Linux 安全加固實戰（二）：服務鎖定、日誌審計與入侵偵測

承接前篇，本文聚焦 NFS 限制、關鍵檔案權限收斂、遠端日誌部署、SSH/SCP 加密傳輸、系統快照與主機型入侵偵測（HIDS）等進階防護措施。

一、NFS 共享服務管控

• 鎖定 /etc/exports，預先定義允許共享目錄，禁止使用者任意匯出。
• 若僅需客戶端掛載，註釋啟動腳本 /etc/init.d/nfs 中 daemon rpc.nfsd 行以停用伺服端功能。

二、關鍵系統檔案權限與不可變屬性收斂

採用 chmod 收斂權限，chattr +i 賦予不可變屬性（防刪改），chattr +a 限制日誌僅能追加：

chmod 700 /bin/rpm
chmod 600 /etc/exports /etc/hosts.* /etc/shadow /etc/lilo.conf /etc/securetty /etc/ftpusers /etc/xinetd.conf /etc/inetd.conf /etc/crontab
chmod 644 /etc/passwd /var/log/messages /var/log/lastlog
chmod 750 /etc/pam.d /etc/ssh /etc/security /etc/rc.d/init.d
chmod 751 /var/log /etc/sysconfig
chmod 400 /etc/shutdown.allow /etc/sysctl.conf /etc/cron.*
chattr +i /etc/services /etc/group /etc/gshadow /etc/hosts.* /etc/xinetd.conf /etc/exports /bin/login
chattr +a /var/log/messages

三、遠端日誌伺服器與彩色分析

• 客戶端修改 /etc/sysconfig/syslog：SYSLOGD_OPTIONS="-r -m 0" 接收遠端日誌。
• 修改 /etc/syslog.conf：*.* @log_server_IP 轉發日誌副本。
• 使用 loco 彩色過濾器（loco /var/log/messages | more）高亮 root 操作與異常指令。
• 部署 logwatch 定期自動分析並郵件通報 root/sudo/telnet/ftp 登入情況。

四、SUID/SGID 与無主檔案審計

定期掃描並備份基準線：

find / -xdev -type f -perm +6000 > /root/backup/audit/suid.log
find / -xdev -nouser -o -nogroup > /root/backup/audit/nouser.log
find / -xdev -type f -perm -2 > /root/backup/audit/other.log

五、強制加密遠端管理與檔案傳輸

• 禁用 Telnet/R 系列指令，全面改用 SSH（TCP 22），Windows 端推薦 PuTTY。
• 大量檔案傳輸改用 SCP（WinSCP），極大量資料可考慮 ProFTPD 替代預設 WuFTPD。

六、系統完整性快照

部署 Tripwire（tripwire --init 建立資料庫，tripwire --check -M 定期比對異動並郵件通報），需依實際環境剪裁 twpol.txt 策略檔。

七、主機型入侵偵測

安裝 Snare（snare-core 守護程式 + 圖形介面），預設監控 root 操作、權限變更、敏感資料存取，可自訂規則。

八、輔助工具與管理準則

• Bastille： 互動式安全加固腳本集，可自動化前文多項設定。
• chkrootkit： 定期掃描已知 Rootkit 特徵碼，需頻繁更新特徵庫。
• Cron 自動化： 排程 Tripwire、chkrootkit 掃描並郵件通報。

九、基礎安全管理鐵律

1. 至少部署一台異構日誌伺服器。
2. 所有桌面機置於防火牆內，禁用數據機直撥網際網路。
3. 部署 IDS 並分佈多感測器。
4. 雙人備份管理員制度，禁用 root 直接登入、禁用 Telnet。
5. 所有變更留存文檔記錄。

安全無絕對，唯有纵深防禦與持續營運。