防范提权攻击需坚持最小权限原则，合理配置用户权限与sudo策略，加固文件目录权限，定期检查SUID/SGID滥用，及时更新系统补丁，启用SELinux/AppArmor等安全模块，并通过auditd和日志监控实现异常行为检测，结合权限管理、系统加固与实时监控形成综合防护体系。
防止提权攻击是Linux系统安全防护的关键环节。攻击者一旦获取普通用户权限，往往会尝试通过漏洞、配置错误或弱权限管理提升至root权限，进而控制整个系统。要有效防范此类行为，需从权限控制、系统配置、日志监控等多方面入手。
最小权限原则与用户管理
系统中每个用户和进程应仅拥有完成其任务所需的最低权限，避免使用root账户日常操作。
- 禁用不必要的用户账号，定期清理长期未使用的账户
- 将管理员操作限制在sudo组内，禁止直接登录root
- 通过/etc/sudoers配置精细化的sudo权限，避免ALL=(ALL) ALL的过度授权
- 使用专用服务账户运行应用，避免使用高权限用户启动服务
文件与目录权限加固
不正确的文件权限可能被利用进行提权，特别是对可执行文件和敏感配置文件的修改。
- 定期检查关键目录（如/etc、/bin、/sbin、/usr/bin）的权限，确保非root用户无法写入
- 使用chmod合理设置文件权限，敏感文件建议设为600或644，可执行文件避免全局可写
- 查找并修复SUID/SGID滥用：find / -perm -4000 -o -perm -2000 2>/dev/null，移除非必要程序的SUID位
- 禁用不需要的SUID程序，如ping、passwd等若非必须可暂时去除特权位
内核与软件层面防护
保持系统更新和启用安全模块可有效阻断已知提权漏洞的利用。
- 及时更新系统内核和软件包，修补已知漏洞（如Dirty COW、Spectre等）
- 启用SELinux或AppArmor，限制进程行为边界，防止越权访问
- 使用grsecurity或KSPP补丁集增强内核防护能力（适用于自定义内核）
- 关闭不必要的内核功能（如kernel.modules_disabled、dmesg_restrict）
日志审计与异常检测
通过监控可疑行为可快速发现提权尝试，及时响应。
- 启用auditd审计服务，记录关键系统调用（如execve、setuid）
- 配置rsyslog集中收集日志，监控sudo使用、SSH登录、用户切换等事件
- 定期检查/var/log/auth.log、/var/log/secure等日志中的异常登录和提权操作
- 部署入侵检测工具（如fail2ban、OSSEC）自动响应可疑行为
基本上就这些。提权防护不是单一措施能解决的问题，而是需要权限管理、系统加固、持续更新和实时监控相结合的综合策略。只要坚持最小权限、及时打补丁、开启审计，大多数常见提权攻击都能有效规避。
