Linux 系統安全加固實戰：九大核心防護策略全解析

電腦系統一旦遭受惡意軟體攻擊，隱私資料外洩風險劇增。除了部署防毒軟體，建立多層次的主動防禦體系才是根本之道。本文將深入淺出地介紹九大 Linux 系統安全加固核心技巧，助您構建堅不可摧的防線。

一、啟用 SELinux：實施強制存取控制

SELinux（Security-Enhanced Linux）是由美國國家安全局（NSA）主導開發的安全模組，它為 Linux 核心提供了強制存取控制（MAC）機制。不同於傳統的自主存取控制（DAC）僅能針對「讀、寫、執行」設定權限，SELinux 能針對主體（進程）與客體（檔案、連接埠、Socket 等）定義極為精細的安全上下文標籤，實現「最小權限原則」。例如，您可以限定某服務僅能「追加寫入」日誌檔，而無法刪除或覆蓋；或禁止 Web 伺服器進程發起外部網路連線。雖然 SELinux 學習曲線較陡峭，但善用 audit2allow 分析拒絕日誌、setsebool 調整布林值，即可在不犧牲功能前提下大幅提升系統抗滲透能力。

二、精簡服務與應用：縮減攻擊面

預設安裝往往包含大量非必要服務（如 cups、avahi-daemon、rpcbind 等），它們不僅佔用資源，更是潛在漏洞溫床。建議採取「預設拒絕，按需啟用」策略：

• 使用 systemctl list-unit-files --state=enabled 盤點已啟用服務；
• 對非業務必需服務執行 systemctl disable --now 服務名；
• 若確定長期不用，直接 dnf/yum/apt remove 套件名 徹底移除，連同依賴庫一併清理，從源頭消除風險。

三、訂閱漏洞情報：搶在攻擊者前面修補

漏洞多潛伏於第三方應用而非核心本身。建立「監控-評估-修補」閉環至關重要：

• 訂閱 CVE 官方資料庫、NVD、SecurityFocus、Linux 發行版安全公告郵件列表（如 Red Hat RHSA、Debian DSA、Ubuntu USN）；
• 部署漏洞掃描器（OpenVAS、Nessus、Lynis）定期掃描；
• 建立標準化修補流程：測試環境驗證 → 滾動更新生產環境 → 事後複核。

四、精通 iptables/nftables：打造主機級防火牆

Linux 核心內建的 Netfilter 框架（iptables 及其繼任者 nftables）提供狀態檢測封包過濾、NAT、流量整形等能力。關鍵實作原則：

• 預設拒絕：iptables -P INPUT DROP、iptables -P FORWARD DROP，再以 -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 放行已建立連線；
• 最小開放：僅對必要埠（如 SSH 22、HTTP 80、HTTPS 443）放行，並限制來源 IP 範圍；
• 防暴力破解：結合 recent 模組或 fail2ban 限制 SSH 登入失敗次數；
• 持久化規則：使用 iptables-save > /etc/iptables/rules.v4 或 nft list ruleset > /etc/nftables.conf 確保重啟生效。

五、審計系統日誌：構建可見性防線

日誌是入侵偵測的「黑盒子」。重點關注：

• /var/log/auth.log / secure：SSH 登入成功/失敗、sudo 提權紀錄；
• /var/log/audit/audit.log：SELinux 拒絕事件、系統呼叫審計；
• 應用層日誌：Nginx/Apache 存取與錯誤日誌、資料庫錯誤日誌。

建議部署 rsyslog + Logrotate 集中轉發至日誌伺服器（或 ELK/EFK 堆疊），並配置 Logwatch、GoAccess 或 Promtail + Loki + Grafana 實現告警與視覺化。

六、部署 Port Knocking：隱藏服務埠口

Port Knocking 類似「秘密敲門序列」，只有收到特定順序的封包（如 TCP 1000→2000→3000），防火牆才會動態開放真實服務埠（如 SSH 22）給該來源 IP，維持短暫時間窗（預設 10-30 秒）。常用工具：knockd（伺服端）、knock（客戶端）。優點是將服務從公開掃描中隱形；缺點是單點故障（knockd 掛掉即無法連線）與順序洩露風險，建議搭配 Single Packet Authorization (SPA)（如 fwknop）加密驗證封包，提升安全性。

七、全盤加密：守護靜態資料機密性

實體設備遺失/竊盜是資料外洩主因。Linux 透過 LUKS（Linux Unified Key Setup） + dm-crypt 實現區塊層級全盤加密（含 /boot 分區需搭配 GRUB2 支援）。關鍵點：

• 安裝時選擇「加密分區」或事後用 cryptsetup-reencrypt 線上加密；
• 使用高熵金鑰（如 dd if=/dev/urandom of=/root/keyfile bs=512 count=4）並妥善備份至離線介質；
• 配合 TPM 2.0 實現無感解鎖（需核心 5.1+ 及 clevis/tang 支援）。

八、部署入侵偵測系統（IDS/IPS）：即時封鎖異常行為

主機型 IDS（HIDS）如 Wazuh（OSSEC 分支）、AIDE、Tripwire 可監控檔案完整性、Rootkit 特徵、異常登入；網路型 IDS/IPS（NIDS/NIPS）如 Suricata、Zeek (Bro)、Snort 3 則能深度解析流量協定、匹配威脅情報規則集（Emerging Threats、Talos）。生產環境建議採用 Wazuh + Suricata 聯動：Wazuh 負責端點遙測與主動回應（如隔離主機）、Suricata 負責橫向流量檢測，統一由 SIEM（Wazuh Dashboard / Elastic Stack）呈現。

九、建立安全基線與自動化合規稽核

將上述措施標準化為 CIS Benchmarks、STIG 或自訂 Ansible Playbook/OpenSCAP 設定檔，納入 CI/CD 流程：

• 佈建階段自動套用基線；
• 定期掃描偏離度（Drift Detection）；
• 違規自動修復或觸發工單。

結語

工具與配置只是骨架，「安全意識」才是靈魂。定期演練應急響應、最小權限原則貫徹開發全生命週期、建立零信任網路架構，方能在攻防博弈中立於不敗之地。