linux服务器安全加固

Linux服务器安全加固是保障系统稳定运行和数据安全的核心环节，通过系统化配置和持续优化，可有效降低被攻击风险，以下从账户管理、服务防护、访问控制、日志审计及漏洞管理五个维度,详细阐述加固实践。

账户与权限最小化原则

系统账户是安全的第一道防线，需遵循“最小权限”原则精简账户并强化认证机制。

1. 禁用无用账户：删除或锁定测试账户（如test、guest）、冗余系统账户（如lp、news），仅保留必要的root、运维账户及业务账户，通过userdel -r 用户名删除账户并清理家目录，passwd -l 用户名锁定闲置账户。
2. 强化密码策略：强制复杂密码（12位以上，包含大小写字母、数字及特殊字符），设置密码过期时间（如/etc/login.defs中PASS_MAX_DAYS 90）和错误锁定阈值（如pam_tally2模块配置5次错误锁定30分钟）。
3. 密钥认证替代密码：禁止远程root登录（/etc/ssh/sshd_config中设置PermitRootLogin no），强制使用SSH密钥对认证，通过authorized_keys文件限制可登录客户端，并设置密钥 passphrase。

服务与端口精简

减少暴露的攻击面，关闭非必要服务与端口，仅开放业务必需端口。

1. 服务管理：通过systemctl list-unit-files --type=service查看所有服务，禁用不必要服务（如telnet、rsh、sendmail），执行systemctl disable 服务名并确保开机不自启，对于必须运行的服务，采用最小化配置（如Nginx禁用不必要的模块、MySQL移除test数据库）。
2. 端口管控：使用netstat -tuln或ss -tuln监听端口，关闭高危端口（如135/139/445/SMB服务、3389/RDP服务），通过防火墙（如iptables、firewalld）限制端口访问，例如仅允许特定IP访问SSH（22端口）：

   iptables -A INPUT -p tcp --dport 22 -s 信任IP -j ACCEPT
   iptables -A INPUT -p tcp --dport 22 -j DROP

3. 协议安全：禁用不安全协议（如SSH仅支持v2，在sshd_config中设置Protocol 2），启用TLS加密（如HTTPS、SMTPS）。

访问控制与网络隔离

通过分层控制实现精细化访问管理，避免横向攻击。

1. 防火墙策略：采用“默认拒绝”原则，仅允许已授权的流量，例如使用firewalld划分区域（public、trusted），将业务接口加入trusted区域并开放指定端口：

   firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port protocol="tcp" port="80" accept'
   firewall-cmd --reload

2. 主机入侵检测（HIDS）：部署Lynis或AIDE工具，定期扫描系统文件完整性、异常进程及配置变更，例如AIDE首次生成数据库后，每日执行aide --check对比差异，及时发现木马或篡改文件。
3. 网络隔离：核心服务器部署在独立VLAN，通过安全组或ACL限制跨网段访问，避免内网横向移动。

日志审计与监控

完善的日志体系是追溯攻击行为、优化安全策略的基础。

1. 日志收集与存储：启用系统日志（rsyslog）、安全日志（authlog）、应用日志（如Nginx的access.log），配置日志服务器集中存储（如ELK Stack或Graylog），防止本地日志被篡改。
2. 关键日志监控：重点关注登录失败（Failed password）、特权操作（sudo命令）、端口扫描（SYN flood）等异常行为，通过fail2ban自动封禁恶意IP（如5次SSH失败封禁1小时）：

   fail2ban-client ssh-iptables banip 192.168.1.100

3. 定期审计：每周检查last命令查看登录历史，grep "ERROR" /var/log/messages分析系统错误，结合auditd审计框架记录敏感操作（如文件访问、命令执行）。

漏洞管理与系统更新

及时修复漏洞是抵御已知攻击的核心措施。

1. 系统补丁更新：定期执行yum update -y（CentOS）或apt upgrade -y（Ubuntu），自动安装安全补丁，对于生产环境，需先在测试环境验证兼容性，再分批次更新。
2. 漏洞扫描：使用OpenVAS或Nessus每月扫描系统漏洞，重点关注高危漏洞（如CVE-2021-44228 Log4j漏洞），根据扫描结果修复或采取缓解措施（如打补丁、升级版本、配置防护规则）。
3. 应用安全加固：对Web应用（如WordPress、Tomcat），移除默认测试页面、禁用目录遍历、配置Content-Security-Policy（CSP）头防御XSS攻击，数据库（如MySQL）限制远程连接，绑定指定IP并设置防火墙规则。

安全加固检查清单

相关问答FAQs

Q1: 如何判断服务器是否被入侵？
A: 可通过以下迹象初步判断：系统运行缓慢或异常重启（如挖矿程序占用资源）、无法执行正常命令（如ls被替换）、出现陌生账户或进程（如/tmp目录下可疑文件）、日志中出现大量失败登录记录、磁盘空间异常减少（如挖矿木马写入文件），建议结合top、ps aux、netstat -an检查进程和网络连接，使用chkrootkit或ClamAV扫描木马，对比AIDE文件完整性报告确认是否被篡改。

Q2: Linux服务器安全加固后如何维持防护效果？
A: 需建立常态化运维机制：每日通过zabbix或Prometheus监控CPU、内存、磁盘IO及网络流量；每周执行yum update安装安全补丁，审计/var/log/secure登录日志；每月进行漏洞扫描和渗透测试；每季度更新防火墙策略和密钥密码；同时制定应急响应预案，定期备份数据（如rsync+incrond增量备份）,确保故障快速恢复。