Linux服务器安全加固实战指南

1. Linux系统安全加固的必要性

在当今的互联网环境中，Linux系统作为服务器领域的主力军，面临着日益严峻的安全威胁。我管理过的数百台Linux服务器中，90%的安全事故都源于基础防护措施的缺失。安全加固不是可选项，而是每个系统管理员必须掌握的核心技能。

Linux系统的开放性既是优势也是弱点。默认安装的Linux往往开启了许多不必要的服务，使用了弱密码策略，留下了大量安全隐患。黑客们常用的自动化扫描工具能够在几分钟内发现这些漏洞。我亲眼见过一台新部署的CentOS服务器，在未做任何加固的情况下，仅用15分钟就被植入了挖矿程序。

安全加固的本质是遵循"最小权限原则"：关闭不需要的，限制必要的，监控关键的。这五大策略不是孤立的技术点，而是一个完整的防御体系。从内核参数调优到服务管控，从权限管理到日志监控，环环相扣才能构建真正的纵深防御。

2. 账户与认证安全加固

2.1 密码策略强化

/etc/login.defs文件中的以下参数必须调整：

code复制PASS_MAX_DAYS 90
PASS_MIN_DAYS 7 
PASS_WARN_AGE 14
PASS_MIN_LEN 12

同时需要安装libpam-cracklib模块，在/etc/pam.d/common-password中添加：

code复制password requisite pam_cracklib.so try_first_pass retry=3 minlen=12 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

注意：修改密码策略不会影响已存在的密码，需要强制用户下次登录时修改。使用chage -d 0 username命令立即生效。

2.2 SSH安全配置

/etc/ssh/sshd_config关键配置项：

code复制Protocol 2
PermitRootLogin no
MaxAuthTries 3
LoginGraceTime 60
ClientAliveInterval 300
ClientAliveCountMax 0
AllowUsers admin audit

配置完成后务必测试再重启服务：

code复制sshd -t && systemctl