Linux Minimal的安全性如何保障

Linux Minimal 安全性保障

一 基础加固

• 保持系统与软件包为最新，及时安装安全补丁；仅安装必要组件并移除无用包，减少攻击面。
• 创建普通用户并加入sudo，禁用root远程登录；通过编辑**/etc/ssh/sshd_config将PermitRootLogin设为no**。
• 强化口令策略：在**/etc/login.defs设置PASS_MIN_LEN等参数，并在/etc/pam.d/system-auth使用pam_pwquality**配置复杂度（如最小长度、字符类别、重试次数等）。
• 仅启用必需服务，禁用不需要的自启项（如示例中将开机自启精简为crond、network、rsyslog、sshd、sysstat）。
• 配置UFW/firewalld仅放行必要端口（如SSH 22/自定义端口、HTTP 80、HTTPS 443）。

二 身份与访问控制

• 使用SSH 密钥认证并禁用密码登录，同时可更改默认端口以降低自动化扫描命中率。
• 限制su使用，仅允许wheel组执行（在**/etc/pam.d/su**添加“auth required pam_wheel.so use_uid”）。
• 清理不必要的SUID/SGID可执行文件，降低提权风险。
• 保护关键文件与目录权限，必要时用chattr +i锁定**/etc/passwd、/etc/shadow、/etc/group、/etc/gshadow**等。

三 网络与内核防护

• 启用并正确配置firewalld/ufw，按需仅开放业务端口；变更前备份规则，变更后校验生效。
• 如业务无需IPv6，可在**/etc/sysctl.conf中设置net.ipv6.conf.all.disable_ipv6=1**并应用。
• 加固内核网络参数：禁用IP 转发与ICMP 重定向等不必要功能，减少被滥用风险。
• 可选：启用DNSSEC提升解析链路安全性。

四 审计与入侵防护

• 启用rsyslog集中日志，配置logrotate设置保留策略；必要时配置远程日志服务器。
• 启用auditd进行关键系统调用与登录审计，定期审查**/var/log/auth.log、/var/log/secure**等日志。
• 部署AIDE/Tripwire进行文件完整性检查，定期执行基线校验。
• 使用fail2ban防御暴力破解，结合rkhunter/ClamAV进行后门与恶意软件检测。
• 启用SELinux或AppArmor实施强制访问控制（MAC），将应用权限限制在最小范围。

五 持续运维与变更管理

• 建立定期安全评估与漏洞扫描机制（如Lynis、OpenVAS），对发现的问题闭环整改。
• 在Debian/Ubuntu启用无人值守安全更新（配置**/etc/apt/apt.conf.d/50unattended-upgrades**），缩短暴露窗口。
• 重要变更遵循“备份—测试—灰度—回滚”流程，变更前后保留配置快照与校验值，确保可审计与可恢复。
• 安全是持续过程：定期复盘策略、更新规则与基线，适配新威胁与新业务。