常聽說「Linux 比 Windows 安全」，但連網的電腦絕無絕對安全。如同定期檢查圍牆，作業系統也需持續維護與強化。本文梳理強化系統的核心步驟與思維框架。
開始前的三個關鍵問題（因果鏈）
- 這台系統用於什麼目的？
- 需要運行哪些軟體/服務？
- 需防禦哪些漏洞或威脅？
前一題是後一題的原因，後一題是前一題的結果，務必想清楚再動手。
第一階段：從零開始，極小化安裝
- 重新分區：將數據與系統檔案分離，謹慎的安全措施。
- 最小安裝：僅保留啟動與必要工作套件。代碼越少，可被利用的漏洞越少 —— 沒人能利用不存在的漏洞。
- 全面打補丁：系統核心與所有應用程式皆需更新至最新。
- BIOS 鎖定：限制僅能從硬碟啟動，設定強健密碼保護，防物理接觸者從光碟/USB 啟動竊取權限。
- 自編核心：僅包含必要模組，極大降低核心被攻擊面。
第二階段：精簡服務，縮小攻擊面
- 檢查
/etc/init.d、/etc/rc.d/rc.local、cron 啟動項，關閉非必要服務（如 Samba、遠端存取等）。
- 用
netstat 或 Nmap 掃描監聽連接埠，確認僅開放必要埠口。
- 必要服務務必限制權限：以
chroot 隔離運行，與主檔案系統分離。
第三階段：嚴格權限控管與加密
- 最小權限原則：審計全系統，將每個檔案權限降至最低可行等級，任何人不可讀寫無關檔案。
- 敏感數據加密：靜態加密保護核心資產。
- Root 帳號強化：強密碼、知情者極少、定期換密、強制密碼到期策略。
- 清理預設帳號：移除或修改預設密碼。
第四階段：持續防護 —— 安全是過程而非專案
- 監控系統日誌，異常即時響應。
- 漏洞公開後最快速度打補丁。
- 訂閱安全公告，掌握最新威脅情資。
核心提醒
強化可能降低效率，關鍵在於找到「安全與可用性的平衡點」。本文展示可能性，無法面面俱到，管理者需根據實際業務持續調整。
