1. 强化账户与口令管理
禁用系统默认的非必要账户（如adm、lp、sync等），减少潜在攻击入口；设置复杂口令策略（要求包含大小写字母、数字及特殊字符，长度超过10位），并通过修改/etc/login.defs文件强制执行；使用chattr +i命令保护/etc/passwd、/etc/shadow、/etc/group等关键口令文件，防止未授权修改。
2. 配置防火墙与网络隔离
使用firewalld或iptables设置严格的访问控制规则，仅开放必要的服务端口（如Web服务的80/443端口、SSH的22端口、数据库的3306端口），关闭未使用的端口；利用Docker Overlay网络的隔离特性，控制不同容器间的通信路径，限制容器间的非法访问。
3. 启用并优化SELinux
确保SELinux处于enforcing模式（通过/etc/selinux/config文件设置），而非禁用；为Docker等使用Overlay存储的服务配置正确的SELinux策略（如在/etc/sysconfig/docker中保留SELinux相关参数），限制容器对宿主机文件系统的访问权限，防止权限提升。
4. 保持系统与软件更新
定期执行yum update命令，更新CentOS系统内核、Docker引擎及Overlay相关软件包，及时修复已知安全漏洞；优先采用CentOS官方仓库的软件包，避免使用未经验证的第三方源。
5. 实施安全审计与监控
启用auditd服务，配置/etc/audit/audit.rules文件记录关键安全事件（如对Overlay目录的访问、特权命令执行），定期分析审计日志以发现异常行为；使用journalctl查看系统日志，监控Overlay文件系统的挂载、卸载操作，及时响应潜在威胁。
6. 最小化权限与进程隔离
为运行Overlay文件系统的用户和进程分配最小必要权限，避免使用root用户运行非必要应用；限制容器资源使用（如CPU、内存、磁盘I/O），防止容器因资源耗尽导致系统崩溃或被用作攻击跳板；使用fuse-overlayfs替代传统Overlay驱动，提升文件系统操作的隔离性与安全性。
7. 加固文件系统与存储配置
确保使用XFS文件系统（Overlay2驱动的推荐文件系统），并通过tune2fs -O d_type,yes命令启用d_type参数（Overlay2的必备条件）；定期清理/var/lib/docker/overlay2目录中的无用镜像、容器和数据卷，释放存储空间并减少攻击面。
8. 限制高危操作与用户权限
删除或修改/etc/security/console.apps目录下的控制文件，禁止普通用户执行关机、重启等敏感命令；通过visudo命令限制sudo权限，仅为必要用户分配特定命令的执行权限；禁用Ctrl+Alt+Delete组合键重启系统，防止未经授权的系统重启。
