怎样防止centos exploit入侵

防止 CentOS 被 exploit（漏洞利用）入侵，需要从系统加固、漏洞管理、权限控制、网络防护、监控审计等多方面入手。下面按实战优先级给你一套可落地的方案。

一、系统基础加固（最重要）

1. 及时更新系统与软件

yum update -y

或（CentOS 8+）：

dnf update -y

✅ 开启自动安全更新：

yum install yum-cron -y
systemctl enable yum-cron

2. 关闭不必要服务

exploit 常利用“开着的服务”

systemctl list-unit-files --type=service | grep enabled

关闭示例：

systemctl stop telnet.socket
systemctl disable telnet.socket

3. 禁用 root 远程登录

编辑：

vi /etc/ssh/sshd_config

PermitRootLogin no
PasswordAuthentication no

systemctl restart sshd

✅ 使用 SSH 密钥登录

二、减少攻击面（防 exploit 核心）

4. 使用防火墙（firewalld / iptables）

只开放必要端口：

firewall-cmd --permanent --add-port=22/tcp
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload

5. 安装 Fail2Ban（防暴力破解）

yum install epel-release -y
yum install fail2ban -y
systemctl enable fail2ban

6. 删除或限制危险组件

禁用 CGI / 不必要的模块（Web 服务）
卸载旧版本：

rpm -qa | grep 软件名

三、漏洞与 exploit 防护

7. 启用 SELinux（强烈建议）

getenforce

若为 Disabled：

vi /etc/selinux/config
SELINUX=enforcing

重启后生效

✅ SELinux 能阻止大量本地 exploit

8. 安装安全补丁和防护工具

OpenSCAP（漏洞扫描）

yum install openscap-scanner

ClamAV（防木马）

yum install clamav clamav-update

9. 限制内核 exploit（sysctl）

vi /etc/sysctl.conf

添加：

net.ipv4.conf.all.rp_filter=1
net.ipv4.icmp_echo_ignore_broadcasts=1
kernel.randomize_va_space=2

sysctl -p

四、账号与权限控制

10. 最小权限原则

不用 root 跑应用
应用用户无 shell：

usermod -s /sbin/nologin appuser

11. 审计账号

cat /etc/passwd
lastlog

五、日志与入侵检测

12. 日志监控

/var/log/secure
/var/log/messages

安装：

yum install logwatch

13. 文件完整性检测（防后门）

yum install aide
aide --init

六、Web / 应用层防护（如适用）

Nginx / Apache 限制请求
WAF（如 ModSecurity）
应用不要以 root 运行
数据库禁止外网访问

七、云服务器额外建议

安全组只开必要端口
不使用默认 22 端口（可选）
定期快照备份

总结（防 exploit 核心 6 点）

✅ 及时打补丁
✅ 关服务、限端口
✅ 禁 root + 密钥登录
✅ 开 SELinux
✅ 装 Fail2Ban
✅ 常看日志

如果你愿意，我可以：

给你一份 CentOS 安全基线检查脚本
或针对 CentOS 7 / 8 / Stream 给差异方案
或针对 某类 exploit（如 Redis、Log4j、Sudo） 专项防护

你现在是 CentOS 几？物理机还是云？主要跑什么服务？