Linux安全设置必做项？桌面用户需配SELinux吗

Linux系统深度安全防护指南

基础加固：构建安全基石

• 最小权限原则：

  • 使用useradd创建普通用户，避免日常使用root账户，通过sudo精细授权（visudo编辑配置文件），仅赋予必要命令的临时特权，仅允许特定用户重启某个服务：webadmin ALL=(root) /usr/bin/systemctl restart nginx。

  • 文件与目录权限控制： 严格执行chmod和chown,关键目录权限示例：

    目录	推荐权限 (chmod)	推荐所有者 (chown)	关键性说明
    /etc	755	root:root	系统核心配置文件存放地
    /etc/shadow	640 或 600	root:shadow	用户加密密码，必须严格限制读取
    /var/log	755	root:root	系统日志，需防篡改
    /home/用户名	750	用户:用户组	用户主目录，保护隐私数据
    /tmp	1777	root:root	粘滞位，防止用户删除他人文件

• 强密码与账户策略：

  • 使用passwd强制设置12位以上复杂密码（字母大小写、数字、符号组合）。
  • 配置/etc/login.defs：设置密码最长有效期（PASS_MAX_DAYS 90）、最短修改间隔（PASS_MIN_DAYS 7）、过期前警告天数（PASS_WARN_AGE 14）。
  • 定期审计：awk -F: '($2 == "") {print $1}' /etc/shadow 检查空密码账户；awk -F: '($3 == 0) {print $1}' /etc/passwd 检查其他UID=0账户。

网络安全防御：守护通信边界

• 防火墙 (firewalld/iptables/nftables)：
  • 策略核心： 默认拒绝所有入站流量 (default deny incoming)，仅按需放行特定端口和服务，仅允许SSH(22)、HTTP(80)、HTTPS(443)。
  • 区域管理 (firewalld)： 将接口分配到严格区域（如public或drop），使用firewall-cmd管理：--add-service=ssh, --remove-port=8080/tcp, --runtime-to-permanent保存。
  • 经验案例： 在一次服务器部署中，笔者发现一个遗留的测试端口（8088/TCP）未关闭，被扫描工具识别，立即使用firewall-cmd --permanent --remove-port=8088/tcp && firewall-cmd --reload阻断,避免了潜在风险。
• SSH 安全强化：
  • 修改默认端口：/etc/ssh/sshd_config 中设置 Port 2222 (或其他非22端口)。
  • 禁用root登录：PermitRootLogin no。
  • 强制密钥认证：PasswordAuthentication no， PubkeyAuthentication yes，使用ssh-keygen -t ed25519生成强密钥。
  • 限制用户/IP：AllowUsers user1@192.168.1.0/24。
  • 启用失败锁定：结合fail2ban（见下文）或设置MaxAuthTries 3。
• 服务最小化：
  • 使用systemctl list-unit-files --state=enabled 查看启动服务。
  • 果断禁用非必要服务：systemctl disable --now bluetooth.service cups.service。

主动监控与入侵检测

• 入侵检测系统 (IDS)：
  • AIDE (高级入侵检测环境)： 为关键文件（/bin, /sbin, /usr/bin, /etc, /lib等）创建基准数据库(aide --init)，定期(cron)运行检测(aide --check)，邮件告警差异，是发现文件篡改（如后门、rootkit）的利器。
  • OSSEC: 功能更强大的HIDS，监控文件完整性、日志分析、rootkit检测、实时告警，部署代理(agent)到多台服务器集中管理。
• 日志审计与分析：
  • 确保rsyslog或systemd-journald正常运行，集中收集日志到安全服务器(/etc/rsyslog.conf)。
  • 关键日志文件：/var/log/auth.log (认证)、/var/log/syslog (系统)、/var/log/secure (RHEL系)、/var/log/audit/audit.log (auditd)。
  • 使用auditd框架：定制规则监控敏感操作（如特权命令执行、关键文件访问、用户账户变更），例如监控/etc/passwd修改：-w /etc/passwd -p wa -k identity。
• Fail2ban：动态防御暴力破解
  • 监控SSH、FTP、Web等服务的日志，自动将多次失败的IP加入防火墙黑名单（临时或永久），配置/etc/fail2ban/jail.local定义监控项、失败阈值、封禁时间。经验证明： 部署fail2ban后，服务器SSH日志中的暴力破解尝试报警从日均数十次降至接近零,极大减轻了安全压力。

持续更新与纵深防御

• 及时更新：
  • 建立流程：apt update && apt upgrade (Debian/Ubuntu) 或 dnf update (RHEL/Fedora)，关键安全更新应立即应用，启用自动安全更新 (unattended-upgrades/dnf-automatic)。
• SELinux/AppArmor：强制访问控制
  • 非“禁用”，而是“学习使用”！它们为进程和文件提供细粒度的强制访问控制策略，即使应用有漏洞也能限制损害范围，设置模式为Enforcing。
• 加密与备份：
  • 磁盘加密： 安装时启用LUKS全盘加密,保护静态数据。
  • 备份策略 (3-2-1)： 3份副本，2种不同介质，1份异地，使用rsync, borgbackup (带去重加密)，定期测试恢复！惨痛教训： 曾因未验证备份，在磁盘故障后发现备份文件已损坏,损失部分重要数据。

安全实践与文化

• 安全意识： 警惕钓鱼邮件、社会工程学攻击，不随意下载执行未知脚本(wget | bash是高风险行为！)。
• 安全扫描： 定期使用lynis (开源审计工具)、OpenVAS、Nessus进行漏洞扫描与合规检查。
• 网络隔离： 生产环境、测试环境、管理网络应划分VLAN或使用防火墙隔离。

深度问答 (FAQs)

1. Q： 作为普通桌面Linux用户，也需要配置SELinux/AppArmor和AIDE/OSSEC这么复杂吗？
   A： 必要性取决于数据敏感性和风险承受力，对于存放重要工作文件或个人数据的机器，强烈建议启用AppArmor/SELinux（即使使用默认策略）和基础文件完整性检查（如AIDE），它能有效阻止恶意软件或脚本对系统关键区域的破坏，桌面用户可简化配置，但核心的安全更新、防火墙、强密码、备份原则绝对必要。

   

2. Q： 如何有效发现服务器是否已被入侵？
   A： 关键迹象包括：异常进程/网络连接(ps auxf, netstat -tulpan, ss)、未知用户账户、/etc/passwd//etc/shadow异常修改时间、关键系统命令(ls, ps, netstat)被替换(使用busybox静态编译版本检查)、资源消耗异常(top, htop)、日志出现大量失败登录后突然成功或日志被清空、IDS/AIDE报告大量文件变更。发现可疑迹象应立即隔离系统，进行取证分析，避免直接操作破坏证据。

国内权威文献来源：

1. 《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)： 中国等级保护的核心标准，明确规定了包括Linux系统在内的信息系统在不同安全等级下需满足的安全管理和技术要求（如身份鉴别、访问控制、安全审计、入侵防范等）,是进行Linux系统安全合规建设的权威依据。
2. 《Linux系统安全配置基线》系列： 由公安部第三研究所（中国信息安全测评中心）等权威机构发布，提供了具体、可操作的Linux操作系统（如CentOS, Ubuntu等）安全配置标准，涵盖账户管理、口令策略、服务配置、日志审计、内核参数调优等各方面,是实践性极强的指导文件。
3. 《操作系统安全》(第2版)， 卿斯汉 等著 (清华大学出版社)： 国内操作系统安全领域的经典教材，系统阐述了操作系统安全机制（包括访问控制、特权管理、安全审计等）的原理与实现,对深入理解Linux底层安全机制有重要价值。
4. 华为《Linux系统安全加固指南》： 华为技术有限公司发布的详细实践指南，结合其丰富的产品与解决方案经验，提供了从基础安全配置到高级防御策略（如SecComp, eBPF应用）的全面加固方法,具有很高的工程参考价值。
5. 阿里云《云服务器ECS最佳实践 安全篇》： 阿里云基于其海量云服务器管理经验归纳，其中包含了大量针对云上Linux实例的安全配置、入侵检测与防护、数据加密、安全运维等方面的最佳实践和建议,贴近实际生产环境需求。