Linux 桌面安全九大實用技巧：從鎖屏到 SELinux 的纵深防護

前言：桌面安全往往被忽視，實則是數據洩露的高發區

「Linux 比 Windows 安全」不是免死金牌。正確配置纔能將固有優勢轉化為實際防護。以下九招，新手老手皆適用。

1. 鎖屏與登出 — 物理訪問控制第一道防線

• 多用戶環境：Linux 原生多用戶，離開座位必須鎖屏 (Super+L / 選單鎖定) 或登出。
• 鎖屏 vs 登出：鎖屏保留會話 (程序持續運行、下載不中斷)；登出釋放資源、更徹底。
  
  
• 自動鎖屏：設置閒置 5-10 分鐘自動鎖屏 (gsettings set org.gnome.desktop.screensaver lock-delay 300)。

2. 隱藏文件/目錄 — 視覺層面的最小權限

• 以 . 開頭即隱藏：mv adsl-stop .adsl-stop。
  
• 局限：ls -a、文件管理器「顯示隱藏文件」即可見 — **非加密、非權限控制**，僅防誤刪/誤閱。
• 真加密：gpg -c、veracrypt、ecryptfs (家目錄加密)、LUKS (全盤加密)。

3. 強口令策略 — 鑰匙要夠硬

• ≥16 位、大小寫+數字+符號、全系統唯一、定期輪換。
  
• 工具：pwgen -sy 20 1、keepassxc、bitwarden、系統內建 libpwquality 強制策略。
• Ubuntu/sudo 特權：用戶密碼即 sudo 提權密鑰，**口令強度直接決定系統防線強度**。

4. 禁用文件共享服務 — 關閉不必要的大門

• Samba (SMB/CIFS)、NFS、FTP、AFP — **桌面機極少需對外提供文件服務**。
• 啟用即意味著：開放端口、暴露文件系統權限、增加攻擊面 (永恆之藍、SMBGhost 等漏洞)。
• 需共享時：僅啟用只讀、限定 IP、強制認證、定時關閉。

5. 及時安裝安全更新 — 修補窗口期

• Linux 安全補丁發布速度極快 (小時級) — 拒絕更新 = 主動暴露已知漏洞。
• 圖形化更新器 (GNOME Software、KDE Discover、mintUpdate) 面板提醒，**勿忽視、勿延遲**。
• 生產機：unattended-upgrades (Debian/Ubuntu) / dnf-automatic (Fedora/RHEL) 自動安裝安全更新。

6. 安裝防病毒引擎 — 不為自己，為網絡鄰居

• Linux 病毒極少，但作為文件服務器/郵件網關/跳板機，可能傳播 Windows/宏病毒。
• ClamAV：開源、freshclam 自動更新病毒庫、clamdscan 守護進程掃描、集成 Postfix/Samba/Dovecot 實時掃描。
• 定期全盤掃描 + 入口掃描 (郵件/上傳/共享目錄)。

7. 啟用 SELinux/AppArmor — 強制訪問控制 (MAC)

• SELinux (Fedora/RHEL 默認 Enforcing)：類型強制 (TE)、角色基礎 (RBAC)、多級安全 (MLS) — **拒絕所有未授權操作，含 root**。
• AppArmor (Ubuntu/SUSE 默認)：路徑基礎、配置簡單、針對性限制高風險應用 (瀏覽器、容器、數據庫)。
• 誤區：「SELinux 影響性能/難配置」→ 現代硬件性能損耗 <1%，audit2allow 快速生成策略、**安全收益遠超成本**。
• 安裝時選擇啟用，或後續 setenforce 1 + /etc/selinux/config: ENFORCING。

8. /home 獨立分區/磁盤 — 數據與系統隔離

• 默認 /home 在根分區 — 系統崩潰/重裝/磁盤滿時數據同受波及；攻擊者知曉標準路徑易定向竊取。
• 方案：安裝時將 /home 掛載至獨立物理磁盤或邏輯卷 (LVM) —
  ① 系統重裝不動數據；② 獨立配額/備份/加密策略；③ 物理隔離提高竊取難度。
  遷移既有系統：單用戶模式 → 掛載新盤 → rsync -aX /home/ /mnt/newhome/ → 修改 /etc/fstab → 重啟驗證。

9. 禁用非必要服務 — 收縮攻擊面

• 桌面機**無需運行**：nfs-server、httpd/apache2、vsftpd、sshd (除非需遠程管理)、cups (無打印機)、avahi-daemon (無本地發現需求)、bluetooth (無藍牙設備)。
  
• 停用命令：systemctl disable --now nfs-server httpd vsftpd sshd cups avahi-daemon bluetooth。
• 檢查 /etc/inetd.conf (xinetd 服務) 註釋非必要項。
• 原則：默認拒絕，按需啟用 — 每個運行的服務都是潛在漏洞入口。

總結

這九招無需購買任何商業軟件，純配置即可實現：物理訪問控制、數據加密隔離、身份認證強化、服務暴露最小化、漏洞窗口期最小化、惡意代碼攔截、強制訪問控制、數據獨立存儲、攻擊面收縮。桌面安全，從「懶」開始克服。