从内核到网络，40个Linux服务器安全加固小技巧（上）
大多数人认为Linux是安全的，其实这是一个错误的假设。想象一下，你的笔记本电脑在没有安全加固的情况下被盗。小偷可能会认为你的用户名是“root”而你的密码是“toor”，因为这是Kali设置的默认密码，很多人一直使用从未修改。
每个Linux系统都将受益于更高的安全性，特别是如果它包含敏感数据。下面跟大家分享40个实用的Linux服务器安全加固的小技巧，希望可以帮助大家更好的保护咱们的Linux服务器安全。
1. 加密Linux服务器的数据通信
通过网络传输的所有数据都可以被监控到。尽可能使用密码或使用密钥/证书加密传输数据。
- 使用scp，ssh，rsync或sftp进行文件传输。你还可以使用一些特殊的工具如：sshfs和fuse，安装远程服务器文件系统或自己的主目录。
- GnuPG支持对数据、通信进行加密和签名，具有通用密钥管理系统以及各种公钥目录的访问模块。
- 使用OpenVPN，经济高效的轻量级SSL VPN。
- 配置和安装 Lighttpd SSL（安全服务器层）Https。
- 配置和安装Apache SSL（安全服务器层）Https（mod_ssl）。
2.避免在Linux上使用FTP、Telnet和Rlogin / Rsh服务
在大多数网络配置下，使用数据包嗅探器的同一网络上的任何人都可以捕获用户名，密码，FTP / telnet / rsh命令和传输的文件。
常见解决方案:
使用OpenSSH，SFTP或FTPS（FTP over SSL），将FTP或TLS加密添加到FTP。输入以下yum命令删除NIS、rsh和其他过时服务：
# yum erase xinetd ypserv tftp-server telnet-server rsh-server
3.最小化程序包达到减少Linux中的漏洞
避免安装不必要的软件从而避免软件漏洞。使用RPM包管理器（如yum或apt-get和/或dpkg）查看系统上所有已安装的软件包集。删除所有不需要的包。
# yum list installed # yum list packageName # yum remove packageName # dpkg --list # dpkg --info packageName # apt-get remove packageName
4.保证每个系统或VM实例单独一个网络服务
在单独的服务器或VM实例上运行不同的网络服务。这限制了可能受到危害的其他服务的数量。例如：如果黑客能够成功利用Apache等软件流，他将获得对整个服务器的访问权限，包括其他服务，如MySQL、PgSQL、电子邮件服务器等。
5.保持使的Linux内核和软件是最新的
应用安全补丁是维护Linux服务器的重要部分。在补丁发布后尽快完成安全的更新。
使用RPM包管理器（如yum和/或apt-get和/或dpkg）来启动所有安全更新。
# yum update 或者 # apt-get update && apt-get upgrade
6.使用Linux安全扩展
Linux附带了各种各样的安全补丁，用于防止错误配置或受损程序。条件允许，可以使用SELinux或者其他Linux安全扩展来强制限制网络和其他程序。
7.SELinux
SELinux提供灵活的强制访问控制（MAC）,运行MAC内核可保护系统免受可能损坏或破坏系统的恶意应用程序的影响。
8.Linux root 帐户使用强密码策略
使用useradd / usermod命令可以创建和维护root 帐户。确保拥有强密码策略。例如：一个强密码包括至少8个字符长，以及字母，数字，特殊字符，上下字母等混合。
9.为Linux用户设置密码的时效以提高安全性
chage命令显示密码到期详细信息以及上次密码更改日期。系统使用这些详细信息来确定用户何时必须更改其密码。
禁用密码时效
# chage -M 99999 userName
获取密码到期信息
# chage -l userName
更改任何用户的密码时效
#chage -M 60 -m 7 -W 7 userName
10.限制在Linux上使用旧密码
你可以阻止所有用户在Linux下使用或重复使用相同的旧密码。在pam_unix模块中的参数可以记录不能再用的旧密码的数量。
11.登录失败后锁定root帐户
在Linux下，可以使用faillog命令显示faillog记录、设置登录失败限制,可用于维护故障计数器和限制。
查看失败的登录
faillog
在登录失败后解锁帐户
faillog -r -u userName
注意:可以使用passwd命令锁定和解锁帐户：
# lock account passwd -l userName # unlocak account passwd -u userName
12.验证帐户是否存在空密码
输入以下命令
# awk -F: '($2 == "") {print}' /etc/shadow锁定所有空密码帐户：
# passwd -l accountName
13.确认除ROOT 之外的用户，UID值 为0
确保只有root帐户具有UID 0且具有访问系统的完全权限。
输入以下命令以显示UID设置为0的所有帐户：
# awk -F: '($3 == "0") {print}' /etc/passwd14.禁用root登录
不要直接以root用户身份登录。在需要时使用sudo执行根级别命令。sudo极大地增强了系统的安全性，同时提供简单的审计和跟踪功能。
15.物理服务器安全性
保护Linux服务器物理控制台访问。配置BIOS并禁用从外部设备（如DVD / CD / USB笔）启动。设置BIOS和grub 引导加载程序密码来保护这些设置。
16.禁用不需要的Linux服务
禁用所有不必要的服务和守护程序。从系统启动中删除所有不需要的服务。
输入以下命令以列出在运行级别＃3启动时启动的所有服务：
# chkconfig --list | grep '3:on'
禁用服务，输入：
# service serviceName stop # chkconfig serviceName off
17.查找侦听网络端口
使用netstat命令列出所有打开的端口和关联的程序：
netstat -tulpn
使用chkconfig命令停止所有不需要的网络服务。
18.删除X Window系统（X11）
不要在基于Linux的专用邮件和Apache / Nginx Web服务器上运行X11。可以禁用和删除X Windows以提高服务器安全性和性能。
编辑/ etc / inittab 并将运行级别设置为3。最后，删除X Windows系统，输入：
在CentOS 7 / RHEL 7服务器上使用以下命令
# yum groupremove "X Window System" # yum group remove "GNOME Desktop" # yum group remove "KDE Plasma Workspaces" # yum group remove "Server with GUI" # yum group remove "MATE Desktop"
19.在Linux上配置基于防火墙的Iptables和TCPWrappers
强烈建议启用Linux内核防火墙以保护对服务器的未授权访问，过滤流量并仅允许必要的流量。使用TCPWrappers，基于主机的网络ACL系统来过滤对Internet的网络访问。
20.Linux内核/etc/sysctl.conf优化
/etc/sysctl.conf文件用于配置在运行时的内核参数,在Linux启动时从/etc/sysctl.conf读取并应用设置。
示例/etc/sysctl.conf：
# Turn on execshield kernel.exec-shield=1 kernel.randomize_va_space=1 # Enable IP spoofing protection net.ipv4.conf.all.rp_filter=1 # Disable IP source routing net.ipv4.conf.all.accept_source_route=0 # Ignoring broadcasts request net.ipv4.icmp_echo_ignore_broadcasts=1 net.ipv4.icmp_ignore_bogus_error_messages=1 # Make sure spoofed packets get logged net.ipv4.conf.all.log_martians = 1
内容译自：https://www.cyberciti.biz/tips/linux-security.html
后20条请见下期详解~
