
sudo firewall-cmd --reload
对管理员接口、数据库端口等敏感入口，实施更严格的访问控制。
漏洞利用链的处置
排查并修复可能被利用的组合，如公开的管理接口、弱口令、未打补丁的组件等，切断可能的攻击链。
# 审计管理接口
ss -tulpen | grep 22
# 重新生成密钥，禁用弱口令
对关键组件进行加固配置，例如 SSH 仅允许密钥认证、禁用根用户远程登录等。
加固措施与长期防护
防火墙规则最优化
采用区域分区、服务名而非端口、限制来源 IP、使用 rich rules，以提升灵活性与可控性。
# 使用 rich rules 限制来源
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="22" accept'
sudo firewall-cmd --reload
避免“默认放行所有”带来的安全隐患，确保规则可审计、可回滚。
网络分段与访问控制
实现网络分段，使故障域和攻击域受控，降低横向移动风险，提升可观测性。
# 使用 firewalld zones 进行分段
sudo firewall-cmd --permanent --new-zone=dmz
sudo firewall-cmd --permanent --zone=dmz --add-service=http
sudo firewall-cmd --permanent --zone=dmz --add-service=https
sudo firewall-cmd --reload
对于跨区域的管理口，建议额外建立专用的跳板机策略和多因素认证。
日志监控与告警
建立集中式日志、日志轮转、告警阈值，确保异常事件被及时通知，以支持快速处置。
# 使用 rsyslog/ELK 做日志聚合示例
# 参考配置：/etc/rsyslog.d/firewalld.conf
# 启动数据流告警
定期复核告警策略，确保新服务上线时自动纳入监控。
自动化与可重复性
通过配置管理、版本控制、基础镜像构建，确保可重复性与回滚能力，减少人为差异带来的风险。
# 使用 Ansible 简化防火墙配置
- hosts: serverstasks:- name: Harden firewalldfirewalld:state: enabledimmediate: yespermanent: yesservice: httpport: 80/tcp
将关键策略写入代码化规范，便于团队协作与审计跟踪。
验证与回滚方案
功能测试
执行端到端的连通性测试，确认关键业务端口正常、非必要端口已关闭，并验证防火墙策略的一致性。
# 验证关键端口
nc -vz localhost 22
nc -vz localhost 80
# 远程测试
nc -vz remotehost 22
对服务可用性、日志输出及告警进行同步验证，确保无误差。
回滚计划
制定回滚机制，确保在更新后若出现服务不可用可快速回滚，并保留变更记录。
# 版本化配置回滚示例
# 使用备份的 firewalld 配置
sudo cp /etc/firewalld/zones/public.xml /etc/firewalld/zones/public.xml.bak
# 需要时恢复
sudo mv /etc/firewalld/zones/public.xml.bak /etc/firewalld/zones/public.xml
sudo firewall-cmd --reload
回滚前应完成对关键服务与依赖的核对，确保回滚不会引入新的故障点。
