Linux 系統安全強化十大絕招：從服務精簡到入侵追蹤

Linux 雖具功能、價格、效能優勢，但開放原始碼特性帶來安全隱憂。無廠商擔保安全，用戶須自行防護。本文提供十大最基礎、常用且高效的安全強化招數，招招實戰有效。

第 1 招：取消不必要的服務

檢查 /etc/inetd.conf，在不需服務前加 # 註解。除 http、smtp、telnet、ftp 外，tftp、imap/ipop、gopher、daytime、time、finger、efinger、systat、netstat 等均建關閉。這類服務雖利除錯，卻為駭客提供情報（如 finger 洩露用戶電話、目錄）。同樣檢查 /etc/services 連埠設定。對於常駐服務（NFS、NNTP news），需修改 /etc/rc.d/rc[n].d/ 或用 Run-level-editor 關閉。

第 2 招：限制系統存取 - 影子密碼與 PAM

/etc/passwd 可被所有用戶讀取，雖加密但易遭暴力破解。解決方案：

• 影子密碼 /etc/shadow：僅允許特權用戶讀取，但需重編譯所有公用程式
• PAM (Pluggable Authentication Modules)：最佳替代方案，模組化封裝驗證邏輯，無需重編譯程式即可支援影子密碼，並提供：更強加密演算法、用戶資源上限、登入時間地點限制等功能。花費數小時安裝配置 PAM，即能大幅提升安全性。

第 3 招：保持最新核心

核心控制電腦與網路功能，安全性至關重要。2.0.x 以上版本較穩定安全。編譯核心時僅選必要功能，避免龐大核心佔用資源並增加攻擊面。持續關注安全新聞組，及時套用修補程式。

第 4 招：檢查登入密碼強度

密碼破解程式（如 crack）將字典單字加密後與 /etc/passwd 或 /etc/shadow 比對。管理員應先行執行破解工具，發現弱密碼即要求用戶修改，勝過被駭客破解後再補救。

第 5 招：設定用戶帳號安全等級

• 依需求賦予最小權限，歸入適當群組
• /etc/hosts.allow（允許清單）、/etc/hosts.deny（拒絕清單）控制存取，修改後重啟 inetd
• 帳號專人負責，員工離職即刻刪除帳號
• 嚴控 root 權限：/etc/securetty 僅允許本地虛擬主控台以 root 登入，遠端需先以一般帳號登入再 su 切換

第 6 招：消除駭客溫床 - 禁用 r* 指令

rlogin、rsh、rcp 等 r* 開頭指令依賴 .rhosts/hosts.equiv 認證，極度危險。確保 root 不在這些檔案中。PAM 可在 /etc/pam.d/rlogin 加入驗證要求，廢除用戶 .rhosts 功能。

第 7 招：強化防護工具 - 部署 SSH

SSH (Secure Shell) 以公開金鑰加密通訊，安全取代 rlogin、rsh、rcp。支援 Linux-Linux、Windows-Linux 安全連線與檔案傳輸。

第 8 招：限制超級用戶權力 - sudo 細粒度授權

sudo 讓一般用戶以自有密碼取得有限 root 權限執行特定指令（如備份人員僅能執行備份指令）。所有 sudo 操作均記錄日誌（成功與失敗），便於追蹤責任。注意：簡單指令（如 cat）若未限制，獲 root 權限後仍可竄改關鍵檔案。

第 9 招：追蹤駭客蹤跡 - 日誌分析關鍵指標

定期檢查系統日誌、網路連線日誌、FTP 日誌、登入日誌，重點關注：

• 半夜異常登入
• 日誌中斷、被刪除
• 陌生 IP 存取
• 連續失敗登入且有規律（暴力破解特徵）
• 異常 su 指令使用
• 非預期重開機或服務重啟

第 10 招：共同防禦 - 防火牆與綜合策略

無絕對安全系統。以上措施可擋住機會型攻擊，但頂尖駭客需結合防火牆、入侵偵測系統（IDS）等多層防禦，才能確保萬無一失。