Linux 伺服器安全加固 25 條實戰清單：從物理防護到審計監控

清單總覽

1. 物理/開機安全：BIOS 禁用外部啟動 + 設置密碼；GRUB 設置密碼。
2. 磁碟分區隔離：/, /boot, /usr, /var, /home, /tmp, /opt 獨立分區，第三方軟體裝 /opt。
3. 最小化安裝：yum remove/apt remove 非必要套件；chkconfig --list | grep '3:on' 檢查服務。
4. 網絡監聽審計：netstat -tulpn 關閉非必要埠。
5. SSH 強化：禁用 Root 登入、修改預設埠 (非 22)、僅允許特定用戶、強制 Protocol 2、金鑰認證。
6. 系統持續更新：yum update / apt upgrade 定時執行。
7. Cron 存取控制：/etc/cron.allow 白名單，/etc/cron.deny 黑名單 (寫 ALL 禁用所有)。
8. 禁用 USB 儲存：echo "install usb-storage /bin/true" > /etc/modprobe.d/no-usb。
9. 啟用 SELinux：setenforce 1，模式設為 Enforcing，善用 audit2allow 排查。
10. 移除桌面環境：yum groupremove "X Window System"，/etc/inittab 設 id:3:initdefault:。
11. 關閉 IPv6：/etc/sysconfig/network 加 NETWORKING_IPV6=no, IPV6INIT=no。
12. 密碼歷史策略：PAM pam_unix.so remember=5 禁止重用近 5 次密碼。
13. 密碼過期檢查：chage -l user、chage -M 60 -m 7 -W 7 user。
14. 帳號鎖定/解鎖：passwd -l user / passwd -u user (替代刪除帳號)。
15. 強制密碼複雜度：PAM pam_cracklib.so retry=3 minlen=8 lcredit=-1 ucredit=-2 dcredit=-2 ocredit=-1。
16. 啟用 iptables/nftables：預設拒絕，白名單放行業務埠。
17. 禁用 Ctrl+Alt+Del 重啟：/etc/inittab 註釋 ca::ctrlaltdel:/sbin/shutdown -t3 -r now。
18. 檢查空密碼帳號：awk -F: '($2==""){print $1}' /etc/shadow。
19. SSH 登入警告橫幅：/etc/issue.net、Banner /etc/issue.net in sshd_config。
20. 用戶行為審計：安裝 psacct/acct，lastcomm、sa 查詢。
21. 日誌集中化：轉發至專用日誌伺服器 (rsyslog/syslog-ng + Elasticsearch/Splunk)，防本地竄改。
22. 關鍵檔案異地備份：/etc, /var/spool/cron, 業務配置、資料庫備份至異地帶庫/雲存。
23. NIC Bonding 高可用：mode=0 (balance-rr) 或 mode=1 (active-backup)，防單點斷聯。
24. /boot 唯讀掛載：/etc/fstab 加 LABEL=/boot /boot ext2 defaults,ro 1 2，升級核心時暫改 rw。
25. 忽略 ICMP/Broadcast：/etc/sysctl.conf 加 net.ipv4.icmp_echo_ignore_all=1, net.ipv4.icmp_echo_ignore_broadcasts=1，sysctl -p 生效。

執行建議

• 以 Ansible/Playbook 將上述項目編碼為 **Idempotent 任務**，納入基線合規掃描 (OpenSCAP/Lynis)。
• 新機上架 → 自動化跑完 25 項 → 掃描報告 → 交付業務。
• 定期 (月/季) 掃描漂移，自動修復或工單處理。