CentOS 环境中 Fetch 的安全风险与加固要点
一 概念澄清
- 在 CentOS 语境中，fetch/“fetchlinux”常被混用，常见有三类含义：
- 从网络获取 Linux 镜像/安装介质（如 ISO、squashfs）用于安装或升级；
- 使用 fetchmail + Procmail 的邮件获取与过滤方案；
- 内核启动参数 fetch= 用于无盘/Live 启动，从指定 HTTP 地址下载 rootfs.squashfs 并挂载为根文件系统。
- 不同含义对应的安全风险与加固措施不同，需分别对待。
二 镜像获取与安装场景
- 主要风险
- 镜像被篡改或来源不可信，导致安装介质携带恶意代码或后门。
- 下载过程被劫持（中间人攻击），校验失败未被发现。
- 安装环境不安全（例如未加密传输、缺少最小安装与后续补丁）。
- 加固要点
- 仅从 官方或可信镜像站 获取镜像，避免不明来源。
- 下载后进行 完整性校验（如校验和/签名），确保与官方一致后再使用。
- 使用 稳定网络 与充足磁盘空间，避免中断或写入失败。
- 安装时优先选择 最小化安装，减少攻击面；安装后立即通过 yum/dnf 更新至最新安全补丁。
- 变更前做好 关键数据备份，以便回滚。
三 邮件获取场景 Fetchmail Procmail
- 主要风险
- 明文传输（如 POP3/IMAP）导致凭据与邮件内容被窃听。
- 配置文件（如 /etc/fetchmailrc、~/.procmailrc）包含服务器、端口、账号与密码等敏感信息，若权限不当或日志外泄会暴露凭据。
- 规则或脚本处理不当，可能被利用进行邮件注入或本地提权。
- 加固要点
- 优先启用 SSL/TLS 加密传输，禁用明文协议。
- 严格保护配置文件权限（如仅属主可读写），避免在公共可访问位置存放凭据。
- 最小化规则集，避免使用危险命令；对日志与投递路径设置最小必要权限。
- 定期 更新系统与软件包，修补已知漏洞。
四 无盘启动 fetch= 内核参数场景
- 主要风险
- 启动阶段从网络下载 rootfs.squashfs，若 HTTP 源不可信或被劫持，将直接获得控制权（Root 文件系统被替换）。
- 早期网络初始化阶段缺少驱动（如 USB 网卡 r8152）导致回退或失败，可能被诱导连接恶意源。
- 传输未加密、无完整性校验，易受中间人篡改。
- 加固要点
- 仅在内网 受控环境 使用，HTTP 源使用 HTTPS + 证书校验 或本地可信镜像；必要时对镜像做 签名校验 与哈希比对。
- 在 initramfs 中仅包含必要驱动与工具，减少攻击面；如使用 dracut 自定义模块，确保网络就绪后再执行下载，并显式加入所需驱动（如 r8152）。
- 限制可启动的网络源与引导入口（如 PXE + GRUB2 访问控制、TFTP 目录与权限最小化），避免被非授权主机引导。
- 对启动介质与引导配置实施 变更审计与完整性校验。
五 通用加固清单
- 系统与更新
- 定期执行 yum/dnf update，及时应用安全补丁；删除或禁用 不必要的服务与账户。
- 访问控制
- 启用 firewalld，仅开放必需端口/服务；按业务最小化放行入站/出站流量。
- 远程登录
- 禁用 root 远程登录，使用 SSH 密钥认证；可结合 AllowUsers/AllowGroups 精细化授权；必要时更改默认端口并启用 fail2ban。
- 强制访问控制
- 启用并保持 SELinux 为 enforcing，减少进程越权与提权风险。
- 审计与监控
- 启用 auditd 审计关键系统调用与登录事件；集中收集与告警异常行为。
- 备份与恢复
- 对关键数据与配置实施 定期备份与离线/异地保存，并进行恢复演练。