Profile Image of the Author
鹁鸪
Hello, I'm BoGu.
公告
欢迎来到我的博客！
4695 字
23 分钟

Linux系统安全加固命令和技巧

2026-02-09
Linux
安全
/
加固
浏览量 加载中...

Linux系统安全加固命令和技巧#

安全加固概述#

Linux系统安全加固是保护系统免受未授权访问、攻击和数据泄露的重要措施。通过实施安全加固措施，可以提高系统的安全性、可靠性和稳定性，减少安全事件的发生。本文将介绍Linux系统中常用的安全加固命令和技巧，帮助系统管理员更高效地保护Linux系统。

安全加固原则#

最小权限原则#

最小权限原则是指用户和程序只应被授予完成其任务所需的最小权限，不应授予额外的权限。这可以减少系统被攻击的风险，因为攻击者即使获取了用户或程序的权限，也只能访问有限的资源。

纵深防御原则#

纵深防御原则是指在系统的多个层次实施安全措施，形成多层防护体系。即使一层防护被突破，其他层次的防护仍然可以保护系统。

安全更新原则#

安全更新原则是指及时更新系统和应用程序，修补已知的安全漏洞。攻击者经常利用已知的安全漏洞攻击系统，因此及时更新是保护系统的重要措施。

安全审计原则#

安全审计原则是指记录和分析系统的安全事件，及时发现和响应安全威胁。通过安全审计，可以了解系统的安全状态，发现潜在的安全问题。

系统基础安全加固#

账户安全#

禁用不必要的账户#

Terminal window
# 查看所有用户账户
cat /etc/passwd


# 查看所有系统账户
awk -F: '$3 < 1000 {print $1}' /etc/passwd


# 禁用不必要的账户
sudo passwd -l username


# 删除不必要的账户
sudo userdel username


# 查看锁定的账户
sudo passwd -S | grep L

密码策略#

Terminal window
# 查看密码策略配置
cat /etc/login.defs


# 编辑密码策略配置
sudo nano /etc/login.defs


# 设置密码最小长度
PASS_MIN_LEN 12


# 设置密码过期时间
PASS_MAX_DAYS 90


# 设置密码警告时间
PASS_WARN_AGE 7


# 安装密码强度检查工具
sudo apt install -y libpam-pwquality  # Debian/Ubuntu
sudo yum install -y pam_pwquality  # RHEL/CentOS


# 配置密码强度检查
sudo nano /etc/security/pwquality.conf


# 设置密码强度要求
minlen = 12
minclass = 4
maxrepeat = 3
difok = 8
retry = 3

限制root登录#

Terminal window
# 禁止root远程登录
sudo nano /etc/ssh/sshd_config
# 设置 PermitRootLogin no


# 禁止root通过su切换
sudo nano /etc/pam.d/su
# 添加 auth required pam_wheel.so use_uid


# 只允许wheel组用户使用su
sudo usermod -aG wheel username


# 查看wheel组成员
getent group wheel

限制登录尝试#

Terminal window
# 安装fail2ban
sudo apt install -y fail2ban  # Debian/Ubuntu
sudo yum install -y fail2ban  # RHEL/CentOS


# 配置fail2ban
sudo nano /etc/fail2ban/jail.local


# fail2ban配置示例
#[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log  # Debian/Ubuntu
# logpath = /var/log/secure  # RHEL/CentOS
maxretry = 3
bantime = 3600


# 启动并启用fail2ban
sudo systemctl start fail2ban
sudo systemctl enable fail2ban


# 查看fail2ban状态
sudo fail2ban-client status

文件系统安全#

文件权限#

Terminal window
# 查看文件权限
ls -la /path/to/file


# 修改文件权限
chmod 600 /path/to/file


# 修改目录权限
chmod 700 /path/to/directory


# 递归修改目录权限
chmod -R 755 /path/to/directory


# 修改文件所有者
chown user:group /path/to/file


# 递归修改目录所有者
chown -R user:group /path/to/directory


# 查看特殊权限文件
find / -perm -4000 -type f 2>/dev/null  # SUID
find / -perm -2000 -type f 2>/dev/null  # SGID
find / -perm -1000 -type f 2>/dev/null  # Sticky bit


# 移除不必要的SUID/SGID权限
chmod u-s /path/to/file  # 移除SUID
chmod g-s /path/to/file  # 移除SGID

挂载选项#

Terminal window
# 查看当前挂载
mount


# 编辑fstab文件
sudo nano /etc/fstab


# 添加挂载选项
# /dev/sda1 / ext4 defaults,nosuid,noexec,nodev 0 1
# /dev/sda2 /home ext4 defaults,nosuid,noexec,nodev 0 2
# /dev/sda3 /tmp ext4 defaults,nosuid,noexec,nodev 0 2
# /dev/sda4 /var ext4 defaults,nosuid 0 2


# 重新挂载文件系统
sudo mount -o remount /
sudo mount -o remount /home
sudo mount -o remount /tmp
sudo mount -o remount /var

敏感文件保护#

Terminal window
# 保护重要配置文件
chmod 600 /etc/passwd
chmod 600 /etc/shadow
chmod 600 /etc/gshadow
chmod 600 /etc/group
chmod 600 /etc/sudoers
chmod 600 /etc/ssh/sshd_config
chmod 600 /etc/ssh/ssh_host_*_key


# 限制对敏感文件的访问
sudo chattr +i /etc/passwd
sudo chattr +i /etc/shadow
sudo chattr +i /etc/gshadow
sudo chattr +i /etc/group
sudo chattr +i /etc/sudoers


# 查看文件属性
lsattr /etc/passwd


# 移除文件属性
sudo chattr -i /etc/passwd

网络安全#

防火墙配置#

Terminal window
# 安装ufw（Debian/Ubuntu）
sudo apt install -y ufw


# 安装firewalld（RHEL/CentOS）
sudo yum install -y firewalld


# 配置ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw allow 80/tcp  # HTTP
sudo ufw allow 443/tcp  # HTTPS
sudo ufw enable


# 查看ufw状态
sudo ufw status


# 配置firewalld
sudo firewall-cmd --set-default-zone=drop
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --add-port=80/tcp  # HTTP
sudo firewall-cmd --permanent --add-port=443/tcp  # HTTPS
sudo firewall-cmd --reload


# 查看firewalld状态
sudo firewall-cmd --status


# 查看已开放的端口
sudo firewall-cmd --list-ports

SSH配置#

Terminal window
# 编辑SSH配置文件
sudo nano /etc/ssh/sshd_config


# 禁用root登录
PermitRootLogin no


# 禁用密码登录，使用密钥登录
PasswordAuthentication no
PubkeyAuthentication yes


# 限制登录用户
AllowUsers username


# 更改SSH端口
Port 2222


# 禁用X11转发
X11Forwarding no


# 禁用TCP端口转发
AllowTcpForwarding no


# 禁用Agent转发
AllowAgentForwarding no


# 设置登录超时
LoginGraceTime 30


# 重启SSH服务
sudo systemctl restart sshd


# 生成SSH密钥
ssh-keygen -t ed25519 -a 100


# 复制SSH密钥到远程服务器
ssh-copy-id -p 2222 username@server_ip

禁用不必要的服务#

Terminal window
# 查看所有服务
systemctl list-unit-files --type=service


# 查看运行中的服务
systemctl list-units --type=service --state=running


# 禁用不必要的服务
sudo systemctl stop service_name
sudo systemctl disable service_name


# 示例：禁用不必要的服务
sudo systemctl stop avahi-daemon
sudo systemctl disable avahi-daemon
sudo systemctl stop cups
sudo systemctl disable cups
sudo systemctl stop bluetooth
sudo systemctl disable bluetooth

高级安全加固#

SELinux配置#

Terminal window
# 查看SELinux状态
sestatus


# 临时设置SELinux模式
sudo setenforce 1  #  enforcing
sudo setenforce 0  #  permissive


# 永久设置SELinux模式
sudo nano /etc/selinux/config
# 设置 SELINUX=enforcing


# 查看SELinux布尔值
sudo getsebool -a


# 设置SELinux布尔值
sudo setsebool -P sshd_can_network_connect on


# 查看SELinux上下文
ls -Z /path/to/file


# 修改SELinux上下文
sudo chcon -t httpd_sys_content_t /path/to/file


# 恢复SELinux上下文
sudo restorecon -R /path/to/directory


# 查看SELinux日志
sudo ausearch -m AVC,USER_AVC,SELINUX_ERR

AppArmor配置#

Terminal window
# 查看AppArmor状态
sudo apparmor_status


# 查看AppArmor配置文件
ls /etc/apparmor.d/


# 编辑AppArmor配置文件
sudo nano /etc/apparmor.d/profile-name


# 启用AppArmor配置文件
sudo aa-enforce /etc/apparmor.d/profile-name


# 禁用AppArmor配置文件
sudo aa-complain /etc/apparmor.d/profile-name


# 重新加载AppArmor配置
sudo systemctl reload apparmor

内核安全#

内核参数配置#

Terminal window
# 编辑sysctl配置文件
sudo nano /etc/sysctl.conf


# 添加内核安全参数
# 禁用IP源路由
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0


# 禁用ICMP重定向
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0


# 启用反向路径过滤
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1


# 禁用IPv6路由重定向
net.ipv6.conf.all.accept_redirects = 0
net.ipv6.conf.default.accept_redirects = 0


# 启用SYN cookies
net.ipv4.tcp_syncookies = 1


# 禁用ICMP广播应答
net.ipv4.icmp_echo_ignore_broadcasts = 1


# 启用ignore_bogus_error_responses
net.ipv4.icmp_ignore_bogus_error_responses = 1


# 限制TCP TIME_WAIT状态
net.ipv4.tcp_max_tw_buckets = 5000


# 启用TCP FIN状态保护
net.ipv4.tcp_fin_timeout = 30


# 启用TCP SYN状态保护
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 2


# 应用sysctl配置
sudo sysctl -p

内核模块管理#

Terminal window
# 查看已加载的内核模块
lsmod


# 查看内核模块信息
modinfo module_name


# 加载内核模块
sudo modprobe module_name


# 卸载内核模块
sudo modprobe -r module_name


# 禁止加载特定内核模块
sudo nano /etc/modprobe.d/blacklist.conf
# 添加 blacklist module_name


# 示例：禁止加载不必要的内核模块
blacklist bluetooth
blacklist rfkill
blacklist floppy
blacklist usb-storage

审计系统#

安装和配置auditd#

Terminal window
# 安装auditd（Debian/Ubuntu）
sudo apt install -y auditd


# 安装auditd（RHEL/CentOS）
sudo yum install -y auditd


# 启动并启用auditd服务
sudo systemctl start auditd
sudo systemctl enable auditd


# 查看auditd状态
sudo systemctl status auditd


# 编辑auditd配置文件
sudo nano /etc/audit/auditd.conf


# 配置审计规则
sudo nano /etc/audit/rules.d/audit.rules


# 添加审计规则
# 监控密码文件
-w /etc/passwd -p wa -k passwd_changes
-w /etc/shadow -p wa -k shadow_changes
-w /etc/gshadow -p wa -k gshadow_changes
-w /etc/group -p wa -k group_changes


# 监控sudo使用
-w /usr/bin/sudo -p x -k sudo_usage


# 监控登录活动
-w /var/log/auth.log -p wa -k auth_log_changes  # Debian/Ubuntu
-w /var/log/secure -p wa -k auth_log_changes  # RHEL/CentOS


# 监控网络配置
-w /etc/network/ -p wa -k network_changes  # Debian/Ubuntu
-w /etc/sysconfig/network-scripts/ -p wa -k network_changes  # RHEL/CentOS


# 监控防火墙配置
-w /etc/ufw/ -p wa -k firewall_changes  # Debian/Ubuntu
-w /etc/firewalld/ -p wa -k firewall_changes  # RHEL/CentOS


# 应用审计规则
sudo augenrules --load


# 查看审计日志
sudo ausearch -k passwd_changes
sudo aureport -au  # 认证报告
sudo aureport -l  # 登录报告
sudo aureport -x  # 执行报告

应用程序安全#

软件包管理#

Terminal window
# 更新软件包
# Debian/Ubuntu
sudo apt update
sudo apt upgrade -y


# RHEL/CentOS
sudo yum update -y
sudo yum upgrade -y


# 清理不必要的软件包
# Debian/Ubuntu
sudo apt autoremove -y
sudo apt clean


# RHEL/CentOS
sudo yum autoremove -y
sudo yum clean all


# 安装必要的软件包，移除不必要的软件包
sudo apt install -y openssh-server ufw fail2ban auditd  # Debian/Ubuntu
sudo yum install -y openssh-server firewalld fail2ban auditd  # RHEL/CentOS


# 禁用不必要的软件仓库
sudo nano /etc/apt/sources.list  # Debian/Ubuntu
sudo nano /etc/yum.repos.d/*.repo  # RHEL/CentOS

Web服务器安全#

Nginx安全配置#

Terminal window
# 安装Nginx
sudo apt install -y nginx  # Debian/Ubuntu
sudo yum install -y nginx  # RHEL/CentOS


# 编辑Nginx配置文件
sudo nano /etc/nginx/nginx.conf


# 添加安全配置
# http {
#   server_tokens off;
#   add_header X-Content-Type-Options nosniff;
#   add_header X-Frame-Options SAMEORIGIN;
#   add_header X-XSS-Protection "1; mode=block";
#   add_header Content-Security-Policy "default-src 'self';";
#   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
# }


# 编辑虚拟主机配置文件
sudo nano /etc/nginx/sites-available/default


# 限制请求方法
# if ($request_method !~ ^(GET|POST|HEAD)$) {
#   return 405;
# }


# 限制上传文件大小
# client_max_body_size 10M;


# 重启Nginx服务
sudo systemctl restart nginx


# 测试Nginx配置
sudo nginx -t

Apache安全配置#

Terminal window
# 安装Apache
sudo apt install -y apache2  # Debian/Ubuntu
sudo yum install -y httpd  # RHEL/CentOS


# 编辑Apache配置文件
sudo nano /etc/apache2/apache2.conf  # Debian/Ubuntu
sudo nano /etc/httpd/conf/httpd.conf  # RHEL/CentOS


# 添加安全配置
# ServerTokens Prod
# ServerSignature Off
# TraceEnable Off
# Header set X-Content-Type-Options "nosniff"
# Header set X-Frame-Options "SAMEORIGIN"
# Header set X-XSS-Protection "1; mode=block"
# Header set Content-Security-Policy "default-src 'self';"
# Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"


# 启用必要的模块
sudo a2enmod headers  # Debian/Ubuntu
sudo a2enmod rewrite  # Debian/Ubuntu


# 重启Apache服务
sudo systemctl restart apache2  # Debian/Ubuntu
sudo systemctl restart httpd  # RHEL/CentOS


# 测试Apache配置
sudo apache2ctl configtest  # Debian/Ubuntu
sudo httpd -t  # RHEL/CentOS

数据库安全#

MySQL/MariaDB安全配置#

Terminal window
# 安装MySQL/MariaDB
sudo apt install -y mysql-server  # Debian/Ubuntu
sudo yum install -y mariadb-server  # RHEL/CentOS


# 运行安全加固脚本
# MySQL
sudo mysql_secure_installation


# MariaDB
sudo mysql_secure_installation


# 编辑MySQL配置文件
sudo nano /etc/mysql/mysql.conf.d/mysqld.cnf  # Debian/Ubuntu
sudo nano /etc/my.cnf.d/mariadb-server.cnf  # RHEL/CentOS


# 添加安全配置
# bind-address = 127.0.0.1
# skip-networking = 1
# max_connections = 100
# max_connect_errors = 10
# wait_timeout = 60
# interactive_timeout = 60
# tmp_table_size = 32M
# max_heap_table_size = 32M


# 重启MySQL/MariaDB服务
sudo systemctl restart mysql  # Debian/Ubuntu
sudo systemctl restart mariadb  # RHEL/CentOS


# 创建受限数据库用户
mysql -u root -p
# CREATE USER 'user'@'localhost' IDENTIFIED BY 'password';
# GRANT SELECT, INSERT, UPDATE, DELETE ON database.* TO 'user'@'localhost';
# FLUSH PRIVILEGES;
# EXIT;

PostgreSQL安全配置#

Terminal window
# 安装PostgreSQL
sudo apt install -y postgresql  # Debian/Ubuntu
sudo yum install -y postgresql-server  # RHEL/CentOS


# 初始化PostgreSQL（RHEL/CentOS）
sudo postgresql-setup --initdb


# 编辑PostgreSQL配置文件
sudo nano /etc/postgresql/13/main/postgresql.conf  # Debian/Ubuntu
sudo nano /var/lib/pgsql/data/postgresql.conf  # RHEL/CentOS


# 添加安全配置
# listen_addresses = 'localhost'
# max_connections = 100
# ssl = on
# ssl_cert_file = '/etc/ssl/certs/ssl-cert-snakeoil.pem'
# ssl_key_file = '/etc/ssl/private/ssl-cert-snakeoil.key'


# 编辑pg_hba.conf文件
sudo nano /etc/postgresql/13/main/pg_hba.conf  # Debian/Ubuntu
sudo nano /var/lib/pgsql/data/pg_hba.conf  # RHEL/CentOS


# 配置认证方式
# local   all             postgres                                peer
# local   all             all                                     md5
# host    all             all             127.0.0.1/32            md5
# host    all             all             ::1/128                 md5


# 重启PostgreSQL服务
sudo systemctl restart postgresql  # Debian/Ubuntu
sudo systemctl restart postgresql  # RHEL/CentOS


# 创建受限数据库用户
sudo -u postgres psql
# CREATE USER user WITH PASSWORD 'password';
# CREATE DATABASE database OWNER user;
# GRANT ALL PRIVILEGES ON DATABASE database TO user;
#

安全监控和审计#

入侵检测系统#

安装和配置OSSEC#

Terminal window
# 下载OSSEC
wget https://github.com/ossec/ossec-hids/archive/3.6.0.tar.gz


# 解压OSSEC
tar -xzf 3.6.0.tar.gz
cd ossec-hids-3.6.0/


# 安装OSSEC
./install.sh


# 启动OSSEC服务
sudo /var/ossec/bin/ossec-control start


# 查看OSSEC状态
sudo /var/ossec/bin/ossec-control status


# 查看OSSEC日志
sudo tail -f /var/ossec/logs/alerts/alerts.log


# 查看OSSEC报告
sudo /var/ossec/bin/ossec-reportd -a

安装和配置Wazuh#

Terminal window
# 安装Wazuh服务器
curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo apt-key add -
echo "deb https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee -a /etc/apt/sources.list.d/wazuh.list
sudo apt update
sudo apt install -y wazuh-manager


# 启动并启用Wazuh服务
sudo systemctl start wazuh-manager
sudo systemctl enable wazuh-manager


# 查看Wazuh状态
sudo systemctl status wazuh-manager


# 安装Wazuh代理
sudo apt install -y wazuh-agent


# 配置Wazuh代理
sudo nano /var/ossec/etc/ossec.conf
# 设置 <server-ip>Wazuh服务器IP</server-ip>


# 启动并启用Wazuh代理
sudo systemctl start wazuh-agent
sudo systemctl enable wazuh-agent


# 查看Wazuh代理状态
sudo systemctl status wazuh-agent

漏洞扫描#

安装和使用OpenVAS#

Terminal window
# 安装OpenVAS（Debian/Ubuntu）
sudo apt install -y openvas


# 初始化OpenVAS
sudo gvm-setup


# 启动OpenVAS服务
sudo gvm-start


# 访问OpenVAS Web界面
# https://localhost:9392


# 使用OpenVAS命令行工具
gvm-cli --gmp-username admin --gmp-password password socket --socketpath /var/run/openvas/openvas.sock --xml="<create_task><name>Scan Task</name><target id='target-id'/></create_task>"

安装和使用Nmap#

Terminal window
# 安装Nmap
sudo apt install -y nmap  # Debian/Ubuntu
sudo yum install -y nmap  # RHEL/CentOS


# 扫描开放端口
nmap -sT -p 1-65535 localhost


# 扫描操作系统
nmap -O localhost


# 扫描服务版本
nmap -sV localhost


# 扫描漏洞
nmap --script vuln localhost


# 扫描常见端口
nmap -F localhost


# 扫描多个主机
nmap 192.168.1.1-100

安全日志分析#

安装和配置ELK Stack#

Terminal window
# 安装Elasticsearch
# 参考官方文档


# 安装Logstash
# 参考官方文档


# 安装Kibana
# 参考官方文档


# 配置Filebeat收集日志
# 参考官方文档


# 访问Kibana Web界面
# http://localhost:5601

安装和配置Graylog#

Terminal window
# 安装Graylog
# 参考官方文档


# 配置Graylog输入
# 参考官方文档


# 访问Graylog Web界面
# http://localhost:9000

安全应急响应#

安全事件检测#

Terminal window
# 查看登录记录
last
lastb


# 查看认证日志
grep "Failed password" /var/log/auth.log  # Debian/Ubuntu
grep "Failed password" /var/log/secure  # RHEL/CentOS


# 查看sudo使用情况
grep "sudo" /var/log/auth.log  # Debian/Ubuntu
grep "sudo" /var/log/secure  # RHEL/CentOS


# 查看网络连接
netstat -tulnp
ss -tulnp


# 查看异常进程
ps aux | grep "[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}"
ps aux | grep "\./"


# 查看异常文件
find / -name "*.sh" -mtime -1 -type f
find / -perm -4000 -type f


# 查看系统调用
strace -p PID

安全事件响应#

Terminal window
# 隔离受感染的系统
# 断开网络连接


# 收集证据
# 复制日志文件
# 保存内存镜像
# 保存磁盘镜像


# 终止恶意进程
sudo kill -9 PID


# 删除恶意文件
sudo rm -f /path/to/malicious/file


# 移除恶意账户
sudo userdel username


# 重置密码
sudo passwd username


# 重新配置安全设置
# 重新配置防火墙
# 重新配置SSH
# 重新配置认证


# 扫描系统漏洞
sudo nmap --script vuln localhost


# 更新系统和应用程序
sudo apt update && sudo apt upgrade -y  # Debian/Ubuntu
sudo yum update -y  # RHEL/CentOS


# 验证系统安全状态
# 运行安全扫描
# 检查系统日志
# 检查系统配置

安全加固最佳实践#

定期安全审计#

  1. 系统审计：定期检查系统配置、账户、权限等
  2. 网络审计：定期检查网络配置、防火墙规则、开放端口等
  3. 应用审计：定期检查应用程序配置、漏洞等
  4. 安全扫描：定期运行漏洞扫描工具，发现和修复安全漏洞
  5. 日志分析：定期分析系统日志，发现异常活动

安全更新#

  1. 及时更新：及时更新系统和应用程序，修补已知的安全漏洞
  2. 测试更新：在测试环境中测试更新，确保更新不会影响系统运行
  3. 备份：在更新前备份系统和数据，防止更新失败导致系统故障
  4. 更新策略：制定合理的更新策略，平衡安全性和稳定性

安全培训#

  1. 用户培训：培训用户安全意识，如密码管理、钓鱼防范等
  2. 管理员培训：培训系统管理员安全技能，如安全配置、漏洞修复等
  3. 应急响应培训：培训安全团队应急响应技能，如安全事件处理、取证分析等

安全文档#

  1. 安全策略：制定系统安全策略，明确安全要求和责任
  2. 安全配置指南：制定系统安全配置指南，规范安全配置
  3. 应急响应计划：制定安全应急响应计划，明确安全事件处理流程
  4. 安全审计报告：记录安全审计结果，跟踪安全问题的修复情况

常见安全问题及解决方案#

密码破解#

症状：系统日志中出现大量失败的登录尝试。

解决方案：

  • 配置fail2ban，禁止多次失败的登录尝试
  • 实施强密码策略，要求使用复杂密码
  • 启用双因素认证
  • 限制登录时间和地点

权限提升#

症状：非特权用户获取了特权访问权限。

解决方案：

  • 实施最小权限原则，限制用户权限
  • 定期检查SUID/SGID文件，移除不必要的权限
  • 启用SELinux或AppArmor，限制进程权限
  • 定期审计用户权限，发现和修复权限问题

网络攻击#

症状：系统遭受DDoS攻击、端口扫描等网络攻击。

解决方案：

  • 配置防火墙，限制入站流量
  • 使用入侵检测系统，检测和阻止网络攻击
  • 启用SYN cookies，防止SYN洪水攻击
  • 配置网络流量限制，防止DDoS攻击

恶意软件#

症状：系统中发现恶意软件，如病毒、木马、勒索软件等。

解决方案：

  • 安装杀毒软件，定期扫描系统
  • 启用入侵检测系统，检测和阻止恶意软件
  • 定期更新系统和应用程序，修补已知的安全漏洞
  • 加强用户培训，提高安全意识

数据泄露#

症状：敏感数据被未授权访问或泄露。

解决方案：

  • 加密敏感数据，保护数据安全
  • 实施访问控制，限制对敏感数据的访问
  • 启用数据审计，跟踪数据访问
  • 制定数据泄露响应计划，及时处理数据泄露事件

总结#

本文介绍了Linux系统中常用的安全加固命令和技巧，包括系统基础安全加固、高级安全加固、应用程序安全、安全监控和审计、安全应急响应等方面的内容。通过掌握这些命令和技巧，系统管理员可以更高效地保护Linux系统，提高系统的安全性、可靠性和稳定性。

安全加固是一个持续的过程，需要系统管理员不断学习和实践，积累经验。在安全加固过程中，系统管理员需要平衡安全性和可用性，根据系统的实际情况选择合适的安全措施。同时，系统管理员还需要关注安全技术的发展趋势，及时更新知识，以适应新的安全挑战。

练习#

  1. 实施系统基础安全加固，包括账户安全、密码策略、文件系统安全等。
  2. 配置防火墙，限制入站和出站流量。
  3. 配置SSH安全，禁止root远程登录，使用密钥认证。
  4. 安装和配置SELinux或AppArmor，增强系统安全。
  5. 配置内核安全参数，提高系统安全性。
  6. 安装和配置auditd，启用系统审计。
  7. 安装和配置入侵检测系统，如OSSEC或Wazuh。
  8. 定期运行安全扫描工具，发现和修复安全漏洞。
  9. 制定安全应急响应计划，模拟安全事件处理。
  10. 定期进行安全审计，评估系统安全状态。

支持与分享

如果这篇文章对你有帮助，欢迎分享给更多人或赞助支持！

赞助
Linux系统安全加固命令和技巧
https://blog.vanilla.net.cn/posts/2026-02-05-linux-security-hardening/
作者
鹁鸪
发布于
2026-02-09
许可协议
CC BY-NC-SA 4.0
Linux云服务管理命令和技巧
Java日期和时间处理详解

评论区

分享你的想法，与大家交流讨论

© 2026 鹁鸪. All Rights Reserved. / RSS / Sitemap
Powered by Astro & Firefly

目录