通过SELinux、Suricata和Fail2ban构建Linux多层防御体系：首先启用SELinux实现强制访问控制，限制进程权限；其次部署Suricata作为网络层IPS，实时检测并阻断恶意流量；同时配置Fail2ban监控日志，自动封禁异常IP；最后结合服务最小化、日志审计与系统更新等加固措施，形成纵深防护。
Linux系统在面对网络攻击时，仅靠基础防火墙难以应对复杂威胁。设置入侵防御系统（Intrusion Prevention System, IPS）能主动识别并阻断恶意行为。通过部署开源工具如Snort或Suricata，结合系统级防护机制，可构建有效的Linux入侵防御体系。
启用并配置SELinux增强访问控制
SELinux是Linux内核的安全模块，通过强制访问控制（MAC）限制进程权限，防止提权攻击。
1. 检查SELinux状态：
sestatus
若未启用，可在/etc/selinux/config中设置SELINUX=enforcing。
2. 使用预定义策略：
安装策略管理工具：yum install policycoreutils-python-utils（CentOS/RHEL）或apt install selinux-utils（Debian/Ubuntu）。
根据服务需求调整上下文标签，例如为Web目录设置httpd_sys_content_t。
3. 监控与排错：
查看拒绝日志：ausearch -m avc -ts recent，利用setroubleshoot分析问题。
部署Suricata作为网络层IPS
Suricata是一款高性能开源IDS/IPS，支持实时流量分析和规则匹配。
1. 安装Suricata：
CentOS/RHEL：yum install suricata
Ubuntu/Debian：apt install suricata
2. 配置基本参数：
编辑主配置文件/etc/suricata/suricata.yaml：
- 设置af-packet接口监听网卡（如eth0）
- 启用规则集路径，推荐使用ET Open Rules或Emerging Threats社区规则
- 开启detect-engine的自动加载功能
3. 启用主动阻断模式：
在配置中设置mode: ips，并集成iptables/ipset实现动态封禁。
示例：当检测到SSH暴力破解时，通过脚本调用iptables添加DROP规则。
结合Fail2ban实现应用层防护
Fail2ban监控日志文件，自动封禁异常IP，适用于SSH、Apache等服务。
1. 安装与启动：
yum install fail2ban 或 apt install fail2ban
启动服务：systemctl start fail2ban && systemctl enable fail2ban
2. 自定义jail规则：
复制jail.conf为jail.local避免更新覆盖。
修改关键参数：
- bantime = 3600（封禁时长）
- findtime = 600（检测窗口）
- maxretry = 3（最大失败次数）
3. 添加自定义过滤器：
创建/etc/fail2ban/filter.d/sshd-custom.conf，定义正则匹配异常登录行为。
在jail.local中引用该过滤器保护SSH服务。
系统层面加固与日志审计
入侵防御不仅依赖专用工具，还需整体安全策略配合。
1. 最小化服务暴露：
关闭不必要的端口和服务，使用netstat -tuln检查监听状态。
配置firewalld或iptables仅开放必需端口。
2. 启用日志集中管理：
配置rsyslog将日志发送至远程服务器，防止本地篡改。
结合auditd记录关键系统调用，如文件修改、权限变更。
3. 定期更新与检查：
使用yum update或apt upgrade保持系统补丁最新。
利用Lynis等工具进行安全审计，发现潜在配置风险。
基本上就这些。从SELinux到Suricata再到Fail2ban，层层设防才能有效抵御常见攻击。关键是持续监控日志、及时响应告警，并根据实际环境调整规则阈值。不复杂但容易忽略细节。
