0x01 物理與開機層防護

1. GRUB 開機密碼（防單用戶模式繞過）

# 生成加密密碼
grub2-mkpasswd-pbkdf2
# 輸入密碼兩次，輸出形如 grub.pbkdf2.sha512.10000.XXXX

# 編輯 /etc/grub.d/40_custom
cat >> /etc/grub.d/40_custom <<'EOF'
set superusers="admin"
password_pbkdf2 admin grub.pbkdf2.sha512.10000.XXXX
EOF

# 重建 grub.cfg
grub2-mkconfig -o /boot/grub2/grub.cfg

2. 終端鎖屏

yum install vlock   # 或 apt install vlock
vlock               # 鎖定當前虛擬終端
vlock -a            # 鎖定所有終端

3. BIOS/UEFI 密碼與介面管控

• 設定 BIOS 管理員密碼
• 關閉 USB/光碟/網路啟動順序
• 機箱加鎖防物理拔硬碟

0x02 即時監控與服務審計

核心監控指令

netstat -tnlp / ss -tnlplsof -i :22chkconfig --list / systemctl list-unit-filesntsysv / systemctl enable/disabletop / htopwho / wiostat -x 1vmstat 1sar -n DEV 1

指令	用途
查看監聽端口與對應進程
查看佔用特定端口的進程詳情
檢視服務啟動等級/狀態
圖形/命令列管理服務啟停
即時資源佔用排序（按 M/P 切換記憶體/CPU）
查看線上使用者與負載
磁碟 I/O 效能監控
系統整體效能（CPU/記憶體/IO/系統切換）
網路介面流量統計

服務精簡原則

• 關閉非必要服務：kdump、cups、avahi、bluetooth 等
• 僅保留：sshd、network/NetworkManager、crond、rsyslog、firewalld/iptables、業務必要服務
• 定期審計：systemctl list-units --type=service --state=running

0x03 防火牆配置實戰

iptables 基礎語法

# 表：-t filter(預設)/nat/mangle
# 鏈：INPUT/OUTPUT/FORWARD
# 動作：-A 追加 -D 刪除 -I 插入 -R 替換 -L 列出 -F 清空 -P 預設策略

# 範例：禁止 ICMP ping
iptables -A INPUT -p icmp -j DROP

# 範例：僅允許特定 IP 存取 SSH
iptables -A INPUT -p tcp -s 192.168.1.100 --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

# 範例：狀態防火牆（允許已建立連線）
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# 儲存規則
service iptables save   # CentOS 6
iptables-save > /etc/iptables/rules.v4  # Debian/Ubuntu

firewalld（CentOS 7+ 預設）

firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="10.0.0.0/8" port protocol="tcp" port="3306" accept'
firewall-cmd --reload
firewall-cmd --list-all

0x04 遠端存取安全

• SSH 強化： PermitRootLogin no、PasswordAuthentication no、Port 2222、AllowUsers admin@192.168.1.*
• Fail2ban 防暴力破解： 監控 sshd/auth 日誌自動封鎖惡意 IP
• 跳板機/堡壘機： 所有運維操作經統一入口審計

0x05 檔案系統與權限

• chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow 鎖定關鍵檔案
• 定期掃描 SUID/SGID 檔案：find / -perm /6000 -type f
• 啟用 auditd 審計關鍵系統呼叫

0x06 自動化基線檢查

• 使用 Lynis、OpenSCAP、CIS Benchmark 進行合規掃描
• 將檢查項目納入 CI/CD 或定時任務，產出報告追蹤整改

資安非一次性動作，而是持續的「防護-偵測-回應-改進」循環。建立標準化基線、自動化監控與定期演練，才能構建有韌性的 Linux 基礎設施。