Linux 開放原始碼特性雙面刃：方便管理也便利攻擊者。落實四大原則，建立纵深防禦體系。

一、保持核心最新

• 核心常駐記憶體，控制硬體、網路、檔案系統，任何漏洞皆為全系統風險。
• 僅啟用必要模組（make menuconfig），減少攻擊面。
• 訂閱 kernel.org、發行版安全公告，自動化套用補丁（yum update kernel/apt upgrade linux-image-*）。

二、強化遠端存取：SSH 取代明文協定

• 禁用 rlogin/rsh/rcp/telnet/ftp。
• SSH 設定（/etc/ssh/sshd_config）：

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
Port 2222          # 非標準埠
AllowUsers admin@192.168.1.0/24

• 部署 Fail2Ban 或 DenyHosts 自動封鎖暴力破解 IP。
• Windows 客戶端可用 PuTTY、Windows Terminal + OpenSSH 連線。

三、限制 root 權限：sudo 代管

• 原則：日常操作用一般帳號，僅在必要時 sudo 提權。
• visudo 設定精細規則：

%wheel  ALL=(ALL)       ALL
deploy  ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart tomcat

• 審計 /var/log/secure 追蹤 sudo 使用紀錄。

四、帳號與存取分級

• 依職責建立群組（devops, dba, web），配置最小權限。
• /etc/hosts.allow / /etc/hosts.deny 搭配 TCP Wrappers 限制服務存取來源。
• 定期稽核 /etc/passwd、/etc/shadow、/var/log/secure。

額外加固清單

1. 啟用 SELinux/AppArmor 強制存取控制。
2. 關閉非必要服務（systemctl disable --now）。
3. 磁碟加密（LUKS）、/tmp 掛載 noexec,nosuid,nodev。
4. 定期離線備份並演練還原。