前言

面對日益嚴峻的網絡威脅，系統管理員需構建多層次防禦體系。本文彙總 25 項實戰加固技巧，涵蓋物理、系統、網絡、應用等維度。

1. 物理與啟動安全

• BIOS 設置：禁用 CD/DVD、USB、軟驅啟動；設置 BIOS 密碼。
• GRUB 密碼保護：防止單用戶模式繞過認證。

2. 磁碟分區策略

採用獨立分區隔離風險，建議最小劃分：

/
/boot
/usr
/var
/home
/tmp
/opt  (第三方軟件專用)

當某分區損壞或填滿，不影響其他業務數據。

3. 最小化安裝原則

• 僅安裝業務必需套件，減少攻擊面。
• 檢查運行級別 3 服務：chkconfig --list | grep '3:on'
• 停用無用服務：chkconfig <service> off
• 清理多餘 RPM 包：yum remove <package> / apt-get remove <package>

4. 網絡監聽端口審計

查看所有開放端口及關聯進程：

# netstat -tulpn

關閉非業務必需的監聽端口。

5. SSH 強化配置

• 禁用 Telnet/rlogin 等明文協議，強制使用 SSH。
• 禁止 Root 直接登錄：PermitRootLogin no
• 限制允許登錄用戶：AllowUsers <username>
• 啟用 SSH 協議版本 2：Protocol 2
• 修改默認端口 22 為高位端口（如 2222）。
• 使用 sudo 提權，配置 /etc/sudoers (建議用 visudo 編輯)。

6. 及時補丁管理

# yum update       # 安裝所有更新
# yum check-update # 僅檢查可用更新

建議配置自動安全更新或建立定期巡檢機制。

7. Cron 任務訪問控制

通過 /etc/cron.allow (白名單) 和 /etc/cron.deny (黑名單) 限制用戶提交計劃任務權限。

8-25. 進階防護項目 (摘要)

8. 啟用 SELinux/AppArmor 強制訪問控制
9. 配置防火牆 (iptables/nftables/firewalld) 最小開放原則
10. 部署入侵檢測系統 (AIDE, Tripwire)
11. 審計系統調用
12. 日誌集中收集與分析 (rsyslog + Logrotate)
13. 禁用 IPv6 (若不使用)
14. 內核參數優化
15. 定期漏洞掃描
16. 備份加密與異地存儲
17. 應用層 WAF/ModSecurity
18. 容器/虛擬化隔離
19. 雙因子認證 (2FA)
20. 定期滲透測試
21. 建立應急響應預案

總結

安全是持續過程而非一次性配置。建議建立基線模板，配合自動化工具 (Ansible, Puppet) 實現合規性持續檢查。