Linux 系統安全加固全景指南：文件系統、用戶管理、進程監控與日誌審計四大支柱

Linux 系統安全並非單一工具可解，而是一套纵深防禦體系。本文依託「文件系統完整性、用戶認證強化、進程行為監控、日誌審計追蹤」四大支柱，系統闡述企業級 Linux 安全加固的核心技術與工具實踐，涵蓋 Tripwire、John the Ripper、審計子系統、強制存取控制（MAC）等經典與前沿方案。

一、文件系統完整性：Tripwire 實戰部署

核心原理

Tripwire 採用 數位簽名（雜湊值）基線比對 機制：

1. 初始化階段：對受監控檔案/目錄計算雜湊值（支援 MD5、SHA-256 等），建立基線資料庫。
2. 檢查階段：重新計算當前雜湊值與基線比對，任何不一致即判定為被竄改。

可檢測：檔案內容修改、權限/屬主變更、檔案新增/刪除、時間戳竄改。

安裝與初始化流程

# 1. 編譯安裝（或使用套件管理器）
./configure && make && make install

# 2. 生成站點/本地金鑰
tripwire-setup-keyfiles

# 3. 初始化基線資料庫（需 root 權限）
tripwire --init

# 4. 定期/排程檢查
tripwire --check  # 全系統掃描
tripwire --check /etc /var/www  # 指定目錄掃描

關鍵配置檔

• /etc/tripwire/twcfg.txt：全域配置（郵件通知、報告格式、資料庫路徑）。
• /etc/tripwire/twpol.txt：策略檔，定義監控規則（嚴格/鬆散模式、忽略規則）。

最佳實踐：基線資料庫離線備份（如唯讀光碟、異地存儲），防止攻擊者同時竄改檔案與基線。

二、用戶認證強化：John the Ripper 密碼強度審計

工具定位

John the Ripper (JtR) 是開源密碼破解工具，支援 DES、MD5、SHA-256/512、bcrypt、NTLM 等數十種雜湊格式，跨平台（Linux/Unix/Windows/macOS）。防禦視角下，它是「密碼強度審計儀」——用攻擊者視角驗證防線。

安裝與基準測試

# 解壓進入 src 目錄
tar zxvf john-1.9.0.tar.gz && cd john-1.9.0/src
make clean linux-x86-64-avx2  # 根據 CPU 指令集選擇目標
cd ../run
./john --test  # 基準測試，輸出各雜湊類型破解速度

實戰審計流程

# 1. 單一模式（基於用戶資訊的字典變體攻擊，極快）
./john --single /etc/shadow

# 2. 字典攻擊（需優質字典檔，如 rockyou.txt）
./john --wordlist=/usr/share/wordlists/rockyou.txt /etc/shadow

# 3. 增量模式（暴力枚舉，極慢，最後手段）
./john --incremental /etc/shadow

# 4. 查看已破解密碼
./john --show /etc/shadow
# 輸出範例：user1:Password123:1000:1000::/home/user1:/bin/bash

加固對策

• 強制密碼複雜度：/etc/security/pwquality.conf 設定 minlen=12、dcredit=-1 等。
• 啟用 SHA-512 雜湊：authconfig --passalgo=sha512 --update（RHEL/CentOS）。
• 密碼存活期管理：/etc/login.defs 設定 PASS_MAX_DAYS=90、PASS_WARN_AGE=7。
• 鎖定失敗嘗試：pam_faillock.so 或 pam_tally2.so。

三、進程行為監控：內建命令組合拳

無需第三方 Agent，善用 Linux 內建工具即可構建基礎進程審計：

異常指標：非預期用戶啟動的高權限進程、異常網路連線（反向 Shell）、CPU/記憶體佔用異常飆升、偽裝系統進程名（如 kworker 實為挖礦程式）。

四、日誌審計體系：三大子系統與 syslog 架構

1. 連接時間日誌

• /var/run/utmp：當前登入用戶（二進制，who/w 讀取）。
• /var/log/wtmp：歷史登入/登出/重啟記錄（二進制，last 讀取）。

2. 進程統計日誌

/var/log/pacct（需啟動 acct 服務），記錄命令執行時間、CPU/記憶體用量、退出碼，lastcomm/sa 分析。

3. 錯誤/系統日誌（syslog 架構核心）

用戶程式 → syslog() 庫 → syslogd → /var/log/messages
內核訊息 → printk → 環形緩衝區 → klogd → syslogd → /var/log/kern.log

關鍵設施：rsyslog / syslog-ng 替代傳統 syslogd，支援 TLS 傳輸、結構化日誌、多目標路由（Elasticsearch、Kafka、SIEM）。

常用審計命令

last -n 20              # 最近 20 次登入
lastb -n 20             # 最近 20 次失敗登入
grep "Failed password" /var/log/secure | awk '{print $(NF-3)}' | sort | uniq -c | sort -rn  # 暴力破解 IP 統計
ausearch -m USER_LOGIN  # auditd 審計事件查詢（需安裝 auditd）

五、強制存取控制（MAC）：SELinux / RSBAC / AppArmor

傳統 DAC（自主存取控制，即 rwx 權限）無法防止 root 竄改關鍵檔案。MAC 由系統策略強制約束主體（進程）對客體（檔案/網路/裝置）的存取，即使 root 也受限。

建議：生產環境務必啟用 SELinux Enforcing 模式，配合 audit2allow 逐步調整策略，而非直接設為 Permissive 或 Disabled。

六、防火牆與網絡邊界

• iptables/nftables：主機級封包過濾，預設拒絕、最小權限開放。
• firewalld：動態區域管理，支援 Runtime/Permanent 分離。
• TCP Wrappers（/etc/hosts.allow/hosts.deny）：服務級存取控制，補充防火牆。
• VPN/Zero Trust：管理通道（SSH、RDP、Webmin）僅允許堡壘機/VPN 入口存取。

七、總結：纵深防禦檢查清單

1. ✅ 文件完整性：Tripwire/AIDE 基線+離線備份+定期掃描。
2. ✅ 認證強化：SHA-512、長密碼、失敗鎖定、JtR 定期審計。
3. ✅ 進程可視：ps/top/lsof/ss 日常巡檢，異常即查。
4. ✅ 審計留痕：rsyslog 集中收集、logrotate 防丟失、SIEM 關聯分析。
5. ✅ 強制存取：SELinux Enforcing，策略隨業務演進。
6. ✅ 網絡邊界：防火牆預設拒絕、管理口收斂、入侵檢測（Suricata/Snort）。

安全無終點，唯有持續構建、驗證、改進纵深防禦體系，才能在攻防博弈中守住 Linux 基礎設施的生命線。