Linux系统（含Dopra相关环境）安全防护技巧
通过访问控制列表（ACL）为特定用户/组设置超越基本权限的访问规则（需文件系统支持，如ext4/ext3默认开启）。例如，给用户dopraadmin添加/opt/dopra/config目录的读写权限：sudo setfacl -m u:dopraadmin:rw /opt/dopra/config；给组dopradev添加/opt/dopra/bin目录的执行权限：sudo setfacl -m g:dopradev:x /opt/dopra/bin。同时，合理使用特殊权限：setuid（让普通用户执行文件时临时拥有所有者权限，如/usr/bin/passwd）需用sudo chmod u+s /path/to/file设置；粘滞位（防止普通用户删除其他用户目录下的文件，如/tmp）需用sudo chmod +t /path/to/directory设置。
/etc/passwd文件检测并锁定无用的超级用户（如sync、adm等），使用sudo usermod -L username锁定账户。/etc/security/pwquality.conf文件，要求密码长度≥9位（minlen=9）、包含至少3种字符类别（大写字母、小写字母、数字、特殊字符，minclass=3）；通过/etc/login.defs设置密码失效时间（PASS_MAX_DAYS=60-180）和修改间隔（PASS_MIN_DAYS=7-14）。chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow命令将密码文件设为不可更改，防止非法修改。systemctl disable servicename（如telnet、ftp等明文传输服务）或chkconfig servicename off（CentOS）关闭不需要的服务，减少攻击面。firewalld）仅允许必需端口（如SSH的22端口、Web服务的80/443端口）通过，命令示例：sudo firewall-cmd --permanent --zone=public --add-service=http && sudo firewall-cmd --reload。firewalld（推荐）或iptables设置入站/出站规则。例如，允许HTTP服务：sudo firewall-cmd --permanent --zone=public --add-service=http，然后重载配置；或用iptables限制SSH访问来源：sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT（仅允许192.168.1.0/24网段访问）。/proc/sys/net/ipv4/icmp_echo_ignore_all文件（echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all）临时禁止ping，或编辑/etc/sysctl.conf文件（net.ipv4.icmp_echo_ignore_all = 1）永久生效。启用SELinux（若系统支持）或AppArmor（Debian默认启用）限制进程权限：
sudo chcon -R -t dopra_exec_t /opt/dopra（需提前安装selinux-basics包并启用）。/etc/apparmor.d/usr.bin.dopra），添加允许访问的目录（如/opt/dopra/data rw,），然后重载配置：sudo systemctl reload apparmor。/etc/ssh/sshd_config文件，设置PermitRootLogin no，防止root账户被暴力破解。ssh-keygen -t rsa），将公钥复制到服务器（ssh-copy-id user@server），并在sshd_config中设置PubkeyAuthentication yes。Port 2222），减少自动扫描工具的攻击。/var/log/messages、/var/log/secure），使用tail -f /var/log/secure实时监控失败登录尝试（如Failed password记录）。fail2ban（sudo yum install fail2ban或sudo apt install fail2ban），监控日志并自动禁止恶意IP（如多次SSH登录失败），设置开机自启：sudo systemctl enable fail2ban。LUKS（Linux Unified Key Setup）实现全盘加密。rsync（rsync -avz /opt/dopra /backup/dopra）或tar（tar -czvf dopra_backup.tar.gz /opt/dopra）工具备份数据，将备份文件转移至离线存储（如外部硬盘、云存储）。apt/yum/dnf）定期更新系统和软件包，修复已知漏洞。例如，Debian/Ubuntu使用sudo apt update && sudo apt upgrade，CentOS使用sudo yum update。