1. 项目概述为什么需要一份“等保2.0”视角的Linux加固手册如果你是一名运维工程师、安全工程师或者正在负责公司线上业务服务器的管理那么“服务器安全”这四个字大概率是你每天睁开眼就要面对的压力。各种安全扫描报告、漏洞预警、应急响应通知总让人神经紧绷。尤其是在国内当你的系统需要满足“等保2.0”网络安全等级保护2.0的合规要求时这种压力会变得更加具体和迫切。等保测评不再是“可选项”而是关乎业务能否合法合规运营的“必答题”。这份手册就是从这个“必答题”的实战角度出发为你梳理的一份Linux服务器加固操作指南。它不是一个简单的命令罗列而是结合了等保2.0测评中的关键控制点将安全要求转化为具体的、可执行的配置步骤。等保2.0对操作系统层面的安全提出了明确要求比如身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范等。这些要求听起来很“官方”但落到Linux服务器上就是一个个具体的配置文件、内核参数和守护进程。为什么说这是“不二选择”因为在实践中很多团队的安全建设是零散的今天补个漏洞明天改个密码策略缺乏体系化的梳理。等到等保测评前夕往往需要投入大量人力进行突击整改费时费力还可能遗漏关键项。这份手册的目的就是帮你把日常的、必须做的安全加固工作系统化、标准化让你无论是应对日常安全运维还是准备等保测评都能有一份清晰的“作战地图”。它不是要你照搬所有配置而是理解每个配置背后的安全逻辑从而能够根据自己业务的实际环境进行灵活调整和强化。2. 等保2.0核心要求与Linux安全映射等保2.0的技术要求部分特别是安全通用要求是服务器加固的纲领性文件。我们不需要逐条背诵但必须理解其核心思想并将其映射到Linux系统的具体能力上。这能确保我们的加固工作不是盲目的而是有据可依、重点突出的。2.1 身份鉴别与访问控制这是等保的第一道防线对应等保条款中的“身份鉴别”和“访问控制”大类。在Linux层面这主要围绕“谁可以登录”和“登录后能做什么”展开。身份鉴别要求对登录用户进行身份标识和鉴别且身份标识具有唯一性。这意味着我们需要禁用空口令和弱口令通过pam_pwquality或pam_cracklib模块强制密码复杂度策略。启用失败处理机制连续多次登录失败后锁定账户防止暴力破解。这通过pam_tally2或pam_faillock模块实现。启用登录超时自动退出对于闲置的会话应自动终止防止他人趁虚而入。通过TMOUT环境变量或tmout配置实现。禁止root用户直接远程登录这是黄金法则。强制所有管理员通过普通用户登录再使用sudo提权。这极大地增加了攻击者获取最高权限的难度。访问控制依据安全策略控制用户对系统资源文件、目录、设备、服务等的访问。这意味着我们需要遵循最小权限原则用户和进程只应拥有完成其任务所必需的最小权限。这体现在文件权限chmod、目录权限、sudo权限细化等方面。及时清理无用账户定期审计系统账户删除或锁定已离职员工、测试用途的账户。控制特权命令的使用通过精细配置/etc/sudoers文件控制哪些用户可以以何种身份执行哪些命令并可以强制记录日志。2.2 安全审计与入侵防范这是事中和事后追溯的关键对应“安全审计”和“入侵防范”要求。Linux系统提供了强大的审计能力但默认配置往往不够。安全审计要求对重要用户行为、重要安全事件进行审计且审计记录受到保护避免被删除或修改。启用系统审计服务如auditd。这是等保测评的重点检查项。我们需要配置审计规则记录关键事件如用户登录注销、特权命令执行sudo、文件修改如/etc/passwd,/etc/shadow、系统调用等。集中化日志管理本地日志易被篡改或清除。必须将系统日志syslog、审计日志audit.log、应用日志实时或定期发送到独立的日志服务器如ELK Stack, Graylog确保日志的完整性、可用性和保密性。入侵防范要求检测和防止来自外部的攻击例如端口扫描、强力攻击等。最小化开放服务使用systemctl或chkconfig关闭所有非必需的系统服务如telnet,rpcbind等。配置主机防火墙必须启用并正确配置iptables或firewalld。遵循“默认拒绝按需开放”的原则。只允许业务必需的端口如SSH的22端口但建议修改和源IP访问。防范网络攻击通过调整内核网络参数缓解SYN Flood、ICMP洪水等常见攻击。例如调整net.ipv4.tcp_syncookies,net.ipv4.icmp_echo_ignore_broadcasts等。2.3 剩余信息保护与恶意代码防范这部分要求相对具体但同样重要。剩余信息保护确保用户鉴别信息、文件、目录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。对于Linux服务器这主要涉及交换分区swap和临时文件。可以通过配置系统在关闭时清理swap或使用加密的swap分区来满足要求。恶意代码防范虽然Linux病毒相对较少但挖矿木马、勒索软件、后门程序等恶意代码的威胁真实存在。等保要求安装防恶意代码软件。对于服务器通常指安装主机入侵检测系统HIDS如OSSEC、Wazuh或使用具备EDR功能的云主机安全产品。它们不仅能查杀恶意代码还能进行文件完整性监控、 rootkit检测等。理解了这些映射关系我们的加固工作就有了清晰的靶心。接下来我们将进入具体的实操环节。3. 基础安全加固构建坚固的“城墙”与“门禁”这一部分是所有Linux服务器安全的地基无论业务形态如何都应优先完成。它就像为服务器修建坚固的城墙和严格的门禁系统。3.1 账户、口令与登录安全账户是攻击的首要目标这里必须做到滴水不漏。密码策略强化编辑PAM配置修改/etc/security/pwquality.conf或/etc/pam.d/system-auth等文件取决于发行版。# 查看当前系统使用的PAM密码模块配置文件 grep pam_pwquality.so /etc/pam.d/system-auth /etc/pam.d/password-auth # 通常配置在 /etc/security/pwquality.conf sudo vim /etc/security/pwquality.conf设置策略以下为建议值可根据等保要求调整minlen 12 # 密码最小长度12位 dcredit -1 # 至少包含1个数字 ucredit -1 # 至少包含1个大写字母 lcredit -1 # 至少包含1个小写字母 ocredit -1 # 至少包含1个特殊字符 minclass 3 # 至少包含上述4类字符中的3类 maxrepeat 3 # 同一字符最多连续出现3次注意修改后仅对新密码或密码更改生效。需要强制所有用户下次登录时修改密码可使用chage -d 0 username命令。登录失败处理与超时配置失败锁定以pam_faillock为例现代系统常用# 1. 编辑PAM配置文件 sudo vim /etc/pam.d/system-auth sudo vim /etc/pam.d/password-auth # 在 auth 部分添加或修改如下行通常在文件开头部分 auth required pam_faillock.so preauth silent audit deny5 unlock_time600 auth [defaultdie] pam_faillock.so authfail audit deny5 unlock_time600 # 在 account 部分添加 account required pam_faillock.so参数解释deny5表示连续失败5次锁定unlock_time600表示锁定600秒10分钟。等保要求通常是“结束会话、限制非法登录次数和自动退出”。配置会话超时编辑/etc/profile或/etc/bashrc在末尾添加export TMOUT900 # 设置超时时间为900秒15分钟 readonly TMOUT # 设置为只读防止用户修改注意TMOUT对交互式shell生效。对于已经登录的现有会话需要重新登录或source配置文件后才能生效。SSH服务安全配置 SSH是运维的生命线也是攻击的主要入口必须重点加固。编辑/etc/ssh/sshd_config。sudo vim /etc/ssh/sshd_config关键配置项Port 2222 # 修改默认22端口减少自动化扫描修改后需防火墙放行新端口 PermitRootLogin no # 禁止root直接登录等保强制要求 PubkeyAuthentication yes # 启用密钥登录比密码更安全 PasswordAuthentication no # 禁用密码登录在部署好密钥后强烈建议关闭 PermitEmptyPasswords no # 禁止空密码 MaxAuthTries 3 # 最大认证尝试次数 ClientAliveInterval 300 # 客户端活跃检查间隔300秒 ClientAliveCountMax 2 # 客户端活跃检查最大次数超时则断开300*2600秒无活动断开 AllowUsers your_admin_user # 仅允许特定用户登录白名单机制最安全 # 如果使用密钥确保以下配置正确 AuthorizedKeysFile .ssh/authorized_keys实操心得修改端口和禁用密码登录是两大最有效的防爆破手段。但在操作前务必先在本地开启另一个SSH会话进行测试或者确保密钥登录已配置成功且有效否则可能导致自己也无法登录服务器建议步骤1) 配置密钥登录并测试成功2) 禁用密码登录3) 修改端口4) 重启sshd并先用新端口测试5) 最后配置防火墙。3.2 权限管理与最小化原则权限管理是内部安全的核心目标是实现“纵深防御”。sudo权限精细化永远不要给普通用户无限制的sudo权限。使用visudo命令编辑/etc/sudoers它是语法检查的安全方式。示例允许deploy用户以root身份重启Nginx且需要输入自己的密码并记录日志。# 在 /etc/sudoers 文件中添加 deploy ALL(root) /bin/systemctl restart nginx, /bin/systemctl reload nginx # 更精细的写法可以指定免密码NOPASSWD或记录日志 Cmnd_Alias NGINX_CTL /bin/systemctl restart nginx, /bin/systemctl reload nginx, /usr/bin/nano /etc/nginx/conf.d/*.conf deploy ALL(root) NGINX_CTL注意命令路径要写绝对路径防止通过PATH环境变量进行劫持。visudo会在保存时检查语法避免配置错误导致所有sudo权限失效。文件系统权限检查与修复关键目录权限定期检查系统关键目录的权限是否过于宽松。# 检查 /etc/passwd, /etc/shadow 等关键文件 ls -l /etc/passwd /etc/shadow /etc/group # 正确权限应为-rw-r--r-- root root /etc/passwd; -rw-r----- root shadow /etc/shadow # 查找系统中所有SUID/SGID文件这些文件执行时会以文件所有者/组的权限运行风险较高 find / -type f \( -perm -4000 -o -perm -2000 \) -exec ls -l {} \; 2/dev/null # 审查结果移除非必需文件的SUID/SGID位例如sudo chmod u-s /path/to/file用户umask设置默认的umask控制新建文件和目录的默认权限。在/etc/profile中设置umask 027可以使新建文件权限为640所有者读写所属组读其他无目录权限为750。4. 高级安全与审计配置安装“监控探头”与“入侵检测”基础加固完成后我们需要部署更主动的安全监控和防御措施这对应等保的审计和入侵防范高级要求。4.1 部署与配置Audit审计系统auditd是Linux内核自带的审计框架功能强大是等保测评的检查重点。安装与启动# CentOS/RHEL sudo yum install audit audit-libs sudo systemctl start auditd sudo systemctl enable auditd # Ubuntu/Debian sudo apt install auditd audispd-plugins sudo systemctl start auditd sudo systemctl enable auditd配置审计规则 规则可以写在/etc/audit/rules.d/audit.rules或通过auditctl命令临时添加。建议在规则文件中配置重启服务后依然有效。sudo vim /etc/audit/rules.d/audit.rules示例规则涵盖等保常见要求# 监视用户身份变化等保要求 -w /etc/passwd -p wa -k identity -w /etc/group -p wa -k identity -w /etc/shadow -p wa -k identity -w /etc/gshadow -p wa -k identity # 监视特权命令执行sudo日志的补充 -a always,exit -F archb64 -S execve -F path/bin/su -F keyprivileged -a always,exit -F archb64 -S execve -F path/usr/bin/sudo -F keyprivileged # 监视系统管理操作如挂载、开关机 -a always,exit -F archb64 -S mount -S umount2 -k mounts # 监视文件删除防止日志被删 -a always,exit -F archb64 -S unlink -S unlinkat -S rename -S renameat -F keydelete # 监视网络配置变化 -w /etc/hosts -p wa -k network_modify -w /etc/sysconfig/network-scripts/ -p wa -k network_modify规则解释-w监视文件路径-p指定触发审计的操作r读w写x执行a属性变更-k为事件打上关键词标签便于后续搜索-a添加一条规则到列表。使用与查询# 重启auditd使规则生效 sudo systemctl restart auditd # 查看当前生效的规则 sudo auditctl -l # 搜索审计日志例如查看所有与“identity”关键词相关的事件 sudo ausearch -k identity -i # 查看实时审计事件类似tail -f sudo aureport -i -ts today注意事项审计日志会快速增长必须配置日志轮转/etc/audit/auditd.conf中的max_log_file和num_logs参数和日志外发。将审计日志实时发送到远程日志服务器是最佳实践可以使用audisp-remote插件。4.2 主机防火墙与网络层加固网络是攻击的主要向量主机防火墙是最后的屏障。使用firewalld推荐易于管理# 确保firewalld运行 sudo systemctl start firewalld sudo systemctl enable firewalld # 设置默认区域为drop默认拒绝所有流量 sudo firewall-cmd --set-default-zonedrop --permanent # 为SSH假设端口已改为2222和业务端口例如Web服务的80/443添加规则 sudo firewall-cmd --permanent --add-port2222/tcp sudo firewall-cmd --permanent --add-servicehttp sudo firewall-cmd --permanent --add-servicehttps # 如果业务需要访问外部特定服务如数据库可以添加富规则rich rule sudo firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.0/24 port port3306 protocoltcp accept # 重载配置使其生效 sudo firewall-cmd --reload # 查看当前生效的规则 sudo firewall-cmd --list-all内核网络参数优化防攻击 编辑/etc/sysctl.conf添加或修改以下参数然后执行sysctl -p生效。sudo vim /etc/sysctl.conf# 忽略ICMP广播请求防止Smurf攻击 net.ipv4.icmp_echo_ignore_broadcasts 1 # 开启SYN Cookie防范SYN Flood攻击 net.ipv4.tcp_syncookies 1 # 减少系统在未收到客户端ACK时重发SYNACK的次数 net.ipv4.tcp_synack_retries 2 net.ipv4.tcp_syn_retries 2 # 开启反向路径过滤防止IP欺骗 net.ipv4.conf.all.rp_filter 1 net.ipv4.conf.default.rp_filter 1 # 不响应ICMP重定向报文 net.ipv4.conf.all.accept_redirects 0 net.ipv4.conf.default.accept_redirects 0 # 不发送ICMP重定向报文 net.ipv4.conf.all.send_redirects 0 # 开启恶意ICMP错误消息保护 net.ipv4.icmp_ignore_bogus_error_responses 1 # 开启TCP时间戳辅助防范序列号预测攻击 net.ipv4.tcp_timestamps 1注意这些参数需要根据服务器实际承载的业务和网络环境进行调整某些参数如tcp_tw_reuse在特定场景下如高并发短连接可能需要开启但需谨慎评估。4.3 入侵检测与文件完整性监控这是从被动防御转向主动威胁狩猎的关键一步。部署OSSEC HIDS OSSEC是一款开源的主机入侵检测系统功能涵盖日志分析、文件完整性检查、rootkit检测、主动响应等。安装以CentOS为例# 添加EPEL仓库 sudo yum install epel-release # 安装OSSEC sudo yum install ossec-hids-server # 运行安装脚本按照交互提示进行配置选择安装类型为“server”或“local”设置邮件通知等 sudo /var/ossec/bin/manage_agents关键配置在/var/ossec/etc/ossec.conf中可以定义需要监控的日志文件、进行完整性检查的目录如/etc,/bin,/sbin、设置告警等级和通知方式。文件完整性监控这是等保“恶意代码防范”和“入侵防范”的有力工具。OSSEC会为受监控的文件创建哈希值基线任何未授权的修改都会触发告警。定期安全扫描与补丁管理使用lynis进行自动化安全审计Lynis是一款轻量级的系统安全审计工具。# 下载并运行 curl -O https://downloads.cisofy.com/lynis/lynis-3.0.8.tar.gz tar xvf lynis-3.0.8.tar.gz cd lynis sudo ./lynis audit system结果解读Lynis会输出详细的报告包含警告WARNING、建议SUGGESTION和已通过检查OK的项目。报告会给出具体的加固建议是查漏补缺的绝佳工具。补丁管理建立严格的补丁更新流程。对于生产服务器建议先在测试环境验证再安排维护窗口进行更新。使用yum-security插件RHEL/CentOS或unattended-upgradesDebian/Ubuntu可以帮助筛选和安装安全更新。5. 等保测评迎检要点与持续运维配置完成后如何证明你的服务器符合等保要求如何持续保持安全状态5.1 测评前自查清单在测评人员到来之前你可以按照以下清单自行检查确保关键项没有遗漏。检查类别检查项检查命令/方法预期结果/合规要求身份鉴别密码复杂度策略cat /etc/security/pwquality.conf或grep pam_pwquality已配置最小长度、字符类型等要求登录失败处理grep pam_faillock /etc/pam.d/system-auth已配置失败锁定策略如锁定次数、时间会话超时echo $TMOUT或grep TMOUT /etc/profileTMOUT已设置如900秒Root远程登录grep ^PermitRootLogin /etc/ssh/sshd_configPermitRootLogin no访问控制不必要的用户/组cat /etc/passwdcat /etc/group无测试账户、匿名账户等Sudo权限细化visudo -c及检查/etc/sudoers无普通用户拥有无限制sudo权限关键文件权限ls -l /etc/passwd /etc/shadow /etc/sudoers权限正确如shadow为640或更严安全审计auditd服务状态systemctl status auditd服务为active (running) 且 enabled审计规则auditctl -l包含对身份文件、特权命令、文件删除等的监控规则审计日志保护ls -l /var/log/audit/日志文件存在权限为600属主root入侵防范防火墙状态systemctl status firewalld(或iptables -L -n)服务运行且有明确的拒绝策略和放行规则开放端口最小化ss -tulnp或netstat -tulnp仅开放业务必需端口无未知/高危端口系统服务最小化systemctl list-unit-files --stateenabled无telnet、rpcbind等高风险服务启用恶意代码防范HIDS/防病毒软件检查进程、服务有主机入侵检测或防恶意代码程序运行如OSSEC注意此清单仅为通用要点具体测评项需以等保2.0正式测评要求为准。测评时测评人员可能会使用专用工具进行漏洞扫描和配置核查。5.2 持续安全运维建议安全加固不是一劳永逸的而是一个持续的过程。配置基线化与自动化将上述所有安全配置sshd_config, audit.rules, sysctl.conf, firewall规则等整理成Ansible Playbook、SaltStack State或Shell脚本。这样在新服务器上线时可以快速、一致地完成安全初始化。这也是等保“安全管理制度”中“配置管理”要求的体现。日志集中管理与分析这是等保“安全审计”的硬性要求也是安全事件追溯的基石。务必部署ELKElasticsearch, Logstash, Kibana或类似平台将系统日志、审计日志、应用日志、HIDS告警日志全部集中存储和分析。设置关键事件的实时告警如多次登录失败、特权命令执行、核心文件被修改。定期漏洞扫描与渗透测试每季度或发生重大变更后使用Nessus、OpenVAS等专业漏洞扫描工具对服务器进行扫描。每年至少进行一次由专业安全团队执行的渗透测试从攻击者视角发现防御体系的盲点。变更管理与备份任何对生产服务器的配置变更都必须经过申请、审批、测试、记录的过程。在对安全配置进行重大修改前如修改防火墙规则、更新PAM配置务必先进行备份并制定回滚方案。/etc目录的定期备份至关重要。安全培训与意识再好的技术手段也抵不过人为失误。定期对运维、开发人员进行安全意识培训强调密码安全、钓鱼邮件防范、代码安全等是构建整体安全体系不可或缺的一环。服务器安全是一场持久战这份手册为你提供了攻防战场上的标准战术动作和防御工事蓝图。真正的安全源于对细节的执着、对流程的遵守以及持续不断的警惕和改进。从今天起就选择其中的几项开始实践吧每一步加固都在为你守护的资产增加一份保障。