Linux安全配置怎么做？安全配置加固方法有哪些？

Linux系统安全配置是企业服务器防护的基石。核心结论：Linux安全并非单一工具或命令的堆砌，而是一套贯穿“最小权限、默认拒绝、持续监控”原则的动态纵深防御体系。 在云原生与暴力破解愈演愈烈的今天，仅依赖默认配置无异于裸奔。
基于多年一线运维实战与云平台安全攻防经验,为你拆解一套可落地的Linux安全加固方案。

基础防线：账户与认证策略

任何攻击的第一步都是获取合法凭据。首要任务是收紧入口,将风险扼杀在摇篮中。

• 禁用Root直连：编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no，日常操作使用具备sudo权限的普通用户。这能直接阻断99%的自动化Root爆破脚本。
• 密钥替代密码：在 ~/.ssh/authorized_keys 中植入公钥，并设置 PasswordAuthentication no，私钥的加密强度远超任何复杂密码,从根本上杜绝弱口令猜测。
• 登录失败锁定：利用 pam_faillock.so 模块，配置连续失败5次锁定账户15分钟，这能有效拖慢暴力破解的节奏,消耗攻击者时间成本。

进阶加固：内核与系统资源隔离

很多管理员忽略了操作系统内核参数对安全的影响。这是区分专业与业余的分水岭。

• 网络层防洪水：在 sysctl.conf 中优化TCP栈参数，例如开启

  

  net.ipv4.tcp_syncookies 防御SYN Flood，并调整 net.ipv4.icmp_echo_ignore_broadcasts 为1，忽略广播风暴，特别提示：若在该环节与酷番云安全组联动，可将防火墙管控前置，实现“云平台分布式防御+本地内核纵深过滤”的双层拦截，即便本地遭受突发流量,云边界已先行消化。

• SUID/SGID文件监控：定期执行 find / -perm -4000 -type f 查找异常提权文件，攻击者常通过植入SUID程序留存后门。此处应建立蜜罐文件（如假bash），通过 auditd 监控其访问行为，一旦触发即报警,属于主动防御的有效手段。

运行防护：入侵检测与日志审计

当防线被突破时，最快的发现速度即是止损的关键。

• 系统完整性校验：利用 AIDE（高级入侵检测环境）为关键二进制文件生成哈希基线库，每日比对。任何文件的非法改动（如替换 ls、ps）都会被立即发现并邮件告警。

• 集中式日志分析：避免日志停留在本机（被攻破后日志易被清除），使用 rsyslog 将 /var/log/secure 和 /var/log/messages 实时传输至远程日志服务器，或对接酷番云日志审计服务，实操中，我们曾在云端为某电商客户配置了SSH登录日志的实时分析看板，勒索病毒爆发当晚，系统基于异地登录行为模型自动隔离了中毒实例,这比事后溯源更能降低实际损失。

  

• 进程白名单机制：对于高安全等级业务，部署 SELinux 或 AppArmor 并设为强制模式，虽然初期配置稍显繁琐，但这能极大限制WebShell执行系统命令的能力范围。即使PHP被攻破，也无法越权读取数据库配置文件。

实战策略：最小化服务与补丁管理

• 精简系统服务：使用 systemctl list-unit-files --type=service 逐项排查，仅开启业务所需端口。凡是监听在 0.0.0 的端口都是潜在攻击面，务必使用 ss -lntp 确认监听地址是否足够严格。
• 自动补丁更新：在等保合规场景下，建议每周重启一次，一定要配置 unattended-upgrades 仅更新安全补丁,避免内核误升级导致业务不兼容。

常见问题权威解答

Q1：服务器经常遭受来自境外IP的SSH暴力破解，单纯调高密码复杂度是否足够？
答： 远远不够，更专业的方案是 “白名单内网化” 。核心做法是：通过云安全组将22端口只放行你的办公网固定IP，公网彻底关闭；若必须外网访问，则部署 Fail2Ban 联动iptables自动封禁，同时将SSH默认端口修改为高位随机端口，密码复杂度仅是延缓被爆破的时间，

禁止暴露端口才是根治。

Q2：在日常巡检中，如何快速辨别服务器是否已被植入Rootkit（内核级后门）？
答： 关注内存与进程的“隐蔽性”。建议方案如下：

1. 使用 rkhunter 扫描已知特征库，重点观察其“Rootkit checks”结果是否出现 Suspect。
2. 对比 /proc/modules 输出的内核模块列表，检查是否存在隐藏模块（正常模块名清晰可见）。
3. 最有效路径：定期重启，由于绝大多数内存型Rootkit无法持久化，非持久化Rootkit在重启后将失效，重启后若异常行为依旧，再深入排查启动链（如systemd unit文件）。

最后送你一个动作： 今天就去执行 last -F -20 | head -50 审计最近的登录记录。安全是动态过程而非静止目标，你在终端执行的每一条加固命令，都在为数据资产增加一道保险，如果你在配置SELinux或审计日志时遇到“诡异”的服务启动失败，欢迎在评论区留言具体的报错代码,我将给出针对性的绕过策略。

今日互动： 面对日志量爆炸的服务器，你更倾向于使用轻量级的 lnav 命令行分析，还是搭建ELK全家桶？我们一起聊聊那种成本更低。