一、基础安全配置

1. 及时更新系统

保持系统更新是安全的第一道防线：

• 设置自动安全更新：sudo apt-get install unattended-upgrades
• 定期手动检查更新：sudo apt update && sudo apt upgrade
• 特别注意内核更新后需要重启生效

2. 强化SSH安全

SSH是攻击者的主要入口：

• 修改默认端口（建议1024-65535之间）
• 禁用root远程登录：PermitRootLogin no
• 启用密钥认证，禁用密码登录
• 配置防火墙只允许特定IP访问SSH

二、中级安全防护

3. 用户权限管理

• 遵循最小权限原则
• 使用sudo代替直接root操作
• 定期审计用户权限：sudo less /etc/sudoers
• 删除不必要的用户和组

4. 防火墙配置

使用UFW或iptables：

• 默认拒绝所有入站：sudo ufw default deny incoming
• 按需开放端口
• 配置出站限制
• 定期检查规则：sudo ufw status numbered

三、高级安全措施

5. 文件系统安全

• 配置重要目录权限：chmod 750 /etc/
• 使用chattr保护关键文件
• 启用文件完整性检查（如AIDE）
• 挂载分区时使用noexec,nosuid选项

6. SELinux/AppArmor配置

强制访问控制是最后防线：

• CentOS/RHEL启用SELinux：setenforce 1
• Ubuntu使用AppArmor：sudo aa-enforce /path/to/profile
• 定期检查安全上下文

四、监控与维护

7. 日志与监控

• 集中管理日志（如ELK Stack）
• 配置日志轮转
• 设置关键事件告警
• 使用Fail2Ban防御暴力破解

8. 定期安全审计

• 使用Lynis进行自动化审计
• 检查异常进程：ps auxf
• 网络连接检查：netstat -tulnp
• 定期漏洞扫描