雖然 Linux 桌面惡意碼較少，但伺服器面臨 Rootkit、Web Shell、挖礦程式、供應鏈攻擊等威脅。本文整理分層防禦策略，涵蓋系統加固、應用層防護、入侵偵測與應變。

第一層：系統基礎加固

• 自動安全更新：dnf/yum/apt install dnf-automatic / unattended-upgrades 啟用。
• 最小化安裝：僅安裝必要套件，減少攻擊面。
• 防火牆：firewalld/ufw/nftables 僅開放必要埠口。
• SSH 強化：禁用密碼登入、更改埠口、Fail2Ban、僅允許金鑰、跳板機。
• SELinux/AppArmor 啟用 Enforcing：強制存取控制限制進程權限。
• 檔案完整性監控：AIDE/Tripwire 定期掃描關鍵檔案變更。

第二層：應用與執行環境防護

• 容器化隔離：Docker/Podman + 非 root 用戶、唯讀根檔案系統、能力降級（--cap-drop=ALL）。
• Web 應用防火牆：ModSecurity + OWASP CRS、Nginx + Lua WAF。
• 語言層防護：PHP disable_functions、open_basedir；Python 虛擬環境隔離；Java Security Manager。
• 供應鏈安全：簽名驗證（cosign、sigstore）、SBOM 生成、依賴掃描（Trivy、Syft、Dependabot）。

第三層：入侵偵測與行為分析

• HIDS：OSSEC/Wazuh、Auditd 規則監控關鍵系統呼叫。
• Rootkit 掃描：rkhunter、chkrootkit、Lynis 定期執行。
• 網流量分析：Zeek、Suricata 檢測 C2、異常外連。
• 日誌聚合與告警：ELK/EFK、Loki+Promtail、Grafana 告警規則。

第四層：應變與恢復

1. 制定事件回應手冊（隔離、取證、根因、修復、複盤）。
2. 離線備份 + 定期演練還原（RPO/RTO 驗證）。
3. 保留取證鏡像（dd/FTK Imager）。

常見誤區

• 「Linux 沒病毒」→ 不裝防毒：伺服器仍需 ClamAV 掃描上傳檔案、郵件附件。
• 過度依賴加密家目錄：新手易遺失金鑰導致資料永久不可讀，建議先備份再加密。
• 盲目執行網路腳本：curl ... | bash 極度危險，務必先審閱原始碼。