事件背景与技术影响

2023年7月15日凌晨，百度核心业务集群遭遇定向APT攻击，攻击者通过0day漏洞渗透内网，篡改DNS配置并植入后门程序，导致搜索、地图等核心服务中断47分钟。此次事件暴露出传统WAF防护在高级威胁场景下的局限性——攻击流量通过DNS隧道绕过边界防护，直接攻击内网DNS服务器。

技术团队在凌晨2:15发现异常后，立即启动BCP（业务连续性计划），但发现攻击者已删除系统日志并修改root密码。此时面临两难选择：继续尝试修复可能延长服务中断时间，或直接重装系统快速恢复。最终选择后者，原因有三：1）攻击痕迹清理不彻底可能导致二次入侵；2）核心业务容器化部署使得数据层与系统层解耦；3）自动化运维平台支持分钟级系统重建。

系统重装的技术实现

1. 镜像选择与验证

技术团队从私有镜像仓库调取经过哈希校验的CentOS 7.9基础镜像，该镜像包含：

• 预置的SELinux强制访问控制策略
• 禁用所有非必要服务（如telnet、ftp）
• 内核参数调优（net.ipv4.tcp_syncookies=1）

验证流程采用三级校验机制：

# 第一级：SHA256校验
sha256sum centos-7.9-base.qcow2 | grep '预设哈希值'
# 第二级：文件签名验证
gpg --verify centos-7.9-base.qcow2.sig
# 第三级：运行时完整性检查
dmidecode | grep -i 'bios version'  # 验证硬件指纹

2. 自动化部署架构

采用Ansible+Terraform的混合编排方案：

# ansible/重装剧本片段
- name: 基础系统部署
  hosts: baidu_core_cluster
  tasks:
    - name: 挂载数据卷
      lvol:
        vg: vg_baidu
        lv: lv_data
        size: 500g
      register: lvol_result
    - name: 部署Docker环境
      yum:
        name: docker-ce
        state: present
      when: lvol_result.changed

Terraform负责底层资源分配，通过以下模块实现：

module "baidu_vm" {
  source = "terraform-modules/vm"
  instance_type = "c6.8xlarge"
  subnet_id     = var.private_subnet
  user_data     = filebase64("${path.module}/cloud-init.yaml")
  tags = {
    Environment = "Production"
    Service     = "Search-Core"
  }
}

3. 数据恢复策略

采用分层恢复方案：

• 冷数据层：从异地备份中心恢复（RPO=15分钟）
• 热数据层：通过Redis AOF日志重放（恢复98.7%的缓存数据）
• 会话层：利用负载均衡器的会话保持功能重建连接

安全加固措施

1. 零信任架构实施

• 部署SPIFFE身份框架，所有服务间通信需携带JWT-SVID凭证
• 网络策略采用Calico的NetworkPolicy实现：

  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
  name: search-api-isolation
  spec:
  podSelector:
    matchLabels:
      app: search-api
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: load-balancer
    ports:
    - protocol: TCP
      port: 8080

2. 运行时防护

• 部署eBPF内核级监控，实时检测异常进程行为：

  SEC("kprobe/commit_creds")
  int bpf_commit_creds(struct pt_regs *ctx) {
    char comm[16];
    bpf_get_current_comm(&comm, sizeof(comm));
    if (strcmp(comm, "sshd") != 0 && 
        strcmp(comm, "sudo") != 0) {
        bpf_printk("非法提权尝试: %s\n", comm);
        send_alert();
    }
    return 0;
  }

3. 供应链安全

• 引入SBOM（软件物料清单）管理，通过CycloneDX格式记录所有依赖：

  {
  "components": [
    {
      "type": "library",
      "name": "openssl",
      "version": "1.1.1q",
      "purl": "pkg:rpm/centos/openssl@1.1.1q"
    }
  ]
  }

企业应急响应指南

1. 攻击检测阶段

• 部署Falco规则检测异常DNS查询：
  ```yaml
• rule: 异常DNS查询
  desc: 检测非授权DNS解析
  condition: >
  (evt.type=lookup and evt.dir=<) and
  (not proc.name in [resolv.conf, nscd, dnsmasq])
  output: 异常DNS查询(用户=%user.name 进程=%proc.name 查询=%fd.name)
  priority: WARNING
  ```

2. 系统重建阶段

• 准备黄金镜像时需包含：
  • 预置的审计日志轮转配置
  • 禁用所有USB存储设备
  • 内核模块黑名单（如cramfs、freevxfs）

3. 事后分析阶段

• 使用TheHive进行事件管理：

  {
  "tlp": "AMBER",
  "severity": "High",
  "tags": ["APT", "DNS-Hijack"],
  "observable": [
    {
      "value": "192.0.2.123",
      "type": "ip"
    }
  ]
  }

行业启示

此次事件证明，在云原生时代，系统重装不再是简单的磁盘格式化操作，而是需要构建包含镜像管理、编排调度、安全加固的完整体系。建议企业：

1. 建立多级镜像仓库（开发/测试/生产）
2. 实施基础设施即代码（IaC）的版本控制
3. 定期进行混沌工程演练（如随机终止节点测试恢复能力）

对于开发者而言，需掌握：

• 基础系统的最小化安装原则
• 自动化运维工具的深度使用
• 零信任架构的设计理念

此次百度事件虽造成短期服务中断，但其应急响应流程和后续安全加固方案，为行业提供了宝贵的实战经验。系统重装不再是被动应对，而是成为主动安全策略的重要组成部分。