Linux 系統安全加固五大核心措施：金鑰環、強制換密、SELinux、禁用 Root 登入與自動更新

前言：纏繞防禦的 Linux 基線配置

連網的 Linux 系統時刻面臨掃描、暴力破解、漏洞利用。以下五項措施構成最小可行性安全基線 (Minimum Viable Security Baseline)，適用於所有發布版。

1. 善用金鑰環保護網路傳輸憑證

• GNOME Keyring / KWallet 整合 SSH 金鑰、GPG 金鑰、Wi-Fi 密碼、瀏覽器儲存密碼
• 登入時解鎖金鑰環 (輸入登入密碼或專用金鑰環密碼)，後續網路連線自動提取憑證，避免明文儲存
• 無頭伺服器環境：使用 ssh-agent + keychain 管理 SSH Agent 轉發

2. 強制使用者定期輪換密碼

# 查詢密碼狀態
chage -l username

# 設定策略：最長 90 天、最短 7 天、過期前 14 天警告、非活動 30 天鎖定
chage -M 90 -m 7 -W 14 -I 30 -E $(date -d "+1 year" +%Y-%m-%d) username

# 批次套用 (謹慎)
# for u in $(awk -F: '$3>=1000 && $3<65534 {print $1}' /etc/passwd); do chage -M 90 -m 7 -W 14 $u; done

配合 /etc/login.defs 設定 PASS_MAX_DAYS、PASS_MIN_DAYS、PASS_WARN_AGE 為新用戶預設值。

3. 啟用並調優 SELinux (Security-Enhanced Linux)

• 勿停用 SELinux (許多教學錯誤建議 setenforce 0 或 selinux=0)，這會移除強制存取控制 (MAC) 整層防護
• 模式確認：getenforce → 應為 Enforcing
• 常見服務布林值調整：getsebool -a | grep httpd → setsebool -P httpd_can_network_connect 1
• 自訂策略模組：audit2allow -w -a 分析拒絕日誌 → audit2allow -M mymodule 產生 .pp → semodule -i mymodule.pp
• 圖形化工具：sealert -b (setroubleshoot)、system-config-selinux (policycoreutils-gui)

4. 禁止 Root 直接登入，實施最小權限原則

# SSH 設定 /etc/ssh/sshd_config
PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no
PermitEmptyPasswords no
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2

# 重載
systemctl reload sshd

• 日常操作使用一般帳號 + sudo (配置 /etc/sudoers 最小命令集)
• 緊急單用戶模式仍需 Root 密碼 (GRUB 密碼保護)
• 審計 /var/log/secure、journalctl -u sshd 追蹤特權提升

5. 自動化安全更新與漏洞修補

• 訂閱安全公告郵件清單：centos-announce, debian-security-announce, ubuntu-security-announce, redhat-watch-list
• 部署漏洞掃描：OpenVAS, Lynis, Vuls 定期掃描
• 容器環境：trivy, grype, syft 掃描映像漏洞

額外加固清單 (速查)

• 防火牆預設拒絕：iptables -P INPUT DROP / firewall-cmd --set-default-zone=drop
• 停用未用服務：systemctl disable --now cups bluetooth avahi-daemon
• 審計子系統：auditd 監控關鍵系統呼叫
• 檔案完整性：AIDE / Tripwire 建立基線
• 登入通知：pam_exec.so 發送 Telegram/Email 警報
• 核心參數：kernel.yama.ptrace_scope=1, kernel.kptr_restrict=2, vm.mmap_rnd_bits=32

結語

安全非產品、非一次性配置，而是持續的流程。這五大措施 (金鑰環、強制換密、SELinux、禁 Root、自動更新) 涵蓋了「憑證保護、身份認證、強制存取控制、最小權限、漏洞生命週期管理」五大核心面向。建議將其納入 Ansible/Playbook 基線角色，新機器上線即合規，並每季度複核審計。