保持系统与软件更新
定期使用yum或dnf命令更新CentOS系统及所有软件包，及时修复已知安全漏洞。建议启用自动更新（如配置yum-cron服务），确保系统始终安装最新的安全补丁，减少被exploit攻击的风险。
强化账户与权限管理
遵循“最小权限原则”，为用户分配完成任务所需的最小权限，避免使用root账户进行日常操作（日常任务通过sudo提升权限）。禁用root用户的远程登录，强制普通用户通过SSH登录后再切换至root。设置强密码（包含大小写字母、数字、特殊字符，长度不少于8位），并定期更换密码；限制密码重复使用，避免在多个系统使用相同密码。
配置防火墙限制网络访问
使用firewalld（CentOS 7及以上推荐）或iptables配置防火墙规则，仅开放必要的端口（如SSH的22端口、HTTP的80端口、HTTPS的443端口），关闭所有不必要的端口。通过限制入站和出站流量，减少外部攻击者对系统服务的探测和利用机会。
启用SELinux增强强制访问控制
确保SELinux处于enforcing模式（可通过getenforce命令检查），启用后SELinux会对进程权限进行强制限制，防止恶意进程越权访问系统资源。根据业务需求调整SELinux策略（如通过semanage命令），平衡安全性与系统可用性。
安全配置SSH服务
修改SSH配置文件（/etc/ssh/sshd_config），禁用root直接登录（设置PermitRootLogin no），更改SSH默认端口（如从22改为2222），增加暴力破解难度。启用SSH密钥认证（通过ssh-keygen生成密钥对，将公钥添加至~/.ssh/authorized_keys），替代密码认证，大幅提高远程登录的安全性。同时，限制SSH登录尝试次数（如设置MaxAuthTries 3），防止暴力破解。
定期进行安全审计与监控
启用auditd服务记录系统活动（如用户登录、文件修改、命令执行），通过ausearch或aureport命令分析日志，及时发现异常行为（如未授权的root登录、敏感文件修改）。使用漏洞扫描工具（如OpenVAS、Nessus）定期扫描系统，识别潜在的安全漏洞（如未打补丁的软件、弱密码），并及时修复。监控系统日志（如/var/log/messages、/var/log/secure），设置日志轮转（通过logrotate配置），防止日志文件过大或被篡改。
禁用不必要的服务与组件
通过systemctl命令禁用不需要的系统服务（如FTP、Telnet、CUPS打印服务），减少潜在的攻击面。安装CentOS时选择“最小化安装”（Minimal Install），仅安装必要的软件包（如@core组），避免安装无用的应用程序和库，降低被exploit的风险。
数据备份与恢复准备
定期备份重要数据（如系统配置文件、数据库、用户文件），使用rsync、tar或专业备份工具（如Veeam）将备份存储至安全位置（如异地服务器、云存储）。测试备份的可恢复性（如模拟系统崩溃后恢复数据），确保在遭受exploit攻击导致数据丢失时，能够快速恢复系统运行。
使用安全工具增强防护
安装并配置入侵检测系统（IDS，如Snort）或入侵防御系统（IPS，如Suricata），实时监控网络流量和系统活动，发现可疑行为（如端口扫描、恶意代码执行）时及时发出警报并阻断攻击。安装防病毒软件（如ClamAV），定期扫描系统以检测和清除恶意软件（如病毒、木马、勒索软件），防止恶意程序利用系统漏洞扩散。
加强安全意识与培训
对系统管理员和普通用户进行安全意识培训，教育他们识别钓鱼邮件、恶意链接、社会工程学攻击等常见威胁。制定并严格执行安全政策（如密码策略、访问控制策略、设备使用规范），确保所有人员遵守安全操作流程，减少人为因素导致的安全漏洞。
