Linux 系統安全入門十講：從服務精簡到滲透測試的完整加固路徑

面對日益複雜的網絡威脅，Linux 管理員必須建立系統性的安全知識體系。本文梳理十大核心加固主題，每講聚焦一個關鍵防禦面向，提供原理解析、配置實操、驗證方法與常見誤區，構建從入門到進階的完整學習路徑。

第零講：安全觀——縱深防禦，假設失陷

沒有絕對安全的系統，只有持續演進的防禦體系。核心原則：最小權限、最小安裝、最小暴露、持續監控、快速響應。

第一講：服務精簡——關閉一切非業務必需端口

• xinetd 服務：編輯 /etc/xinetd.d/ 下各服務文件，設置 disable = yes
• Systemd 服務：systemctl disable --now 服務名
• 端口掃描驗證：nmap -sS -p- localhost 僅顯示業務端口

第二講：訪問控制——PAM、影子密碼、雙因子認證

• 啟用 /etc/shadow，設置 SHA-512 加密（/etc/login.defs ENCRYPT_METHOD SHA512）
• PAM 模組鏈：pam_faillock.so 鎖定、pam_pwquality.so 複雜度、pam_google_authenticator.so TOTP
• 限制 su 僅允許 wheel 組：auth required pam_wheel.so use_uid

第三講：內核與補丁——保持最新、精簡編譯、啟用硬化選項

• 訂閱發行版安全公告（Red Hat RHSA、Ubuntu USN、Debian DSA）
• 內核參數硬化 /etc/sysctl.d/99-hardening.conf：

  net.ipv4.tcp_syncookies = 1
  net.ipv4.conf.all.rp_filter = 1
  net.ipv4.conf.all.accept_redirects = 0
  kernel.kptr_restrict = 2
  kernel.dmesg_restrict = 1
  fs.protected_hardlinks = 1
  fs.protected_symlinks = 1

• 啟用 Kernel Live Patching（KLP）實現免重啟修補

第四講：密碼審計——以攻代守，建立口令策略

• 策略：長度≥12、四類字符、禁用字典詞、90天輪換、歷史記憶 10 代
• 工具：John the Ripper、Hashcat 定期對 /etc/shadow 審計
• 鍵盤走勢、個人信息、常見模式（Password@123）列入禁用字典

第五講：文件完整性——AIDE 基線與實時監控

# 初始化
aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

# 定期檢查（加入 cron）
0 3 * * * /usr/sbin/aide --check | mail -s "AIDE Report" root

監控範圍：/bin、/sbin、/lib、/etc、/usr/bin、/usr/sbin、/boot。

第六講：網絡訪問控制——iptables/nftables 精細規則

• 默認拒絕：iptables -P INPUT DROP、iptables -P FORWARD DROP
• 狀態檢測：iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
• SSH 限源：iptables -A INPUT -s 10.0.0.0/8 -p tcp --dport 22222 -j ACCEPT
• 日誌審計：iptables -A INPUT -j LOG --log-prefix "IPT_DROP: "

第七講：強制訪問控制——SELinux/AppArmor 實戰

• RHEL/CentOS：setenforce 1、sestatus 確認 Enforcing 模式
• Ubuntu：aa-status 確認 profiles loaded
• 定製策略：audit2allow 分析拒絕日誌生成模組、aa-genprof 學習模式生成配置

第八講：審計與日誌——auditd + 集中化日誌平台

# 關鍵審計規則 /etc/audit/rules.d/key.rules
-w /etc/passwd -p wa -k passwd_changes
-w /etc/shadow -p wa -k shadow_changes
-w /etc/sudoers -p wa -k sudoers_changes
-a always,exit -F arch=b64 -S execve -k exec_commands

日誌轉發：rsyslog / filebeat → Elasticsearch/Graylog/Splunk，防止本地竄改。

第九講：漏洞管理——掃描、評級、修補、驗證閉環

• 工具：OpenVAS、Nessus、Lynis 定期掃描
• 流程：掃描 → CVSS 評級 → 風險驗收/修補 → 回歸驗證 → 基線更新
• 容器鏡像掃描：Trivy、Clair、Grype 集成 CI/CD

第十講：應急響應——預案、演練、取證、復盤

• 預案五階段：準備、識別、遏制、根除、恢復、復盤（PIR）
• 工具箱：GRR 遠程取證、Volatility 內存分析、chkrootkit/rkhunter Rootkit 掃描
• 季度紅藍對抗演練，驗證檢測與響應能力

學習路線圖：第 1-3 講（基線加固） → 第 4-6 講（持續管控） → 第 7-8 講（進階防禦） → 第 9-10 講（體系化運營）。每講配合實驗環境練習，三個月可建立扎實安全技能樹。