遷移到 Linux 既令人興奮，也暗藏風險。許多新手管理員因疏忽基礎安全設定，導致系統暴露於攻擊之下。本文整理 10 大常見錯誤與對策，助你建立穩健防線。
直接編譯原始碼或安裝第三方二進制套件，會導致套件管理器（apt/dnf/pacman）無法追蹤相依關係。當系統更新核心套件時，手動安裝的軟體可能因相依版本不符而損壞。
對策：優先使用官方倉庫套件；必須自行編譯時，製作成原生套件格式（.deb/.rpm）再安裝，納入管理器追蹤。
誤以為 Linux 本身安全就無需維護。實則新漏洞層出不窮，未打補丁的系統極易遭自動化攻擊工具掃描入侵。
對策：啟用自動安全更新（如 unattended-upgrades），或建立每週手動更新排程：apt update && apt upgrade -y。
root 或 sudo 使用者密碼過於簡單，是暴力破解的首選目標。
對策：強制長度 ≥12 字元，混合大小寫、數字、符號。使用密碼管理器（KeePassXC、Bitwarden）儲存，避免重複使用。啟用 pam_pwquality 強制複雜度。
桌面環境佔用大量記憶體與 CPU，且擴大攻擊面（X11/Wayland 漏洞）。
對策：設定預設 runlevel 為 3（多使用者文字模式）：systemctl set-default multi-user.target
需要圖形時以 startx 啟動。
為了方便直接給予所有人讀寫執行權限，實則開放任意使用者植入惡意腳本或竊取資料。
對策：採用最小權限原則。理解 rwx 對應 4/2/1，常用權限：600（擁有者唯讀寫）、644（擁有者讀寫，其他讀）、755（執行檔標準）。
善用群組與 ACL（setfacl）精細控制。
升級套件（如 X11、Samba、Apache、MySQL）可能覆寫自訂設定，導致服務中斷。
對策：變更前備份至 /root/backup/（僅 root 可讀）：cp /etc/httpd/conf/httpd.conf /root/backup/httpd.conf.$(date +%F)
建立版本控制（etckeeper + git）追蹤 /etc 變更。
桌面程式以 root 權限執行，一旦程式漏洞被利用，攻擊者即取得完整系統控制權。
對策：日常以一般使用者登入，需要提權時使用 sudo 或 su -。圖形工具可用 pkexec 或 sudo -i 啟動。
核心更新不移除舊版，久而久之佔滿 /boot 分區，導致無法安裝新核心或啟動失敗。
對策：保留當前運行核心 + 1 個備用核心，其餘移除：apt autoremove --purge（Debian/Ubuntu）dnf remove $(dnf repoquery --installonly --latest-limit=-2 -q)（RHEL/Fedora）
僅依賴 GUI 管理工具，遇到無介面的伺服器環境或緊急修復時束手無策。
對策：熟練核心指令：systemctl、journalctl、ss、iptables/nft、find、grep、sed/awk、tar/rsync。建立個人指令筆記庫。
/var/log 記錄系統所有關鍵事件，是入侵偵測與故障排查的第一現場。
對策：定期檢視：journalctl -p err（系統錯誤）grep -i failed /var/log/secure（登入失敗）
部署 logwatch 或 Graylog/ELK 集中分析，設定異常警報。
安全非一蹴而就，而是持續的過程。避開這 10 大坑，配合最小權限、定期更新、日誌審計、備份演練，即可大幅降低被入侵風險。
