问题：过期的软件包和未修复的系统漏洞是Linux系统最常见的安全风险。
解决方案：
- 定期更新系统：sudo apt update && sudo apt upgrade (Debian/Ubuntu) 或 sudo yum update (RHEL/CentOS)
- 启用自动安全更新：
bash
sudo apt install unattended-upgrades
sudo dpkg-reconfigure unattended-upgrades
- 订阅安全公告邮件列表（如security-announce@lists.ubuntu.com）
问题：默认密码或弱密码容易被暴力破解。
解决方案：
- 强制使用强密码策略：
bash
sudo apt install libpam-pwquality
sudo nano /etc/security/pwquality.conf
设置最小长度、复杂度要求等
- 禁用root SSH登录：sudo nano /etc/ssh/sshd_config 设置 PermitRootLogin no
- 使用SSH密钥认证替代密码：
bash
ssh-keygen -t rsa -b 4096
ssh-copy-id user@remote_host
问题：默认安装可能开启不必要的网络服务。
解决方案：
- 检查开放端口：sudo netstat -tulnp 或 sudo ss -tulnp
- 禁用不必要的服务：
bash
sudo systemctl stop service_name
sudo systemctl disable service_name
- 配置防火墙：
bash
sudo ufw enable # Ubuntu
sudo ufw allow 22/tcp
sudo ufw deny all
或使用firewalld (RHEL/CentOS)：
bash
sudo firewall-cmd --permanent --add-service=ssh
sudo firewall-cmd --reload
问题：敏感文件权限设置不当可能导致信息泄露。
解决方案：
- 检查关键文件权限：
bash
sudo find / -type f -perm /o=w -exec ls -l {} \;
sudo find / -type d -perm /o=w -exec ls -ld {} \;
- 设置合理权限：
bash
sudo chmod 600 /etc/shadow
sudo chmod 644 /etc/passwd
sudo chmod 750 /var/log
问题：不检查系统日志会错过入侵迹象。
解决方案：
- 配置集中式日志：使用rsyslog或syslog-ng
- 安装日志分析工具：
bash
sudo apt install logwatch
sudo logwatch --output mail --mailto admin@example.com --range yesterday
- 使用fail2ban防止暴力破解：
bash
sudo apt install fail2ban
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
sudo nano /etc/fail2ban/jail.local # 自定义配置
sudo systemctl restart fail2ban
问题：默认内核参数可能不够安全。
解决方案：
- 编辑/etc/sysctl.conf添加：
net.ipv4.conf.all.rp_filter=1
net.ipv4.conf.default.rp_filter=1
net.ipv4.icmp_echo_ignore_broadcasts=1
net.ipv4.conf.all.accept_redirects=0
net.ipv6.conf.all.accept_redirects=0
kernel.exec-shield=1
kernel.randomize_va_space=2
- 应用设置：sudo sysctl -p
问题：明文传输敏感数据易被窃听。
解决方案： - 使用SSH隧道传输数据 - 对Web服务强制HTTPS - 使用VPN或IPSec加密网络通信
解决方案：
- 安装AIDE进行文件完整性检查：
bash
sudo apt install aide
sudo aideinit
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
sudo aide.wrapper --check
- 使用OSSEC进行入侵检测：
bash
sudo apt install ossec-hids
sudo /var/ossec/bin/manage_agents
问题：Docker等容器技术配置不当会带来风险。
解决方案：
- 以非root用户运行容器：docker run -u 1000 myimage
- 启用内容信任：export DOCKER_CONTENT_TRUST=1
- 定期扫描镜像漏洞：docker scan myimage
- 限制容器能力：docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE myimage
建议定期使用以下工具进行安全检查：
- Lynis：sudo apt install lynis && sudo lynis audit system
- OpenSCAP：sudo apt install openscap-scanner && sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard --results scan.xml /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml
通过实施这些措施，可以显著提高Linux系统的网络安全性。安全是一个持续的过程，需要定期审查和更新安全策略。
