Linux 系統安全管理十大實戰技巧：從文件系統屬性到蜜罐部署

前言：開源不等於不安全，配置才是關鍵

Linux 開源意味著代碼可審計、漏洞可快速修復，但默認安裝往往為「易用」犧牲「安全」。本文提煉十大硬核加固技巧，構建纵深防禦體系。

一、文件系統分區與屬性加固 — 基石防線

分區策略：隔離與只讀

• 獨立分區：/、/boot、/usr、/var、/tmp、/home、/opt 分離 — 防單一分區寫滿拖垮全盤、便於掛載屬性差異化。
• 只讀掛載：/usr、/boot、/lib、/sbin 掛載選項 ro,nodev,nosuid — 任何修改即觸發告警 (配合 auditd/fsmonitor)。
• 非執行掛載：/var、/tmp、/home、/dev/shm 加 noexec,nosuid,nodev — 防惡意腳本/二進制在數據目錄執行。

ext2/3/4 擴展屬性：不可變與只追加

chattr +i /etc/passwd /etc/shadow /etc/sudoers /bin/ls /bin/ps  # 關鍵二進制/配置不可變 (連 root 也不能改)
chattr +a /var/log/messages /var/log/secure /var/log/audit.log  # 日誌只能追加，防篡改/刪除
lsattr /etc/passwd  # 驗證屬性

原理：內核層面攔截 write/truncate/unlink 系統調用，攻擊者即使獲取 root 也無法修改受保護文件，除非重啟進單用戶模式清除屬性 — 這會觸發啟動告警。

日誌文件輪轉配合

logrotate 腳本中：舊日誌 chattr +i、新日誌 chattr +a，實現「寫時只追加、歷史不可改」。

二、系統完整性基線與離線驗證

• 安裝即基線：全盤掃描 sha256sum / aide --init / tripwire 生成數據庫，存儲於只讀介質 (光盤/只讀 USB/異地只讀存儲)。
• 定期/啟動時驗證：aide --check 對比當前狀態，任何未授權變更即時報警。
• 可啟動驗證光盤：制作含驗證腳本的 LiveCD，啟動即驗證 — 繞過已被植入的內核模塊/Rootkit。

三、內核級緩衝區溢出防護

方案 A：OpenWall / Grsecurity / PaX 內核補丁 (高階)

• 不可執行棧/堆 (NX/DEP)：阻斷代碼注入執行。
• 地址空間佈局隨機化 (ASLR)：隨機化棧/堆/庫/可執行文件基址，大幅提高 ROP 攻擊難度。
• StackGuard / SSP (GCC -fstack-protector-strong)：函數序言/尾聲插入金絲雀值，檢測棧溢出覆蓋返回地址。

代價：~5-15% 性能損耗、部分舊二進制不兼容 (需重編譯) — **高安全等級系統必上**。

方案 B：現代內核內建防護 (基線配置)

# /etc/sysctl.d/99-hardening.conf
kernel.randomize_va_space = 2          # 完全 ASLR
kernel.exec_shield = 1                 # 執行保護 (舊參數)
vm.mmap_rnd_bits = 32                  # mmap 基址隨機化位數
vm.mmap_rnd_compat_bits = 16           # 32 位兼容模式
kernel.kptr_restrict = 2               # 內核指針地址隱藏
kernel.dmesg_restrict = 1              # 非 root 禁用 dmesg
kernel.perf_event_paranoid = 3         # 限制 perf 事件
kernel.yama.ptrace_scope = 2           # 僅允許父進程 ptrace
net.core.bpf_jit_harden = 2            # eBPF JIT 硬化

四、訪問控制升級：從 DAC 到 MAC/RBAC

• ACL (setfacl/getfacl)：突破 UGO 三元組，支持任意用戶/組精細權限。
• SELinux (RHEL/Fedora 默認)：強制訪問控制 (MAC)、類型強制 (TE)、多級安全 (MLS) — **學習曲線陡峭但防護最強**，拒絕所有未授權操作 (含 root)。
• AppArmor (Ubuntu/SUSE 默認)：路徑基礎 MAC、配置文件較簡單、適合應用級限制 (如 MySQL、Nginx、Docker 容器)。
• RSBAC / Smack / TOMOYO：其他 MAC 實現，按場景選型。

五、陷阱與蜜罐 — 主動誘捕與早期預警

陷阱類型

• 被動陷阱：偽裝脆弱服務 (舊版 IMAP、phpMyAdmin、WordPress)、偽造敏感文件 (/etc/shadow.fake)、偽造管理後台 — 僅記錄、告警。
• 主動陷阱：觸發自動封禁 (iptables/ipset 拉黑 IP)、流量鏡像到分析平台、偽造數據誘導攻擊者浪費時間。

經典蜜罐部署

• Cowrie (SSH/Telnet 高交互蜜罐)：模擬完整 Shell 環境，記錄攻擊者輸入命令、下載樣本、暴力破解嘗試。
• Dionaea (多協議蜜罐)：SMB、HTTP、FTP、TFTP、MQTT，捕獲蠕蟲/漏洞利用樣本。
• Honeyd (低交互虛擬蜜罐)：單主機模擬數千虛擬主機，佈滿內網誘導掃描者。

核心價值：將攻擊者注意力從真實資產轉移、獲取 0-day 樣本/攻擊鏈、賦藍隊反應時間。

六、端口掃描預防與實時阻斷

• PortSentry / PSAD：偵測 SYN/Connect/NULL/FIN/Xmas 掃描，即時 iptables -A INPUT -s $ATTACKER -j DROP 或 route add -host $ATTACKER reject。
• 配合透明代理：將所有未用端口 DNAT 到 PortSentry，實現「全端口蜜罐」效果。
• 風險：誤判導致合法用戶被封 (如負載均衡健康檢查、監控探測) — **白名單機制必備**。

七、內核模塊簽名與鎖定

# 內核配置
CONFIG_MODULE_SIG=y
CONFIG_MODULE_SIG_ALL=y
CONFIG_MODULE_SIG_SHA512=y
CONFIG_MODULE_SIG_FORCE=y  # 強制只載入簽名模塊
# 運行時鎖定
echo 1 > /proc/sys/kernel/modules_disabled  # 禁用後續模塊載入 (不可逆，需重啟恢復)

防止 Rootkit 通過 insmod 載入惡意模塊 (隱藏進程/端口/文件、竊取憑證)。

八、審計子系統 — 全景可觀測

# 關鍵規則
-a always,exit -F arch=b64 -S execve -k exec_log          # 所有命令執行
-w /etc/passwd -p wa -k passwd_change                      # 關鍵文件讀寫
-w /etc/sudoers -p wa -k sudoers_change
-w /etc/ssh/sshd_config -p wa -k sshd_config_change
-a always,exit -F arch=b64 -S mount -k mount_operations    # 掛載操作
# 查詢
ausearch -k exec_log --start today
aureport --summary

九、網絡層面最小暴露

• 單網卡多 IP 替代多網卡：減少物理攻擊面。
• iptables/nftables 默認拒絕：-P INPUT DROP、-P FORWARD DROP，僅放行業務端口、管理跳板機 IP、監控探測 IP。
• 服務綁定特定 IP：Listen 192.168.1.10:22 (SSH 僅聽內網管理 IP)，bind-address = 127.0.0.1 (MySQL/Redis 僅本地)。
• 關閉 IPv6 (若未用)：sysctl -w net.ipv6.conf.all.disable_ipv6=1。

十、自動化合規與持續加固

• OpenSCAP / SCAP Security Guide：掃描 CIS Benchmark、STIG、PCI-DSS 合規性，生成修復腳本。
• Ansible/SaltStack/Puppet：基線配置即代碼，漂移自動糾正。
• Lynis：輕量級審計工具，每周掃描生成報告。

結語

安全不是產品，是流程。這十大技巧覆蓋存儲完整性、內核防護、訪問控制、主動誘捕、可觀測性、網絡暴露面、供應鏈信任、自動化合規 八大維度。從「安裝即加固」開始，讓每一台 Linux 都成為攻擊者難以逾越的堡壘。