如何防止centos exploit

在 CentOS（以及一般 Linux 服务器）上防止 exploit（漏洞利用） 攻击，核心思路是：减少攻击面 + 及时修补 + 权限隔离 + 监控防御。下面按优先级给你一套实用方案。

一、系统层面（最重要）

1. 及时更新系统补丁

sudo yum update -y

或（CentOS 8+ / Stream）：

sudo dnf update -y

✅ 开启自动安全更新：

sudo yum install yum-cron -y
sudo systemctl enable --now yum-cron

2. 关闭不必要的服务

systemctl list-unit-files --type=service | grep enabled

关闭无用服务：

sudo systemctl disable --now telnet
sudo systemctl disable --now rsh

3. 使用防火墙（firewalld / iptables）

只允许必要端口：

sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --permanent --remove-service=http
sudo firewall-cmd --reload

✅ 禁止 root SSH 登录：

sudo sed -i 's/^PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
sudo systemctl restart sshd

二、内核与漏洞利用防护

4. 开启内核安全机制

CentOS 默认支持：

• SELinux ✅（强烈建议开启）

getenforce
# 应为 Enforcing

若关闭，编辑：

/etc/selinux/config
SELINUX=enforcing

5. 防止提权类 exploit

• 禁用危险内核参数
• 限制 dmesg

sysctl -w kernel.dmesg_restrict=1

• 禁止加载未知模块

sysctl -w kernel.modules_disabled=1

三、应用与权限安全

6. 最小权限原则

• 不用 root 跑服务
• 使用专用用户

useradd -r -s /sbin/nologin appuser

7. 文件与目录权限

chmod 700 /etc/shadow
chmod 644 /etc/passwd

定期检查 SUID 文件：

find / -perm -4000 2>/dev/null

四、主动防御工具

8. 安装入侵检测

• Fail2Ban（防爆破）

yum install epel-release -y
yum install fail2ban -y
systemctl enable --now fail2ban

• AIDE（文件完整性）

yum install aide -y
aide --init

9. 使用安全加固脚本（可选）

• CentOS STIG
• OpenSCAP

yum install openscap-scanner
oscap xccdf eval --profile stig ...

五、监控与应急响应

10. 日志与审计

journalctl -p err
/var/log/secure
/var/log/messages

启用 auditd：

systemctl enable --now auditd

六、CentOS 特别注意事项 ⚠️

• CentOS 7 已 EOL（2024 年停止维护）
  • 建议迁移到：
    • Rocky Linux
    • AlmaLinux
    • CentOS Stream（仅适合测试）

总结一句话

防 exploit = 不暴露 + 不落后 + 不裸奔 + 不被提权

如果你能提供：

• CentOS 版本
• 是否公网服务器
• 运行的主要服务（Web / DB / Docker）

我可以给你一套针对性加固清单。