Linux Dopra：如何进行安全配置

Linux 系统安全配置基线

适用范围与前提

• 适用于常见的 Debian/Ubuntu 与 CentOS/RHEL 服务器场景；若你指的是某个名为 DOPRA 的特定软件/设备，请说明具体名称与版本，以便给出针对性加固项。
• 操作前准备：
  • 备份关键配置（如 /etc、防火墙规则、SSH 配置）。
  • 通过 控制台/带外管理 预留应急通道。
  • 全程使用具有 sudo 权限的普通账户，避免直接以 root 操作。

一 系统更新与最小化

• 持续更新与补丁
  • Debian/Ubuntu：执行 sudo apt update && sudo apt upgrade，并启用 unattended-upgrades 自动安装安全补丁。
  • CentOS/RHEL：执行 sudo yum update 或 sudo dnf update 定期更新。
• 最小化安装与清理
  • 卸载不必要的软件包与功能，关闭不需要的内核模块与自启服务，减少攻击面。
• 账户清理
  • 删除或锁定默认无用账户（如 adm、lp、sync 等），仅保留业务必需账户。

二 身份与访问控制

• 强密码策略
  • 在 /etc/login.defs 设置密码生命周期：PASS_MAX_DAYS 60–180、PASS_MIN_DAYS 7–14。
  • 在 /etc/security/pwquality.conf 设置复杂度：minlen 9–32、minclass 3–4（包含大小写、数字、特殊字符）。
• 禁用 root 远程登录与加固登录
  • 编辑 /etc/ssh/sshd_config：PermitRootLogin no，PubkeyAuthentication yes，必要时使用 AllowUsers your_username 限制可登录用户。
• 基于密钥的认证
  • 生成密钥对（如 ssh-keygen -t ed25519），将公钥部署到 ~/.ssh/authorized_keys，并禁用口令登录（PasswordAuthentication no）。
• 精细化 sudo 授权
  • 使用 visudo 管理 /etc/sudoers，仅授予必要命令的最小权限，避免直接赋予 ALL=(ALL) ALL。

三 网络与防火墙

• 防火墙仅放行必要流量
  • Debian/Ubuntu：使用 ufw 或 iptables 仅开放 SSH/HTTP/HTTPS 等必要端口。
  • CentOS/RHEL：使用 firewalld 或 iptables，例如：
    • 放行 HTTP：sudo firewall-cmd --permanent --zone=public --add-service=http && sudo firewall-cmd --reload。
• 可选：更改 SSH 端口
  • 在 /etc/ssh/sshd_config 中将 Port 22 改为 10000+ 的高位端口，仅作为“安全通过 obscurity”的辅助手段，必须配合密钥认证与防火墙策略。

四 服务、资源与系统加固

• 服务最小化与自启治理
  • 关闭不需要的服务与端口，审查并精简开机自启项，降低被利用风险。
• 资源限制与抗 DoS
  • 使用 ulimit 限制用户进程资源（如 ulimit -n 4096 限制文件描述符），配合系统级防护策略缓解 DoS。
• 系统加固细节
  • 禁止 ping（临时：echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all；永久：写入 /etc/sysctl.conf 的 net.ipv4.icmp_echo_ignore_all=1 并执行 sysctl -p）。
  • 自动注销空闲 root 会话：在 /etc/profile 设置 TMOUT=600（单位秒）。
  • 可选：关闭多余虚拟控制台（如 /etc/inittab 中注释 tty4–tty6），减少本地物理接触面。

五 日志审计、入侵防护与备份

• 日志与审计
  • 集中关注认证与系统日志：/var/log/auth.log（Debian/Ubuntu）、/var/log/secure（CentOS/RHEL），使用 tail -f 实时查看异常。
  • 启用 auditd 对关键文件与系统调用进行审计，便于溯源。
• 入侵防护
  • 部署 fail2ban 监控日志并自动封禁暴力破解来源：安装后在 /etc/fail2ban/jail.local 启用 sshd 监狱并启动服务。
• 恶意代码防护
  • 安装 ClamAV 并定期扫描，作为辅助防线（并不能替代及时更新与最小权限原则）。
• 备份与演练
  • 制定定期备份策略（含配置与数据），并进行恢复演练，确保事件发生时可快速回滚。