UOS系统被入侵后应立即隔离主机、保全证据、识别恶意进程、清除后门、修复加固。具体包括断网禁出站、备份日志与内存镜像、用rkhunter查rootkit、清理异常用户及cron任务、更新系统并启用uos-security-tool加固。
如果您发现UOS系统出现异常行为，如未知进程持续运行、CPU占用率飙升、非授权网络连接或系统日志被清空，则极可能已被入侵。以下是针对UOS系统（统信操作系统）被入侵后的标准化应急响应与恢复操作步骤：
一、立即隔离受感染主机
隔离是阻断攻击链、防止横向移动和二次破坏的首要动作。UOS基于Linux内核，但其桌面环境与服务管理机制具有特异性，需采用适配该系统的隔离策略。
1、物理或逻辑断网：拔掉网线，或在终端执行 sudo ip link set eth0 down（eth0需替换为实际网卡名，可用ip a确认）。
2、禁用所有出站连接：运行 sudo ufw default deny outgoing 并启用防火墙 sudo ufw enable。
3、停止非必要服务：使用 sudo systemctl list-units --type=service --state=running 查看运行服务，对可疑服务（如非标准端口监听的sshd、httpd、自定义守护进程）执行 sudo systemctl stop 服务名。
二、保全原始证据并创建快照
UOS系统默认启用journal日志且支持持久化存储，但入侵者常清除/var/log/下的关键日志。因此必须优先采集内存与磁盘原始状态，避免依赖已被篡改的系统命令输出。
1、导出内存镜像：执行 sudo dd if=/dev/mem of=/tmp/mem_dump_$(date +%s).img bs=1M count=2048 2>/dev/null。
2、备份系统日志：运行 sudo journalctl --all --no-pager > /tmp/journal_backup_$(date +%s).log；同时复制 /var/log/auth.log、/var/log/syslog、/var/log/ufw.log 到只读挂载分区或外部介质。
3、生成完整磁盘快照（适用于云环境或LVM部署）：若UOS安装于LVM逻辑卷，执行 sudo lvcreate -L 5G -s -n uos_snap /dev/mapper/your-root-lv；若为物理机且具备双硬盘，使用 sudo dd if=/dev/sda of=/dev/sdb bs=4M status=progress（确保sdb容量≥sda）。
三、识别恶意进程与后门程序
UOS桌面环境（DDE）下常存在伪装为图形进程的恶意负载，仅靠top或ps易被rootkit隐藏。应结合多源交叉验证手段定位真实威胁。
1、检查异常用户空间进程：运行 sudo ps auxf --forest | grep -E "(minerd|xmrig|bash.*-i|nc|socat|python.*-c.*exec)"。
2、扫描网络监听端口及对应进程：执行 sudo ss -tulnp | grep -v "127.0.0.1"，重点关注非UOS默认开放端口（如22、80、443、3306）上的非标准进程。
3、检测隐藏模块与rootkit：使用UOS官方兼容工具 sudo rkhunter --check --sk 和 sudo chkrootkit；若未安装，通过离线方式从可信UOS镜像中提取deb包并dpkg -i安装。
四、清除恶意文件与账户
入侵者常创建隐蔽用户、植入SUID提权二进制、修改启动项或cron任务以维持持久化。需逐层清理系统级落脚点。
1、查找无主文件：执行 sudo find / -xdev -nouser -o -nogroup -print 2>/dev/null | head -n 20，对输出中位于/tmp、/dev/shm、/var/tmp等临时目录的文件进行md5校验并删除。
2、检查异常用户与组：运行 sudo awk -F: '$3 == 0 {print $1}' /etc/passwd 确认是否存在非root的UID 0账户；检查 sudo cat /etc/shadow | awk -F: '$2 !~ /^\$/ {print $1}' 识别空密码或弱哈希账户。
3、清理持久化入口：检查 /etc/crontab、/var/spool/cron/ 下所有用户crontab、/etc/systemd/system/*.service 中非官方签名的服务单元文件，并使用 sudo systemctl disable --now 恶意服务名 停用并禁用。
五、修复漏洞并加固系统
入侵通常源于未修补的CVE漏洞、弱口令或配置缺陷。UOS作为国产操作系统，其安全更新通道与Debian系不同，必须通过统信官方源进行合规修复。
1、更新系统至最新安全版本：执行 sudo apt update && sudo apt list --upgradable，确认输出中含 uos-security 或 uos-updates 源标识后，运行 sudo apt full-upgrade -y。
2、重置SSH与远程服务配置：编辑 /etc/ssh/sshd_config，将 PermitRootLogin 设为 no，PasswordAuthentication 设为 no，保存后执行 sudo systemctl restart ssh。
3、启用UOS内置安全模块：运行 sudo uos-security-tool enable --all（该命令激活应用白名单、USB设备管控、进程行为审计等策略），并导入统信签发的加固策略模板：sudo uos-security-tool import-policy /usr/share/uos-security/policies/hardening_v2.json。
