Linux系统加固围绕“最小权限、及时更新、有效监控”三原则做减法：关闭无用服务端口、强化用户权限管理、配置防火墙与fail2ban、完善日志审计及自动安全更新。
Linux系统加固不是堆砌安全工具，而是围绕“最小权限、及时更新、有效监控”三个核心做减法和加固。重点不在装多少软件，而在关掉什么、限制什么、记录什么。
关闭无用服务和端口
系统默认开启的服务越多，攻击面越大。先查当前监听的端口和服务，再停用非必需项。
- 运行 ss -tuln 或 netstat -tuln 查看所有监听端口
- 用 systemctl list-unit-files --type=service | grep enabled 列出开机自启服务
- 停用并禁用不用的服务，例如：sudo systemctl stop avahi-daemon && sudo systemctl disable avahi-daemon
- 特别注意：telnet、rsh、ftp、rpcbind、xinetd 等老旧协议服务，除非明确需要，一律关闭
强化用户与权限管理
避免长期使用 root 操作，限制高危命令执行范围，是防误操作和横向渗透的关键。
- 禁用 root 远程 SSH 登录：PermitRootLogin no（修改 /etc/ssh/sshd_config 后重启 sshd）
- 为日常运维创建专用普通用户，并加入 wheel 组（CentOS/RHEL）或 sudo 组（Ubuntu/Debian）
- 用 sudo visudo 配置精细权限，例如只允许某用户重启 nginx：%webadmin ALL=(root) /bin/systemctl restart nginx
- 定期检查 /etc/passwd 中 UID=0 的用户（除 root 外不应存在），删除可疑账户
配置防火墙与登录防护
iptables/nftables 是第一道网络防线，fail2ban 能自动封禁暴力破解 IP。
- CentOS 7+/RHEL 8+ 默认用 nftables，可先清空规则：sudo nft flush ruleset，再按需添加白名单策略
- Ubuntu/Debian 推荐用 ufw 快速启用基础防护：sudo ufw default deny incoming，再开放 SSH、HTTP 等必要端口
- 安装 fail2ban：sudo apt install fail2ban（Debian系）或 yum install epel-release && yum install fail2ban（RHEL系）
- 启用 jail.local 配置，限制 SSH 尝试次数，例如 5 分钟内失败 3 次即封禁 1 小时
日志审计与自动更新
出问题时能快速回溯，比“不出问题”更重要；补丁不及时，再强的配置也形同虚设。
- 确保 rsyslog 或 journald 正常运行，关键日志如 /var/log/auth.log（Debian）或 /var/log/secure（RHEL）要定期归档
- 配置远程日志服务器（如 rsyslog over TLS），防止本地日志被篡改或清除
- 启用自动安全更新：Ubuntu 可开 unattended-upgrades；RHEL/CentOS 可配 yum-cron 并设置仅更新安全包
- 每月手动执行一次 sudo apt list --upgradable 或 sudo yum check-update，确认更新策略生效
基本上就这些。加固不是一劳永逸，而是一次配置、持续验证的过程。每次上线新服务、调整网络策略、或收到 CVE 通告后，都应回头检查对应环节。不复杂但容易忽略。
