禁用自动挂载设备是服务器加固关键措施，可防范恶意usb设备执行代码、提权及数据窃取；需停用udisks2服务、禁用桌面环境自动挂载、检查udev规则、屏蔽usb-storage模块并限制物理接入。
禁用自动挂载设备是服务器系统加固中一项基础但关键的安全措施。它能有效防止未经授权的外部存储设备（如U盘、移动硬盘）被系统自动识别并挂载，从而规避恶意代码执行、敏感数据窃取或提权攻击等风险。
为什么需要禁用自动挂载
Linux 系统默认可能启用 udisks2、autofs 或桌面环境（如 GNOME、KDE）的自动挂载服务，这些机制在服务器场景下毫无必要，反而构成攻击面：
- 插入恶意 USB 设备可能触发脚本执行（如 .desktop 文件、autorun 类机制）
- 挂载的设备若含可执行文件，配合本地权限滥用可导致提权
- 非管理员用户可能通过挂载绕过文件访问控制，读取或写入敏感路径
- 日志和监控难以覆盖自动挂载行为，增加溯源难度
关闭 udisks2 服务（主流方案）
udisks2 是现代 Linux 发行版中默认的磁盘管理守护进程，负责自动探测和挂载可移动设备。服务器上应直接停用并禁启：
- 执行 systemctl stop udisks2 停止当前服务
- 执行 systemctl disable udisks2 防止开机自启
- 可选：卸载软件包（如 Debian/Ubuntu 运行 apt purge udisks2；CentOS/RHEL 使用 yum remove udisks2）
禁用桌面环境相关组件（如有 GUI）
若服务器因运维需要保留图形界面，需额外关闭桌面级自动挂载逻辑：
- GNOME：运行 gsettings set org.gnome.desktop.media-handling automount false 和 automount-open false
- KDE：在 System Settings → Removable Devices 中关闭“Enable automatic mounting”
- 统一检查：确认 /etc/udev/rules.d/ 下无自定义挂载规则（如涉及 RUN+="udisksctl mount..." 的条目）
验证与加固补充
禁用后需验证效果，并辅以其他控制手段：
- 插入 USB 设备后执行 lsblk 或 mount，确认无新挂载点出现
- 检查内核参数：确保 usb-storage 模块未被自动加载（可添加 blacklist usb-storage 到 /etc/modprobe.d/blacklist.conf，再运行 update-initramfs -u）
- 限制物理接入：机房服务器应禁用前置 USB 口，或 BIOS 中关闭 USB Legacy Support
- 审计日志：启用 auditd 监控 mount 系统调用，规则示例：-a always,exit -F arch=b64 -S mount -k usb_mount
不复杂但容易忽略
