Linux安全加固：配置优化与实战指南


Linux安全加固：配置优化与实战指南

在当今数字化时代，Linux服务器面临着日益严峻的安全威胁。如何有效加固Linux系统，防止恶意攻击和数据泄露，是每个系统管理员和安全工程师必须面对的重要课题。本指南将深入探讨Linux安全加固的各个方面，从配置优化到实战演练，旨在帮助读者全面提升Linux系统的安全性。

用户与权限管理加固

用户和权限管理是Linux安全的核心。一个疏忽的用户权限配置就可能给攻击者留下可乘之机。因此，强化用户和权限管理是加固Linux系统的首要步骤。

禁用不必要的账户

系统默认创建的账户，如root、bin、daemon等，在某些情况下可能并不需要。特别是root账户，应尽量避免直接使用。禁用或锁定这些账户可以有效减少潜在的攻击面。例如，可以使用以下命令禁用账户：

passwd -l username

或者完全删除不必要的账户：

userdel username

强制使用强密码策略

弱密码是安全漏洞的常见原因。通过配置/etc/login.defs和/etc/pam.d/common-password等文件，可以强制用户设置复杂密码，并定期更改密码。例如，可以使用pam_cracklib.so模块来检查密码强度，并设置密码最小长度、字符类型要求等。

密码复杂度策略示例：

password required pam_cracklib.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

此配置要求密码长度至少为10个字符，且至少包含一个大写字母、一个小写字母、一个数字和一个特殊字符。

限制sudo权限

sudo权限允许用户以root身份执行命令。过度授予sudo权限会增加安全风险。应仅授予用户完成特定任务所需的最小权限。可以通过编辑/etc/sudoers文件来配置sudo权限。使用visudo命令可以安全地编辑该文件。

例如，只允许用户john执行/usr/bin/apt-get update命令：

john ALL=(ALL:ALL) /usr/bin/apt-get update

在 vDisk 云桌面等 VOI 架构方案中，这种细粒度的权限控制尤其重要，可以确保用户在桌面环境中的操作不会影响底层系统安全。

定期审查用户权限

用户权限会随着时间推移而变化。定期审查用户权限，确保权限分配合理且符合最小权限原则。可以使用工具如getfacl来查看文件和目录的访问控制列表 (ACL)，以及使用id命令查看用户的组 membership。

网络安全加固

网络是攻击者入侵系统的主要途径。加强网络安全防护，可以有效阻止外部攻击。

配置防火墙

防火墙是网络安全的第一道防线。iptables和firewalld是常用的Linux防火墙工具。应配置防火墙，只允许必要的网络流量通过，并阻止所有其他流量。例如，可以使用以下命令允许SSH流量通过：

firewall-cmd --permanent --add-service=ssh
firewall-cmd --reload

禁用不必要的服务

许多Linux系统默认启动了许多不必要的服务。这些服务可能会带来安全风险。应禁用或卸载不必要的服务。可以使用systemctl命令来管理服务。例如，禁用telnet服务：

systemctl disable telnet.socket
systemctl stop telnet.socket

使用tcp_wrappers

tcp_wrappers可以控制对网络服务的访问。通过配置/etc/hosts.allow和/etc/hosts.deny文件，可以允许或拒绝特定IP地址或网络访问服务。例如，只允许来自192.168.1.0/24网络的SSH访问：

/etc/hosts.allow: sshd: 192.168.1.0/24
/etc/hosts.deny: sshd: ALL

启用SELinux或AppArmor

SELinux和AppArmor是Linux内核的安全模块，可以提供强制访问控制。它们可以限制进程的访问权限，防止恶意进程破坏系统。启用和配置SELinux或AppArmor可以显著提高系统安全性。

例如，查看 SELinux 状态：

sestatus

切换 SELinux 模式（需要重启）：

setenforce 0 # Permissive 模式
setenforce 1 # Enforcing 模式

文件系统安全加固

文件系统是存储数据的地方。保护文件系统安全，可以防止数据被篡改或泄露。

设置文件权限

正确设置文件权限是文件系统安全的关键。应使用chmod命令设置适当的文件权限，防止未经授权的访问。同时，使用chown命令设置正确的文件所有者和组。

启用文件系统审计

文件系统审计可以记录对文件的所有访问操作。通过分析审计日志，可以发现潜在的安全威胁。可以使用auditd工具来配置文件系统审计。

例如，审计对 /etc/passwd 文件的所有访问：

auditctl -w /etc/passwd -p wa -k passwd_changes

使用磁盘加密

磁盘加密可以保护数据免受物理盗窃。可以使用LUKS (Linux Unified Key Setup) 来加密磁盘分区。即使磁盘被盗，数据也无法被访问。

定期备份数据

数据备份是防止数据丢失的重要措施。定期备份数据，并将备份存储在安全的地方。可以使用工具如rsync或tar来进行数据备份。

在 vDisk 云桌面方案中，数据可以集中存储在服务器端，从而简化备份和恢复流程。

系统配置优化

除了安全加固，系统配置优化也可以提高系统的整体安全性。

禁用core dumps

core dumps包含进程崩溃时的内存映像。它们可能包含敏感信息，例如密码和密钥。应禁用core dumps，防止敏感信息泄露。可以通过修改/etc/security/limits.conf文件来禁用core dumps。

例如，禁用所有用户的 core dumps：

* hard