Linux 系統安全九大鐵律：從最小權限到纏繞防禦的實戰準則

前言：安全是流程，而非產品

Bruce Schneier 名言：「安全是一個過程，而不是一個產品。」以下九條準則提煉自無數實戰經驗，構成 Linux 系統管理員的行為基線。

鐵律 1：嚴禁 Root 日常操作

• 建立個人帳號，加入 wheel/sudo 群組
• 透過 sudo 執行特權任務，留下審計軌跡 (/var/log/secure)
• 降低誤執行 rm -rf / 等毀滅性指令風險
• 圖形介面同理：勿以 Root 登入 GNOME/KDE

鐵律 2：遠端管理全程加密 — 強制 SSH，禁用明文協定

• SSH 強化：PermitRootLogin no, PasswordAuthentication no, PubkeyAuthentication yes, Port 非 22, AllowUsers/AllowGroups

鐵律 3：關鍵套件保持最新 — 訂閱上游安全公告

• 核心套件：kernel, glibc, openssl, openssh, systemd, sudo, polkit, bind, postfix, nginx, apache, mariadb/postgresql
• 訂閱來源：distro-security-announce 郵件清單、CVE RSS、GitHub Security Advisories
• 自動化：dnf-automatic/unattended-upgrades 僅套用 security 更新

鐵律 4：最小化網路暴露面 — 關閉非必要服務

# 掃描監聽埠
ss -ltnp | grep LISTEN
netstat -ltnp | grep LISTEN

# 典型應關閉服務 (視用途)
systemctl disable --now cups bluetooth avahi-daemon rpcbind nfs-server
# 僅在必要介面綁定
# /etc/ssh/sshd_config: ListenAddress 10.0.0.1
# /etc/my.cnf: bind-address = 127.0.0.1

鐵律 5：驗證軟體完整性 — RPM/DPKG 簽名檢查

# RPM (RHEL/Fedora/SUSE)
rpm --checksig package.rpm
# 導入廠商 GPG Key
rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release

# DEB (Debian/Ubuntu)
dpkg-sig --verify package.deb
apt-key list

• 啟用 gpgcheck=1 (yum/dnf) / APT::Get::AllowUnauthenticated false
• 自建倉庫同樣簽名：createrepo_c --sign, dpkg-sig --sign

鐵律 6：備份必須可還原 — 定期演練恢復

• 3-2-1 原則：3 份副本、2 種媒介、1 份異地
• 備份內容：/etc、/home、/var/lib (資料庫)、/opt (應用)、資料庫邏輯備份
• 工具：rsync, restic, borgbackup, Timeshift (系統快照), Velero (K8s)
• 每季度至少一次完整恢復演練，驗證 RTO/RPO

鐵律 7：日誌集中化與自動化分析

• 本地：rsyslog/systemd-journald 結構化日誌
• 集中：Elastic Stack (ELK), Loki + Promtail, Graylog, Splunk
• 關鍵規則：SSH 失敗、sudo 使用、防火牆拒絕、核心異常、檔案完整性變更
• 腳本範例：awk '/Failed password/ {print $NF}' /var/log/secure | sort | uniq -c | sort -nr

鐵律 8：纏繞防禦 — 防火牆 + TCP Wrappers + 應用層防護

• 主機防火牆：nftables (現代) / iptables / firewalld / ufw — 預設拒絕、最小開放
• TCP Wrappers：/etc/hosts.allow, /etc/hosts.deny — 服務級存取控制 (支援 libwrap 的服務)
• 應用層：ModSecurity (WAF), Fail2Ban (暴力破解), AppArmor/SELinux (MAC)
• 網路分段：VLAN、防火牆區域、Zero Trust 微隔離

鐵律 9：冗餘告警優於靜默失效 — 多通道通知機制

• 通知管道：Email、Telegram Bot、Slack Webhook、钉钉/企業微信、PagerDuty、Opsgenie
• 分級：Critical (立即電話/簡訊)、Warning (即時 IM)、Info (每日匯總)
• 避免告警疲勞：調整閾值、抑制風暴、自動關聯 (Alertmanager)
• 「沒消息不代表平安」，主動巡檢 (Lynis, Tiger, CIS Benchmark) 不可少

結語

九大鐵律環環相扣：最小權限 (1) → 加密通道 (2) → 修補漏洞 (3) → 縮小暴露 (4) → 供應鏈信任 (5) → 資料可恢復 (6) → 可見性 (7) → 多層阻隔 (8) → 持續感知 (9)。將其內化為日常操作習慣、自動化為 Ansible Playbook、固化為 CI/CD 門禁、審計為季度合規檢查，才能在攻防對抗中立於不敗之地。