如何保护CentOS免受攻击

CentOS 安全防护实用清单

一 基础加固

• 账户与权限
  • 仅保留必要账户，锁定或删除默认/无用账户；排查空口令与UID=0的异常账号。示例：awk -F: '($2=="")' /etc/shadow 查空口令；awk -F: '($3==0)' /etc/passwd 查 UID 为 0 的账号。
  • 强化口令策略：在 /etc/login.defs 设置 PASS_MAX_DAYS 90、PASS_MIN_DAYS 0、PASS_WARN_AGE 7；用 chage 为用户设置周期与到期；通过 PAM 的 pam_pwquality.so 强制复杂度（如最小长度14、各类字符各至少1个）。
  • 限制 su：在 /etc/pam.d/su 加入 auth required pam_wheel.so group=wheel，仅允许 wheel 组成员 su 到 root。
  • 登录安全：设置登录超时 TMOUT=600（在 /etc/profile 或 /etc/bashrc），统一 umask 027。
• 服务与端口
  • 最小化安装，关闭不需要的服务与端口；用 systemctl disable <svc> 禁用，用 netstat -tulpen 或 ss -tulpen 检查开放端口。
• 文件系统与核心转储
  • 关键文件加固：chattr +i /etc/passwd /etc/shadow /etc/group /etc/gshadow。
  • 禁止 setuid 程序生成核心：echo "fs.suid_dumpable = 0" >> /etc/sysctl.conf 并在 /etc/security/limits.conf 加入 hard core 0。

二 网络与 SSH 安全

• 防火墙
  • 启用并持久化 firewalld：systemctl enable --now firewalld；按需放行端口/服务：firewall-cmd --permanent --add-service=ssh && firewall-cmd --reload；仅开放必要端口（如 22/80/443），尽量以“服务”为单位放行。
  • 使用区域隔离与源地址限制：将管理网段放入 trusted 区域，对公网仅暴露必要服务；必要时用 rich-rule 精确放行。
• SSH 加固
  • 禁止 root 直登：在 /etc/ssh/sshd_config 设置 PermitRootLogin no。
  • 使用密钥登录并禁用口令：PasswordAuthentication no，PubkeyAuthentication yes，妥善保管私钥并设置 600 权限。
  • 协议与登录控制：Protocol 2，MaxAuthTries 3；可用 AllowUsers <user>@<ip> 限制可登录用户与来源。
  • 可选：更改默认端口（如 2222）仅作为“安全通过 obscurity”的辅助手段，不能替代密钥与防火墙。

三 补丁更新与自动化

• 手动更新：定期执行 yum update -y 获取内核与软件包修复。
• 安全更新与通知：在 CentOS/RHEL 7/6 上可配置 yum-cron 自动应用安全更新；在 /etc/yum/yum-cron.conf 设置 update_cmd=security、apply_updates=yes，并启用邮件通知。
• 变更管控：更新前在测试环境验证，安排维护窗口，更新后重启并复核关键业务；保留回滚方案。

四 日志审计与入侵防护

• 日志与审计
  • 集中记录与轮转：确保 /var/log/secure、journald 正常采集；启用 auditd 记录关键文件与登录事件，例如：auditctl -w /var/log/lastlog -p wa -k logins。
  • 主动巡检：ausearch、journalctl -xe、tail -f /var/log/secure 发现异常登录与提权行为。
• 入侵防护
  • 防暴力破解：部署 Fail2ban，对 SSH 等高频失败登录进行自动封禁。
  • 入侵检测：结合 IDS/IPS（如 snort/suricata）与主机加固基线，持续监测可疑流量与行为。

五 备份恢复与应急响应

• 备份策略
  • 定期备份关键数据与配置（如 /etc、业务数据、数据库），采用 3-2-1 原则（3 份副本、2 种介质、1 份异地/离线）；验证备份可用性与恢复演练。
• 事件响应
  • 快速隔离：第一时间将受感染主机从网络断开，保护现场。
  • 取证与清理：收集系统日志、网络连接与进程快照（如 netstat -tulpen、ss -s、ps auxf），定位入侵路径与持久化点，清理恶意文件与计划任务。
  • 修复与加固：及时打补丁、修复弱口令与错误配置，恢复业务前再次审计与加固。