如何开展 Linux 服务器的安全防护

以下从防护框架、核心措施、应急加固三方面展开

一、安全防护的核心框架

1. 最小化原则

· 系统层面：仅安装必要软件包，禁用非必需服务（如systemctl disable avahi-daemon）。

· 权限层面：遵循最小权限原则，使用sudo精细化授权（通过visudo配置）。

· 网络层面：防火墙默认拒绝，仅开放业务必要端口。

2. 分层防御模型

· 网络层：防火墙（iptables/nftables）→ 应用层：WAF → 主机层：SELinux/AppArmor → 进程层：权限控制 → 数据层：加密存储。

3. 自动化运维

· 使用Ansible/SaltStack固化安全配置，确保一致性。

· 关键配置版本化管理（如/etc/目录通过Git跟踪变更）。

二、核心防护措施（实战要点）

1. 访问控制与认证

· SSH安全加固

# 修改sshd_config示例：

Port 29222 # 非标准端口

PermitRootLogin no

PasswordAuthentication no # 强制密钥认证

AllowUsers ops_user@192.168.1.0/24

MaxAuthTries 3

UsePAM yes

· 补充：密钥需加密存储，建议使用ed25519算法。

· 双因素认证（2FA）

· 关键服务器配置Google Authenticator（集成PAM模块）。

2. 持续监控与审计

· 日志集中化

· Rsyslog/Syslog-ng转发日志至独立日志服务器（避免本地擦除）。

· 使用ELK或Graylog构建日志分析平台，设置关键告警（如多次登录失败）。

· 文件完整性监控

· 部署AIDE/Tripwire，基线生成后定期对比：

aide --init && mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

关键目录监控示例：/bin、/sbin、/usr/bin、/etc。

· 入侵检测系统

· 网络层：Suricata（规则定期更新）。

· 主机层：OSSEC/Wazuh（检测rootkit、异常进程）。

3. 服务与内核加固

· 内核参数调优

# /etc/sysctl.d/99-secure.conf

net.ipv4.tcp_syncookies = 1

net.ipv4.conf.all.rp_filter = 1

kernel.kptr_restrict = 2

vm.mmap_min_addr = 65536

· SELinux/AppArmor强制访问控制

· 生产环境优先启用SELinux并设置为Enforcing模式：

semanage port -a -t ssh_port_t -p tcp 29222 # 为SSH非标端口打标签

· 容器安全·Docker场景：启用User namespace，容器以非root运行，使用Seccomp配置。

4. 漏洞管理

· 自动化漏洞扫描

· 使用OpenSCAP定期扫描，配合CVE数据库（如clair对容器镜像扫描）。

· 补丁管理策略

· 分环境滚动更新：测试 → 预发 → 生产，高危漏洞72小时内闭环。

三、应急响应与安全加固流程

第一阶段：入侵确认与隔离

1. 快速取证

· 避免惊动攻击者：通过内存取证工具（LiME）提取进程列表、网络连接。

· 备份被篡改文件（cp -a保留时间戳和属性）。

· 网络隔离：通过防火墙或物理拔网线阻断可疑IP。

2. 入侵痕迹排查

# 检查异常进程/网络连接

ps auxf | grep -E "(\.tmp|/var/tmp)"

netstat -antp | grep ESTABLISHED

lsof -p <可疑PID>

# 排查后门账户

awk -F: '$3==0 {print $1}' /etc/passwd

grep ":x:0:" /etc/passwd

# 检查定时任务/服务

systemctl list-units --state=running

crontab -l -u root

ls -la /etc/cron.*/

第二阶段：清除与恢复

1. 恶意代码清除

· 使用chroot或临时启动盘挂载磁盘，使用ClamAV/RKHunter扫描。

· 重点检查动态链接库劫持：ldd检查关键命令依赖。

2. 服务恢复

· 从可信介质重建受染系统（保留/home、/data等分区）。

· 修改所有账户密码（包括服务账户），清理authorized_keys文件。

第三阶段：加固与复盘

1. 漏洞根因分析

· 通过日志还原攻击路径（如Apache日志中注入payload）。

· 检查是否配置缺陷导致（如Redis未鉴权、Nginx目录穿越）。

2. 针对性加固

· 案例：若因WebShell入侵，则增加PHP防护：

php

open_basedir = /var/www/html # 限制PHP访问范围disable_functions = exec,system,passthru

· 部署网络隔离：业务网段与运维网段通过跳板机互通。

3. 复盘文档化

· 编写事故报告（Timeline、攻击向量、修复方案）。

· 更新安全基线配置，强化监控规则（如增加WebShell特征检测）。

四、日常安全习惯

1. 运维规范

· 统一跳板机+堡垒机，禁止直连生产服务器。

· 敏感操作需两人复核（如iptables规则清空）。

2. 备份验证

· 采用3-2-1原则：3份备份，2种介质，1份离线存储。

· 定期恢复演练（每季度至少一次）。

3. 安全培训

· 团队内部分享最新漏洞案例（如Log4j应急流程）。

· 建立内部漏洞知识库，记录历史故障与解决方案。

五、进阶建议

· 零信任架构实践：微服务场景下，使用SPIFFE/SPIRE实现服务身份认证。

· 硬件安全模块（HSM）：对证书、密钥进行硬件级保护。

· 威胁情报联动：订阅行业威胁情报（如AlienVault OTX），动态屏蔽恶意IP。

安全本质是持续对抗的过程，没有一劳永逸的方案。关键在于建立“预防-检测-响应”的闭环，并将安全实践内化为团队文化。每一次安全事件都是优化防御体系的机会。