Linux 系統安全硬化十大方向實戰清單

一、最小化安裝與服務精簡

• 安裝時僅選擇 Minimal Install，避免多餘套件擴大攻擊面。
• 禁用非必要開機服務：

  # 查看運行級別 3 啟用的服務
  chkconfig --list | grep 3:on
  
  # 批量關閉（謹慎操作，建議逐個確認）
  for svc in $(chkconfig --list | awk '/3:on/{print $1}'); do
      chkconfig --level 3 $svc off
  done
  
  # 保留核心服務
  for svc in network syslog sshd; do
      chkconfig --level 3 $svc on
  done

二、內核參數優化 /etc/sysctl.conf

針對高併發、抗 SYN Flood、TIME_WAIT 優化的生產環境參數範例：

net.ipv4.tcp_fin_timeout = 2
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_keepalive_time = 600
net.ipv4.ip_local_port_range = 4000 65000
net.ipv4.tcp_max_syn_backlog = 16384
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.route.gc_timeout = 100
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
# 連接追蹤表擴大（適用於 NAT/防火牆高併發）
net.ipv4.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_max = 25000000
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 120
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 60
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 120

修改後執行 /sbin/sysctl -p 生效。

三、資源限制調整

# 文件描述符上限
echo '* - nofile 65535' >> /etc/security/limits.conf
# 亦可在 /etc/rc.local 加入 ulimit -SHn 65535 實現開機生效

四、SSH 硬化

# /etc/ssh/sshd_config
Port 2222                    # 修改非預設端口
PermitRootLogin no           # 禁止 root 遠程登入
PermitEmptyPasswords no      # 禁止空密碼
UseDNS no                    # 關閉 DNS 反解，加速登入

重啟 sshd 服務生效。

五、防火牆與 SELinux

• 具備公網 IP 的機器必須啟用 iptables/firewalld 並配置最小權限規則。
• SELinux 設為 Enforcing 模式，配合布林值微調服務權限。

六、賬戶與權限收斂

• 清理無用系統帳戶（如 games、gopher 等）。
• 鎖定敏感檔案：chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow（謹慎使用，影響後續用戶管理）。
• 配置 sudo 實現最小權限授權，避免共用 root。

七、時間同步

# 每 5 分鐘同步一次
echo '*/5 * * * * /usr/sbin/ntpdate time.windows.com >/dev/null 2>&1' >> /var/spool/cron/root

硬體時鐘同步：hwclock --systohc。

八、字符集與開發工具

# 修改語系
echo 'LANG="zh_CN.GB18030"' > /etc/sysconfig/i18n
source /etc/sysconfig/i18n

# 安裝開發工具鏈
yum groupinstall "Development Tools"
yum groupinstall "X Software Development"

總結

安全硬化是持續過程，而非一次性動作。建議建立基線模板，結合自動化工具（Ansible、SaltStack）批量部署並定期審計合規性。