Linux服务器安全策略详解，新手如何快速上手配置？

Linux服务器安全策略是保障系统稳定运行和数据安全的核心,需要从系统加固、访问控制、漏洞管理、日志审计等多个维度综合实施，以下从关键环节详细阐述具体策略及操作方法。

系统初始化安全配置

最小化安装原则
仅安装必要的软件包，避免冗余组件，可通过minimalinstall或debootstrap等工具实现精简安装，减少攻击面，在Ubuntu中使用tasksel minimal模式，或CentOS使用Minimal Install选项。
用户与权限管理
- 禁用或删除默认账户：如root远程登录需禁用（修改/etc/ssh/sshd_config中PermitRootLogin no），创建普通用户并赋予sudo权限。
- 密码策略：强制使用复杂密码（长度≥12位，包含大小写字母、数字及特殊字符），通过/etc/login.defs设置密码过期时间（如PASS_MAX_DAYS 90）。
- 锁定闲置账户：使用usermod L username锁定长期未用账户，或通过lastlog命令定期检查。
文件系统权限
- 关键目录权限控制：如/etc（600）、/var/log（644）、/home（750）等，避免敏感文件被未授权访问。
- SUID/SGID文件审计：定期扫描find / type f ( perm 4000 o perm 2000 ) exec ls l {} ;，清理不必要的特权程序。

防火墙配置
使用iptables或firewalld限制入站流量，仅开放必要端口（如SSH 22、HTTP 80），示例iptables规则：

iptables A INPUT p tcp dport 22 j ACCEPT  # 允许SSH
iptables A INPUT p tcp dport 80 j ACCEPT  # 允许HTTP
iptables A INPUT j DROP  # 默认拒绝其他流量

服务最小化
禁用不必要的服务：通过systemctl listunitfiles type=service查看，使用systemctl disable service_name停止（如telnet、rsh等），保留必要服务（如SSH、Nginx），并修改默认端口（如SSH改为2222）。
SSH安全加固
- 修改配置文件/etc/ssh/sshd_config：禁用密码登录（PasswordAuthentication no，改用密钥认证）、禁用空密码（PermitEmptyPasswords no）、限制登录用户（AllowUsers user1 user2）。
- 禁用root直接登录后，通过普通用户su或sudo提权。

系统更新
定期更新系统包：
- Debian/Ubuntu: apt update && apt upgrade y
- CentOS/RHEL: yum update y 或 dnf update y
  配置自动更新（如unattendedupgrades）或设置定时任务（如cron每日凌晨更新）。
漏洞扫描
使用工具定期扫描：
- lynis：系统安全审计，生成详细报告（lynis audit system）。
- OpenVAS：专业漏洞扫描，检测已知CVE漏洞。
- ClamAV：病毒扫描，定期执行clamscan r /。

日志配置
启用系统日志服务（rsyslog），确保关键日志记录：
- 认证日志：/var/log/auth.log（记录SSH登录、sudo操作）。
- 系统日志：/var/log/syslog（记录内核、服务事件）。
- 日志轮转：配置/etc/logrotate.conf，避免日志占满磁盘。
实时监控
使用fail2ban防范暴力破解：
```
apt install fail2ban  # 安装
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local  # 修改配置
systemctl enable fail2ban  # 启用服务
```
监控资源使用：通过top、htop或nmon检查CPU、内存、磁盘IO，异常时触发告警（如配置zabbix或prometheus）。

备份策略
- 全量备份：每周执行rsync a /backup/source /backup/destination。
- 增量备份：使用tar listedincremental=/var/log/snapshot.snar。
- 异地备份：将备份文件同步至云存储（如AWS S3）或远程服务器。
加密与验证
备份文件加密：使用gpg c backup.tar.gz，密钥单独存储，定期测试恢复流程，确保备份数据可用。

内核参数优化
通过/etc/sysctl.conf加固网络：

net.ipv4.ip_forward = 0  # 禁用IP转发
net.ipv4.conf.all.send_redirects = 0  # 禁止发送重定向
net.ipv4.conf.all.accept_source_route = 0  # 拒绝源路由

容器安全（如适用）
使用Docker时：
- 以非root用户运行容器（usernsremap）。
- 限制容器资源（memory 1g cpus 0.5）。
- 定期扫描镜像漏洞（docker scan image_name）。