Linux系统安全加固实战：从内核到应用的全方位防护-三亩地-编程学习日记

1. Linux系统安全概述

作为一名在Linux运维领域摸爬滚打十年的老手，我见过太多因为基础安全疏忽导致的惨痛教训。去年某金融公司就因未及时修补Samba漏洞，导致内网被渗透，直接损失超两千万。Linux系统安全绝非只是"改个root密码"那么简单，它是一套从内核加固到应用防护的完整体系。

现代Linux安全涉及五个核心层面：内核级防护（如SELinux/AppArmor）、用户权限管理、网络安全配置、服务加固和日志监控。每个生产环境都需要根据业务特点定制安全策略，比如Web服务器要重点防范SQL注入，而数据库服务器则需严防未授权访问。

提示：不要迷信"Linux比Windows安全"的传言。根据我处理过的数百起安全事件，90%的Linux入侵都源于配置不当而非系统漏洞。

2. 用户与权限管理实战

2.1 用户账户安全基线

刚接手服务器时，我做的第一件事就是执行以下命令：

# 检查空密码账户 awk -F: '($2 == "") {print $1}' /etc/shadow # 锁定非必要账户 usermod -L games

建议为每个管理员创建独立账户，并通过sudo授权特定命令。这是某次应急响应中学到的教训：当某个管理员账号被爆破后，攻击者因sudo限制无法执行rm -rf /*。

2.2 密码策略强制实施

在/etc/login.defs中设置：

PASS_MAX_DAYS 90 PASS_MIN_DAYS 7 PASS_WARN_AGE 14

配合pam_cracklib模块实现密码复杂度检查：

# /etc/pam.d/system-auth password requisite pam_cracklib.so try_first_pass retry=3 minlen=12 difok=3 ucredit=-1 lcredit=-1 dcredit=-1

注意：避免使用常见字典词作为密码。去年某企业被入侵，就是因为使用了"Qwerty@123"这类常见组合。

3. 网络安全加固方案

3.1 防火墙策略优化

我习惯用nftables替代传统的iptables，它的优势在于：

# 创建基础规则集 nft add table inet filter nft add chain inet filter input { type filter hook input priority 0 \; policy drop \; } nft add rule inet filter input ct state established,related accept nft add rule inet filter input iif lo accept nft add rule inet filter input tcp dport {22,80,443} accept

对于云服务器，务必同时配置安全组规则。曾遇到案例：虽然本地防火墙放行了Redis端口，但云平台安全组未配置，导致运维人员误以为服务已受保护。

3.2 SSH服务深度防护

建议修改/etc/ssh/sshd_config：

Port 2222 # 非标准端口 PermitRootLogin no MaxAuthTries 3 LoginGraceTime 1m AllowUsers admin1 admin2

配合fail2ban实现自动封禁：

# /etc/fail2ban/jail.local [sshd] enabled = true maxretry = 3 bantime = 1h

4. 内核级安全防护

4.1 SELinux实战配置

多数人觉得SELinux复杂，其实掌握几个关键命令就能应对日常需求：

# 查看当前状态 sestatus # 修改布尔值允许HTTP访问家目录 setsebool -P httpd_enable_homedirs on # 修复文件上下文 restorecon -Rv /var/www/html

遇到权限问题时，使用ausearch -m avc -ts recent查看详细拒绝日志。某次Apache无法读取配置文件，正是通过这个命令发现上下文标签错误。

4.2 内核参数调优

在/etc/sysctl.conf中添加：

# 防SYN洪水攻击 net.ipv4.tcp_syncookies = 1 # 禁止ICMP重定向 net.ipv4.conf.all.accept_redirects = 0 # 防ARP欺骗 net.ipv4.conf.all.arp_ignore = 1

执行sysctl -p生效后，可用sysctl -a | grep net.ipv4验证。这些参数在金融行业等保测评中是必检项。

5. 服务与应用层防护

5.1 Web服务器加固

以Nginx为例，必须做的安全配置：

server_tokens off; add_header X-Content-Type-Options nosniff; add_header X-Frame-Options SAMEORIGIN; client_body_buffer_size 16k; client_max_body_size 1m;

对于PHP应用，需设置：

expose_php = Off disable_functions = exec,passthru,shell_exec,system open_basedir = /var/www/html

5.2 数据库安全实践

MySQL安全基线包括：

-- 删除匿名账户 DELETE FROM mysql.user WHERE User=''; -- 设置root密码 ALTER USER 'root'@'localhost' IDENTIFIED BY '复杂密码'; -- 创建应用专用账户 CREATE USER 'appuser'@'192.168.1.%' IDENTIFIED BY '应用密码';

重要数据务必启用加密功能：

CREATE TABLE users ( id INT PRIMARY KEY, data VARBINARY(255) ) ENCRYPTION='Y';

6. 入侵检测与应急响应

6.1 日志集中监控

配置rsyslog转发到中央服务器：

# /etc/rsyslog.conf *.* @192.168.1.100:514

关键日志监控项包括：

认证日志：/var/log/auth.log
sudo使用记录：/var/log/sudo.log
应用错误日志：各服务专属日志路径

6.2 文件完整性检查

使用AIDE建立基准数据库：

aide --init mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz # 定期检查 aide --check

发现异常时，立即执行：

断开网络连接
备份当前系统状态
分析入侵路径
根据业务影响决定修复方案

7. 自动化安全运维

7.1 安全补丁管理

建立自动化更新策略：

# 配置无人值守更新 apt-get install unattended-upgrades echo 'Unattended-Upgrade::Allowed-Origins { "${distro_id}:${distro_codename}-security"; };' > /etc/apt/apt.conf.d/50unattended-upgrades

7.2 合规性自动检查

使用OpenSCAP进行基线核查：

oscap oval eval --results oval-results.xml \ --report report.html \ /usr/share/openscap/content/ssg-rhel7-ds.xml

将检查结果集成到监控系统，对不符合项自动生成工单。这套机制在某次等保2.0测评中帮助我们三天内完成全部整改。

8. 物理与环境安全

8.1 BIOS与启动防护

服务器物理安全要点：

设置BIOS密码
禁用USB启动

配置GRUB密码：

grub2-mkpasswd-pbkdf2 # 在/etc/grub.d/00_header添加 set superusers="admin" password_pbkdf2 admin [生成的哈希]

8.2 备份策略实施

我的3-2-1备份原则：

3份副本（生产+本地备份+异地备份）
2种介质（SSD+磁带）
1份离线存储

使用rsync实现差异备份：

rsync -avz --delete --backup --backup-dir=/backup/incr/$(date +%Y%m%d) \ /data/ /backup/full/

9. 容器安全特别考量

9.1 Docker安全配置

容器环境需特别注意：

# 禁止特权模式 docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE nginx # 启用用户命名空间 echo "dockremap:165536:65536" >> /etc/subuid

9.2 Kubernetes安全实践

关键配置项包括：

# Pod安全策略 apiVersion: policy/v1beta1 kind: PodSecurityPolicy spec: privileged: false readOnlyRootFilesystem: true runAsUser: rule: MustRunAsNonRoot

10. 持续安全改进

建立安全运维闭环：

每周漏洞扫描：使用Nessus或OpenVAS
每月渗透测试：雇佣第三方团队
每季度安全培训：针对新威胁场景
每年红蓝对抗：检验整体防御体系

最后分享一个真实案例：某次例行检查中发现cron任务里藏着恶意脚本，攻击者利用Ansible漏洞植入了挖矿程序。这提醒我们，安全是持续的过程，必须建立多层防御体系。

日记详情

Linux系统安全加固实战：从内核到应用的全方位防护