Linux服务器安全加固是系统管理员日常工作中的重要环节，本文将提供一份系统化的安全加固清单，帮助保护服务器免受常见威胁。

问题背景与适用场景

随着网络攻击手段的不断演进，Linux服务器面临的安全威胁日益严峻。未经验证的系统默认配置、不必要的开放服务、弱密码策略等都可能成为攻击者的入口点。安全加固适用于所有暴露在互联网或企业内网中的Linux服务器，尤其是Web服务器、数据库服务器和承载关键业务的应用服务器。

安全加固原理

安全加固的核心原则是"最小权限原则"和"纵深防御"。最小权限原则确保系统和用户只拥有完成其任务所必需的最小权限；纵深防御则通过多层安全措施构建防御体系，即使一层被突破，其他层仍能提供保护。

安全加固操作步骤

1. 系统更新与补丁管理

保持系统和软件包的最新状态是防御已知漏洞的基础。

# 更新系统包列表
sudo apt update

# 升级所有已安装的包
sudo apt upgrade -y

# 自动清理不再需要的包
sudo apt autoremove -y

2. 用户账户与权限管理

严格控制用户账户，禁用不必要的账户，实施强密码策略。

# 禁用不必要的系统账户
sudo usermod -L games
sudo usermod -L lp

# 为root账户设置强密码
sudo passwd root

# 创建具有sudo权限的管理员账户
adduser adminuser
usermod -aG sudo adminuser

3. SSH安全配置

SSH是远程管理服务器的主要方式，需要加强其安全性。

# 编辑SSH配置文件
sudo nano /etc/ssh/sshd_config

# 修改以下配置
Port 2222  # 更改默认SSH端口
PermitRootLogin no  # 禁止root直接登录
PasswordAuthentication no  # 禁用密码认证，仅使用密钥
MaxAuthTries 3  # 限制认证尝试次数
LoginGraceTime 60  # 设置登录超时时间

# 重启SSH服务
sudo systemctl restart sshd

4. 防火墙配置

配置防火墙规则，仅开放必要的端口。

# 安装UFW (Uncomplicated Firewall)
sudo apt install ufw -y

# 设置默认策略为拒绝
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 开放必要端口
sudo ufw allow 2222/tcp  # SSH端口
sudo ufw allow 80/tcp    # HTTP
sudo ufw allow 443/tcp   # HTTPS

# 启用防火墙
sudo ufw enable

5. 服务最小化原则

禁用或卸载不必要的服务和软件包。

# 查看正在运行的服务
systemctl list-units --type=service

# 禁用不必要的服务
sudo systemctl disable telnet.socket
sudo systemctl disable rpcbind.socket

# 卸载不必要的服务
sudo apt purge telnetd -y
sudo apt purge nfs-kernel-server -y

6. 日志监控

配置日志监控，及时发现异常活动。

# 安装日志监控工具
sudo apt install logwatch -y

# 配置logwatch
sudo nano /etc/cron.daily/00logwatch

# 设置接收日志报告的邮箱
echo "MAILTO=admin@example.com" | sudo tee -a /etc/cron.daily/00logwatch

7. 安全工具部署

部署入侵检测系统和安全扫描工具。

# 安装Fail2ban防止暴力破解
sudo apt install fail2ban -y

# 配置Fail2ban
sudo nano /etc/fail2ban/jail.local

# 添加SSH保护配置
[sshd]
enabled = true
port = 2222
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600

# 重启Fail2ban
sudo systemctl restart fail2ban

# 安装漏洞扫描工具
sudo apt install lynis -y

# 运行安全审计
sudo lynis audit system

示例代码：自动化安全检查脚本

以下是一个简单的Bash脚本，用于定期检查系统安全状态：

#!/bin/bash
# 安全检查脚本

# 检查是否有用户使用弱密码
echo "检查弱密码..."
awk -F: '$2 == "" {print $1 " 没有设置密码!"}' /etc/shadow

# 检查是否有异常登录
echo "检查最近登录记录..."
last -n 10 | grep -v "reboot\|wtmp\|root"

# 检查开放端口
echo "检查开放端口..."
ss -tulnp | grep -v "LISTEN\|127.0.0.1"

# 检查磁盘空间
echo "检查磁盘空间..."
df -h | awk '$5 > 80 {print $6 " 使用率 " $5}'

# 检查系统更新
echo "检查系统更新..."
apt list --upgradable 2>/dev/null | wc -l

常见问题与注意事项

  1. SSH连接问题：更改SSH端口后，确保防火墙允许新端口，否则可能导致无法连接。
  2. 服务依赖问题：禁用某些服务前，检查是否有其他服务依赖它，避免系统功能异常。
  3. 备份策略：在进行安全配置更改前，确保有完整的系统备份，以便在出现问题时可以恢复。
  4. 定期审查：安全加固不是一次性工作，需要定期审查和更新安全配置。
  5. 文档记录：记录所有安全配置更改，便于追踪问题和团队协作。

排错思路

当安全加固后出现问题时，可按照以下思路排查：

  1. 检查日志：系统日志(/var/log/)和应用程序日志通常包含错误信息。
  2. 逐步回退：如果可能，逐步回退最近的安全配置更改，确定问题所在。
  3. 测试环境验证：在测试环境中重现问题，避免影响生产环境。
  4. 安全模式启动：某些问题可以通过安全模式启动来排查。
  5. 寻求社区帮助：查阅官方文档和社区论坛，获取专业建议。

总结

Linux服务器安全加固是一个持续的过程，需要结合技术手段和管理措施。本文提供的清单涵盖了系统更新、用户管理、SSH配置、防火墙、服务最小化、日志监控和安全工具部署等关键方面。通过实施这些措施，可以显著提高服务器的安全性，降低被攻击的风险。记住，安全加固没有终点，需要定期评估和更新，以应对不断变化的威胁环境。

主楼