Linux 系統安全加固十大實戰招式：從服務精簡到入侵檢測

Linux 開源特性雖帶來靈活性，也暴露更大攻擊面。無廠商兜底的安全責任，迫使管理員必須掌握系統級防禦技能。本文提煉十大高性價比加固措施，涵蓋服務精簡、訪問控制、內核維護、密碼審計、日誌審計、入侵檢測等核心領域，招招落地可執行。

招式一：精簡服務，縮小攻擊面

檢查 /etc/inetd.conf（或 /etc/xinetd.d/），保留僅 HTTP、SMTP、SSH、FTP 等業務必需服務，註釋掉 TFTP、IMAP/POP、Gopher、Daytime、Time、Finger、Systat、Netstat 等高風險服務。同步審查 /etc/services 端口映射。對於獨立守護進程（NFS、NNTP 等），通過 /etc/rc.d/rc*.d/ 或 systemctl disable 禁用。

招式二：強化訪問控制，啟用影子密碼與 PAM

/etc/passwd 全局可讀易遭暴力破解，必須啟用 /etc/shadow 僅 root 可讀。傳統方式需重編譯所有程序，現代系統通過 PAM (Pluggable Authentication Modules) 動態載入認證模組，無需重編譯即可：支援更強加密算法（SHA-512/Yescript）、限制用戶資源配額、限制登入時間/終端。花幾小時配置 PAM，收益巨大。

招式三：內核保持最新且精簡

2.0.x 之前內核已知漏洞眾多。編譯內核時僅選擇必要功能，拒絕「全選」導致體積膨脹與攻擊面擴大。訂閱安全郵件列表（如 LKML、distro 專屬安全公告），第一時間應用補丁。

招式四：密碼審計，以攻代守

使用 crack、John the Ripper 等工具對 /etc/shadow 進行字典攻擊、混合攻擊、暴力破解測試，主動發現弱口令並強制修改。超級用戶密碼必須：12+ 字符、大小寫數字特殊符號混合、非字典詞、定期輪換。

招式五：異常登入監控與告警

部署 fail2ban 或 sshguard 自動封禁暴力破解 IP。配置 /var/log/secure、/var/log/auth.log 實時分析，異地登入、非工作時間登入、多次失敗觸發告警。

招式六：關鍵文件完整性檢測

使用 AIDE 或 Tripwire 建立系統關鍵文件（/bin、/sbin、/etc、/usr/bin 等）基線數據庫，定期掃描對比，發現未授權修改立即告警。

招式七：網絡層面訪問控制

iptables/nftables 實施最小開放原則：僅開放業務端口，SSH 限制來源 IP 段，ICMP 回應可選擇性禁用。部署 psad 進行端口掃描檢測與自動封禁。

招式八：審計子系統與日誌集中化

啟用 auditd 記錄關鍵系統調用（文件訪問、權限變更、用戶登入）。日誌轉發至集中式日誌平台（ELK、Graylog、Splunk），防止本地日誌被攻擊者篡改刪除。

招式九：強制訪問控制（MAC）

生產環境強烈建議啟用 SELinux（RHEL/CentOS/Fedora 預設）或 AppArmor（Ubuntu/SUSE 預設），將進程限制在最小權限域內，即使 root 被攻破也能限制橫向移動。

招式十：定期滲透測試與應急演練

引入 OpenVAS、Nessus 掃描漏洞，年度委託第三方滲透測試。制定並演練應急預案：識別、遏制、根除、恢復、復盤五階段流程。

總結：安全非一次性動作，而是持續迭代的體系工程。十大招式構建「縱深防禦」體系，配合自動化工具鏈，將安全成本降至最低，將風險控制在可接受範圍。