家用 Linux 實戰安全指南：防毒、防火牆、反垃圾郵件三重防護

資安人人有責。即使使用 Linux，面對網路釣魚、勒索軟體、垃圾郵件洪流，同樣需要建立完整防護體系。本文從威脅模型出發，剖析 Linux 固有安全優勢與殘留風險，推薦開源免費三件套：**ClamAV (防毒) + iptables/L7-filter (防火牆) + ASSP (反垃圾郵件)**，並說明部署要點與運維心法。

一、威脅模型與 Linux 安全本質

為何 Linux 較 Windows 安全？

1. 權限模型預設安全：用戶日常操作非 root，惡意程式無法竄改系統檔、安裝服務、修改啟動項
2. 軟體安裝機制：套件管理器簽名驗證、依賴解析、非特權安裝 (用戶目錄)，降低供應鏈攻擊面
3. 開源透明度：漏洞曝光快、修補快、無隱藏後門風險
4. 生態多樣性：發行版、核心版本、架構差異大，單一惡意代碼難大規模感染

殘留風險：別以為免疫

• 使用者空間威脅：瀏覽器漏洞、惡意腳本、釣魚網站盜取帳號、用戶資料加密勒索 (僅影響用戶目錄)
• 橫向傳播跳板：Linux 主機感染 Windows 病毒 (郵件附件、Samba 共享檔案)、成為「無症狀攜帶者」傳染 Windows 用戶
• 伺服器暴露面：自架 Web/郵件/Samba/FTP 伺服器若配置不當，成入侵入口
• 供應鏈攻擊：AUR/PPA/第三方倉庫惡意套件、編譯環境投毒 (極罕見但高影響)

二、防毒：ClamAV —— 開源反病毒引擎標桿

部署模式

關鍵維運

# 更新病毒碼 (每日自動)
freshclam --daemon --checks=24
# 手動更新
freshclam
# 掃描並移動感染檔
clamscan -r --move=/quarantine /home
# 整合 cron 定期全盤掃描
0 3 * * 0 clamscan -r --quiet --log=/var/log/clamscan.log /home /var/spool

三、防火牆：iptables + L7-filter —— 從埠口到應用層的纵深防禦

基礎 iptables 策略 (家用閘道/單機)

#!/bin/bash
IPT=/sbin/iptables
LAN=eth0
WAN=eth1

# 清空
$IPT -F; $IPT -X; $IPT -t nat -F; $IPT -t nat -X
# 預設策略
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT ACCEPT

# 允許回環與已建立連線
$IPT -A INPUT -i lo -j ACCEPT
$IPT -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 允許內網管理 (SSH、Webmin 等)
$IPT -A INPUT -i $LAN -p tcp --dport 22 -j ACCEPT
$IPT -A INPUT -i $LAN -p tcp --dport 10000 -j ACCEPT

# 允許必要 ICMP
$IPT -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
$IPT -A INPUT -p icmp --icmp-type time-exceeded -j ACCEPT

# 閘道模式：NAT + 轉發
$IPT -t nat -A POSTROUTING -o $WAN -j MASQUERADE
echo 1 > /proc/sys/net/ipv4/ip_forward
$IPT -A FORWARD -i $LAN -o $WAN -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
$IPT -A FORWARD -i $WAN -o $LAN -m state --state ESTABLISHED,RELATED -j ACCEPT

L7-filter：應用層識別與控制

核心模組 ipt_layer7 支援識別 **HTTP、BitTorrent、Skype、SSL、DNS、SSH、SMTP、POP3、IMAP、游戲協定** 等 100+ 協定特徵，實現：

• 封鎖 P2P/視訊會議佔用頻寬
• 識別非標準埠口服務 (SSH 跑 443、HTTP 跑 8080)
• QoS 標記分類 (--qos-mark)

# 封鎖 BitTorrent
$IPT -A FORWARD -m layer7 --l7proto bittorrent -j DROP
# 標記 HTTP 流量優先
$IPT -t mangle -A FORWARD -m layer7 --l7proto http -j MARK --set-mark 10

注意： L7-filter 需核心支援、規則庫更新、高負載下有效能影響，現代替代方案為 **nDPI / Zeek / Suricata** (用戶態 DPI)。

四、反垃圾郵件：ASSP (Anti-Spam SMTP Proxy) —— 郵件閘道首選

架構定位

Internet → [ASSP:25] → [Postfix/Exchange:10025] → 用戶信箱
                  ↑
            Bayesian 學習 + 白/黑名單 + SPF/DKIM/DMARC + DNSBL + 病毒掃描整合

核心功能

• **貝葉斯自學習**：用戶標記垃圾/正常郵件自動訓練模型
• **多層過濾**：DNSBL (Spamhaus 等)、SPF/DKIM/DMARC 驗證、URIBL、灰名單、附件類型封鎖
• **整合 ClamAV**：郵件病毒即時掃描
• **Web 管理介面**：即時日誌、規則調整、郵件釋放、統計報表
• **輕量級**：Java 編寫，跨平台，資源佔用低

部署要點

1. 下載 assp.zip，解壓，執行 java -jar assp.jar
2. Web 介面預設 https://host:55555，設定管理密碼
3. 配置上游郵件伺服器 (Postfix smtpd_recipient_restrictions 加入 check_policy_service inet:127.0.0.1:55555 或直接改 Postfix 埠口轉發)
4. 設定 DNSBL 白名單避免誤攔自家域名
5. 引導用戶轉寄垃圾郵件至 spam@domain、正常郵件至 ham@domain 參與訓練

五、家用安全三重奏部署清單

六、運維心法：安全是過程而非產品

1. 最小暴露：關閉不需服務、封鎖不需埠口、禁用不需協定
2. 持續更新：核心、套件、病毒碼、規則庫、DNSBL 自動化更新
3. 日誌審計：集中日誌、關鍵事件告警、定期複盤
4. 備份驗證：3-2-1 原則、定期演練還原、離線備份防勒索
5. 用戶教育：識別釣魚、不執行不明腳本、強密碼+2FA、分級備份

Linux 給您更安全的起點，但**安全上限取決於您的配置與運維投入**。從今天開始，為家用網路加上這三重防護盾。