Linux云服务器安全基线配置全攻略：从入门到精通

一、什么是安全基线？

安全基线是系统安全配置的最低标准要求，它定义了服务器必须满足的安全配置项。通过建立完善的安全基线，我们可以：

• 消除常见安全漏洞
• 满足合规性要求
• 建立统一的安全管理标准
• 为安全审计提供依据

二、基础安全配置

1. 系统账户安全

# 禁用root远程登录
sed -i 's/^PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config

# 创建专用管理账户
useradd -m admin
passwd admin
usermod -aG wheel admin  # CentOS/RHEL
usermod -aG sudo admin   # Ubuntu/Debian

2. SSH安全加固

# 修改SSH默认端口
sed -i 's/^#Port 22/Port 2222/' /etc/ssh/sshd_config

# 启用密钥认证
sed -i 's/^#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config

# 限制登录IP
echo "AllowUsers [email protected].*" >> /etc/ssh/sshd_config
systemctl restart sshd

三、网络安全配置

1. 防火墙设置

# 启用firewalld/ufw
systemctl enable --now firewalld  # CentOS/RHEL
ufw enable                      # Ubuntu/Debian

# 配置基本规则
firewall-cmd --permanent --add-port=2222/tcp  # CentOS/RHEL
ufw allow 2222/tcp                           # Ubuntu/Debian

2. 网络服务最小化

# 查看运行中的服务
systemctl list-units --type=service --state=running

# 禁用不必要服务
systemctl disable postfix
systemctl stop postfix

四、系统安全加固

1. 文件系统安全

# 关键目录权限设置
chmod 700 /etc/ssh
chmod 600 /etc/ssh/ssh_host_*_key

2. 日志审计配置

# 启用auditd审计服务
yum install audit -y       # CentOS/RHEL
apt install auditd -y      # Ubuntu/Debian
systemctl enable --now auditd

五、自动化安全基线工具

推荐使用以下工具实现自动化安全基线配置：

• Lynis：开源安全审计工具
• OpenSCAP：自动化合规性检查
• CIS-CAT：CIS基准评估工具

# 使用Lynis进行安全扫描
wget https://downloads.cisofy.com/lynis/lynis-3.0.8.tar.gz
tar xvf lynis-3.0.8.tar.gz
cd lynis
./lynis audit system

六、持续监控与维护

安全基线配置不是一次性的工作，需要：

• 定期检查系统日志
• 及时更新安全补丁
• 每季度执行安全审计
• 根据威胁情报调整策略