痕迹清理技战术-linux

在Linux环境下进行痕迹清理是一项复杂的技术工作，通常用于维护系统安全、隐私保护以及合规审计。痕迹清理技术涵盖了多种方法和工具，旨在清除系统中的日志记录、临时文件、缓存数据以及其他可能泄露敏感信息的痕迹。

Linux痕迹清理技战术

1. 清理日志文件

Linux系统中有多个日志文件，记录了系统运行期间的各种事件。清理这些日志文件可以减少公鸡者追踪活动轨迹的机会。

常见日志文件

• /var/log/syslog：系统日志。
• /var/log/auth.log：认证日志。
• /var/log/kern.log：内核日志。
• /var/log/dmesg：内核消息日志。

清理方法

• 使用日志轮转：配置 logrotate 自动定期清理旧日志。
• 手动清空日志：使用 > /dev/null 清空日志文件。

sudo cat /dev/null > /var/log/syslog
sudo cat /dev/null > /var/log/auth.log

2. 清理临时文件

临时文件通常是系统和应用程序在运行过程中产生的，这些文件可能包含敏感数据。

清理方法

• 使用 rm 命令删除临时文件：

sudo rm -rf /tmp/*
sudo rm -rf /var/tmp/*

• 使用自动化工具：例如 tmpwatch 可以定期删除旧的临时文件。

sudo apt-get install tmpwatch
sudo tmpwatch 1d /tmp /var/tmp

3. 清理缓存文件

缓存文件可以加速系统操作，但也可能包含敏感数据。

清理方法

• 清理系统缓存：

sudo sh -c 'echo 3 > /proc/sys/vm/drop_caches'

• 清理浏览器缓存：针对不同的浏览器，可以使用相应的命令或工具。

4. 清理历史记录

历史记录文件记录了用户执行过的命令，可能包含敏感信息。

清理方法

• 清空 bash 历史记录：

history -c
history -w

• 删除 .bash_history 文件：

rm ~/.bash_history

5. 清理 SSH 登录痕迹

SSH 登录记录通常保存在 /var/log/auth.log 文件中，可以通过定期清理或配置日志轮转来管理。

清理方法

• 定期清空日志文件：

sudo cat /dev/null > /var/log/auth.log

• 配置日志轮转：

sudo nano /etc/logrotate.d/syslog

在文件中添加或修改日志轮转规则。

6. 使用 SELinux 或 AppArmor

对于使用 SELinux 或 AppArmor 的系统，可以利用这些安全模块来限制访问权限，从而减少潜在的痕迹。

配置方法

• SELinux：调整 SELinux 策略以限制访问。
• AppArmor：编写和应用 AppArmor 配置文件。

7. 使用一次性虚拟机或容器

在进行敏感操作时，可以使用一次性虚拟机或容器来隔离操作环境，操作完成后销毁虚拟机或容器，从而彻底清除痕迹。

创建方法

• 使用 Docker：

docker run --rm -it ubuntu bash

• 使用 VirtualBox 或 VMWare：创建一个新的虚拟机并在操作后销毁。

注意事项

• 合法性：所有操作必须在合法授权的情况下进行。
• 备份：在进行任何清理工作之前，最好先备份相关数据。
• 审计：即使清理了痕迹，也可能留下其他形式的审计线索，因此应综合考虑安全策略。

演示

输入history可以看到当前终端里面所运行的所有命令

输入history -r 就会清楚当前会话的历史记录

-c 就会清除内存中的所有命令历史

删除这个文件就会删除历史记录里所有的内容

rm .bash_history

通过设置历史命令条数来清除历史命令

HISTSIZE=0

用vim打开文件，输入history=0

这条命令主要的作用是让vim不记录历史命令，否则的话vim会将历史命令收录到.viminfo文件中

在vim里执行一个ip -a的命令

cat .viminfo

会看到没有这一条命令的记录

修改系统配置文件达到系统永久不在保存记录命令日志的命令

用管理员权限编辑profile

nano /etc/profile

输入HISTSIZE=0就可以了

Linux清理系统日志