如何更新CentOS以防范exploit - 问答

如何更新CentOS以防范Exploit

更新系统是防范Exploit的基础，能修复已知漏洞。具体步骤如下：

手动更新（适用于所有版本）：
1. 更新软件包索引：sudo dnf makecache（CentOS 8+）或 sudo yum makecache（CentOS 7及以下）；
2. 检查可用更新：sudo dnf check-update 或 sudo yum check-update；
3. 安装所有安全更新：sudo dnf update --security 或 sudo yum --security update（优先安装安全补丁）；
4. 升级整个系统（可选，需谨慎）：sudo dnf upgrade 或 sudo yum upgrade（升级前备份重要数据）。
自动更新（推荐）：
配置yum-cron（CentOS 7）或dnf-automatic（CentOS 8+）自动下载并安装安全更新，减少人工遗漏风险。例如，CentOS 7下：
1. 安装工具：sudo yum install yum-cron -y；
2. 编辑配置文件/etc/yum/yum-cron.conf，设置update_cmd=security（仅安装安全更新）、apply_updates=yes（自动应用）；
3. 启动服务：sudo systemctl start yum-cron && sudo systemctl enable yum-cron。

更新后需通过配置强化系统，减少攻击面：

账户与权限管理：
1. 禁用非必要超级用户（如adm、lp）：sudo userdel adm；
2. 设置强密码策略：修改/etc/login.defs，要求密码长度≥10位、包含大小写字母+数字+特殊字符；
3. 限制su命令：编辑/etc/pam.d/su，添加auth required pam_wheel.so use_uid，仅允许wheel组成员使用su切换root。
防火墙配置：
启用firewalld（推荐）或iptables，限制入站流量。例如，firewalld下：
1. 启动服务：sudo systemctl start firewalld && sudo systemctl enable firewalld；
2. 开放必要端口（如SSH的22端口）：sudo firewall-cmd --permanent --zone=public --add-service=ssh；
3. 重新加载规则：sudo firewall-cmd --reload。
SELinux设置：
启用SELinux增强访问控制：sudo setenforce 1（临时生效），修改/etc/selinux/config中SELINUX=enforcing（永久生效）。

备份重要数据：定期使用rsync或tar备份数据至安全位置（如外部存储），避免更新或攻击导致数据丢失。
安装安全工具：
1. Fail2Ban：防止暴力破解，安装后配置/etc/fail2ban/jail.local，启用SSH防护；
2. Auditd：监控系统活动，记录关键操作（如文件修改、用户登录），便于事后追溯。
监控与审计：
定期检查日志（/var/log/secure、/var/log/messages），使用auditd定义规则（如监控/etc/passwd修改），及时发现异常行为。

0 赞

0 踩