許多管理員誤以為 Unix 系統被入侵全因核心漏洞，實則超過 80% 的事故源於配置疏失與管理鬆懈。建立纵深防禦體系、遵循最小權限原則、持續審計日誌，才是守護 Unix 系統的正道。本文聚焦高風險服務加固、資訊洩露封堵、帳號與權限管控、入侵徵兆偵測四大面向，提供可落地的檢核清單。

一、高風險服務：關閉或替換

1. fingerd —— 資訊洩露的頭號幫兇

finger 守護進程預設輸出大量用戶資訊：真實姓名、家目錄、Shell、登入時間、郵件狀態、.plan 內容等。駭客可透過 finger @target 或 finger root@target 批量枚舉帳號，輔以社交工程學破解弱密碼。

實測： Solaris 預設 fingerd 甚至洩露 /etc/passwd 級別的詳細資訊。

對策：

• 若非必要，停用並移除 fingerd（systemctl disable inetd 或註解 /etc/inetd.conf）。
• 必須保留時，改用 cfingerd 或 xfingerd 並限制輸出欄位、僅允許本機存取（TCP Wrappers / iptables）。

2. sendmail EXPN/VRFY 指令

SMTP 協議的 EXPN（展開郵件列表）與 VRFY（驗證用戶）可被濫用枚舉系統帳號。

對策： 在 sendmail.cf 設定 O PrivacyOptions=goaway,restrictqrun,novrfy,noexpn 或改用 Postfix 並設定 disable_vrfy_command = yes、smtpd_etrn_restrictions = reject。

3. HTTP/CGI 風險

• CGI 腳本輸入驗證不足導致命令注入、路徑穿越。
• 預設目錄索引洩露檔案結構。
• 對策： 啟用 ModSecurity WAF、禁用不必要 CGI、強制 HTTPS、定期掃描 Web 漏洞（Nikto、OWASP ZAP）。

二、帳號與認證鋼鐵防線

措施	實作方式
移除/鎖定預設帳號	passwd -l lp nuucp listen；Solaris/IRIX 預設無密碼帳號必改
強制強密碼策略	/etc/security/policy.conf 或 PAM pam_pwquality.so：長度≥12、複雜度、歷史記憶
SSH 強化	PermitRootLogin no、PasswordAuthentication no（僅金鑰）、Port 非 22、AllowUsers 白名單
雙因子認證 (2FA)	部署 google-authenticator-libpam 或 Duo Security
帳號鎖定閾值	faillock / pam_faillock.so：5 次失敗鎖 15 分鐘

三、檔案系統與權限最小化

• SUID/SGID 審計： find / -perm /6000 -type f -exec ls -ld {} \; 定期檢視，移除非必要位元。
• 關鍵目錄不可變屬性： chattr +i /etc/passwd /etc/shadow /etc/sudoers 防竄改。
• tmp 分區掛載選項： noexec,nosuid,nodev 防惡意腳本執行。
• 日誌目錄獨立分區： 避免日誌爆滿癱瘓根分區。

四、網路層面縱深防禦

1. 主機防火牆： iptables/nftables/pf 預設拒絕，僅開放業務埠；啟用 RECENT 模組防暴力破解。
2. TCP Wrappers： /etc/hosts.allow、/etc/hosts.deny 二次過濾（支援 SSH、vsftpd 等）。
3. 核心參數調優（/etc/sysctl.d/99-hardening.conf）：

net.ipv4.tcp_syncookies = 1
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
kernel.yama.ptrace_scope = 1

五、入侵偵測與審計體系

層面	工具/做法	關鍵指標
檔案完整性	AIDE / Tripwire / Samhain	核心二進制、配置檔、啟動腳本異動
Rootkit 掃描	rkhunter、chkrootkit、Lynis	隱藏程序、LKM rootkit、可疑開機項
日誌集中化	rsyslog → Logstash/Elasticsearch/Graylog	SSH 失敗、sudo 使用、cron 異常、單用戶模式
即時告警	Fail2ban + Telegram/Email/Webhook	5 分鐘內 5 次 SSH 失敗 → 封鎖 IP 1 小時
稽核子系統	auditd 規則監控關鍵系統呼叫	execve、open_by_handle_at、setuid 程式執行

六、SGI IRIX 特殊檢核項

• 安裝後立即為 demos、guest、lp 等預設帳號設定強密碼或鎖定。
• 檢查 Web 服務預設首頁（/var/www/htdocs/index.html）是否洩露系統資訊。

七、應急響應 SOP 速查

1. 隔離： 物理斷網或防火牆封鎖可疑 IP，保留現場證據（記憶體鏡像、磁碟鏡像）。
2. 鑑別： 對比 AIDE 資料庫、檢視 last/lastb、ps auxf、netstat -anp、lsof -p PID。
3. 遏制： 終止惡意進程、封鎖 C2 連線、撤銷被盜憑證。
4. 根除： 修補漏洞、移除後門、重建受損系統（建議重灌而非清理）。
5. 復原： 從離線備份還原、驗證服務可用性、調整監控規則。
6. 複盤： 產出報告：攻擊向量、時間線、損失評估、改善措施、責任歸屬。

結語

Unix 安全非一次性專案，而是持續的流程：最小安裝 → 服務加固 → 權限收斂 → 審計日誌 → 入侵偵測 → 定期演練。將上述檢核清單納入月例維護、季度滲透測試、年度紅隊演練，方能在攻防博弈中立於不敗之地。記住：沒有絕對安全，只有持續減少攻擊面。