Linux 伺服器安全加固實戰：從啟動、登入、日誌、權限四大面向徹底防護

Linux 雖以安全著稱，但大多數入侵源於配置不當而非核心漏洞。本文彙整系統層面的加固清單，涵蓋啟動安全、登入控制、日誌稽核、檔案權限鎖定，幫助管理員建立纏深防禦。

一、系統安全日誌稽核

# 檢查 SSH/Teleport/FTP 暴力嘗試
grep refused /var/log/secure

# 發現異常立即採取對策：改用 SSH 取代 Telnet/rlogin

二、啟動與登入安全

1. BIOS 層面

• 設定 BIOS 密碼。
• 調整開機順序，**禁止從軟碟/USB 開機**。

2. 密碼政策

• 強制複雜度：長度 ≥ 12、大小寫數字符號混合。
• 定期輪換、禁止重複使用最近 10 組密碼。
• 絕不以明文記錄於任何位置。

3. 清理預設帳號

userdel  不需帳號
groupdel 不需群組

安裝完成即移除非必要的系統預設帳號（如 games、gopher 等），減少攻擊面。

4. 鎖定關鍵系統檔

chattr +i /etc/passwd
chattr +i /etc/shadow
chattr +i /etc/group
chattr +i /etc/gshadow

不可變屬性防止駭客竄改帳號/密碼檔提權。

5. 禁用 Ctrl+Alt+Del 重開機

# 編輯 /etc/inittab 註解掉：
# ca::ctrlaltdel:/sbin/shutdown -t3 -r now

# 鎖定啟動腳本權限
chmod -R 700 /etc/rc.d/init.d/*

6. 限制 su 提權

# 編輯 /etc/pam.d/su 新增：
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=wheel

# 只有 wheel 群組成員可 su root
usermod -G wheel admin

7. 隱藏登入資訊

# 編輯 /etc/rc.d/rc.local 註解掉輸出版本資訊的行
rm -f /etc/issue /etc/issue.net
touch /etc/issue /etc/issue.net

避免洩露核心版本、發行版等資訊協助駭客偵察。

三、網路服務極小化原則

• 關閉非必要服務（inetd/xinetd 下的 telnet、ftp、rsh 等）。
• 使用 netstat -tulnp 或 ss -tulnp 定期稽核監聽埠。
• 服務綁定特定介面（如 SSH 僅綁管理網段 IP）。

四、定期修補與自動化稽核

• 訂閱發行版安全公告，儘快套用核心與套件更新。
• 部署 AIDE/Tripwire 檢核關鍵檔案完整性。
• 啟用 auditd 記錄關鍵系統呼叫。

原則：預設拒絕、最小權限、纏深防禦、持續監控。安全無終點，唯有持續精進。