linux服务器安全基线加固围绕“收缩暴露面、限制权限、可审计、能响应”四目标系统推进，重点堵住弱口令、root直连、服务冗余、日志缺失等高频攻击路径。
Linux服务器安全基线加固不是堆砌命令，而是围绕“收缩暴露面、限制权限、可审计、能响应”四个核心目标系统推进。重点不在装多少工具，而在每一步是否真正堵住常见攻击路径——比如弱口令、root直连、服务冗余、日志缺失这些高频入口。
账号与认证：从源头掐断暴力破解
攻击者最常从登录环节突破。必须做到：
- 禁用root远程SSH登录：编辑/etc/ssh/sshd_config，设PermitRootLogin no，然后systemctl restart sshd
- 强制使用密钥登录：关闭密码认证（PasswordAuthentication no），为每个运维人员生成独立密钥对，禁用空密码账户（awk -F: '($2 == "") {print $1}' /etc/shadow检查）
- 设置强口令策略：通过/etc/login.defs统一控制新建用户（PASS_MAX_DAYS 90、PASS_MIN_LEN 12），再用chage -M 90 -W 7 username对已有账户生效
- 启用登录失败锁定：在/etc/pam.d/system-auth中添加auth [default=die] pam_faillock.so authfail deny=5 unlock_time=600，5次失败后锁10分钟
权限与服务：遵循最小化原则
系统越“瘦”，风险越少：
- 删除或锁定无用账户：对sync、shutdown、halt等默认系统账户执行usermod -s /sbin/nologin username
- 检查并清理UID为0的非root用户：awk -F: '($3 == 0) {print $1}' /etc/passwd，只保留root
- 最小化安装和服务：仅安装必需包（如CentOS用yum groupinstall "Minimal Install"），停用并禁启telnet、ftp、rsh等明文协议服务
- 关键文件权限收紧：chmod 600 /etc/shadow、chmod 644 /etc/passwd、chmod 644 /etc/group
网络与访问控制：默认拒绝，精准放行
防火墙是第一道网关，不能只开22端口了事：
- iptables/nftables设默认策略为DROP：iptables -P INPUT DROP，再按需添加白名单规则（如仅允许可信IP段连SSH）
- 配合fail2ban防爆破：在/etc/fail2ban/jail.local中启用sshd监控，设maxretry = 3、bantime = 86400（封24小时）
- 禁用危险协议：删除/root/.netrc、/root/.rhosts等自动认证文件（find / -name ".netrc" -o -name ".rhosts" 2>/dev/null）
- 限制sudo权限：不用%wheel ALL=(ALL) ALL，改用精确命令白名单，例如opsadmin ALL=(ALL) NOPASSWD: /bin/systemctl restart nginx
审计与持续防护：让行为可追溯、风险可感知
没有日志的安全等于没安全：
- 开启关键服务日志：确保rsyslog运行，配置/etc/rsyslog.conf将auth、kern、daemon等模块日志集中保存
- 记录所有sudo操作：在/etc/sudoers中添加Defaults logfile="/var/log/sudo.log"和Defaults log_input,log_output
- 定期校验系统完整性：用rpm -Va（RHEL/CentOS）或debsums（Debian/Ubuntu）检查关键二进制文件是否被篡改
- 部署基础入侵检测：轻量级方案可用aide（高级入侵检测环境），初始化数据库后定期比对文件变化
