SSH 纵深加固
从攻击链到六层防御体系 — 开源电子书
从攻击链到六层防御体系 — 开源电子书
全球任意时刻有 2000-3000 万 SSH 服务暴露在公网（Censys 2023）。一次全 IPv4 的 22 端口扫描成本不到 1 美元。凭证滥用连续多年位居 Verizon DBIR 初始访问向量第一（~24%）。
本书提供一套从协议层到零信任的完整工程方案——不是单点加固，而是六层互为冗余的纵深防御。每一层都有可复制粘贴的配置、脚本和部署指南。
对齐 CIS Benchmark for OpenSSH，可直接用于 /etc/ssh/sshd_config.d/00-hardening.conf：
| 框架 | 相关控制项 |
|---|---|
| CIS Benchmark | Section 5.2: SSH Server Configuration |
| NIST SP 800-53 | AC-2, AC-3, AC-7, AC-17, AU-2, IA-2, IA-5, SC-8 |
| NIST SP 800-123 | Guide to Securing Remote Access |
| DISA STIG | RHEL SSH STIG (V-207545 ~ V-207589) |
| MITRE ATT&CK | T1110 (Brute Force), T1021.004 (SSH), T1078 (Valid Accounts) |
| PCI DSS 4.0 | Requirement 8 (Authentication), Requirement 10 (Logging) |
一键检查当前系统 SSH 配置是否符合安全基线：
检查项包括：密码认证状态、root 登录、弱加密算法、fail2ban 运行状态、密钥类型合规性等。
SSH 暴露面规模、攻击者画像（脚本小子→Botnet→APT）、防御误区深度剖析
ZMap/Masscan 全网扫描原理、Shodan/Censys/FOFA 资产测绘、字典攻击与撞库、MITRE ATT&CK 映射
nftables 防火墙、Ed25519 密钥认证、PAM 栈定制、fail2ban/CrowdSec 主动阻断、auditd 入侵检测、SIEM 日志分析
Port Knocking / SPA、2FA (TOTP/FIDO2)、SSH CA 证书体系、堡垒机 (Teleport/JumpServer)、Zero Trust (Tailscale SSH/Cloudflare Access)
挖矿木马完整入侵链、APT 低速暴力破解、内部人员横向移动
加固 Checklist、一键加固脚本设计、Cowrie 蜜罐部署
安全 Trade-off 哲学、Post-Quantum SSH 抗量子算法、持续学习路径