登录 注册

Linux 安全加固指南

本贴最后更新于 1418 天前，其中的信息可能已经事过境迁

原文链接：https://madaidans-insecurities.github.io/guides/linux-hardening.html#tiocsti

更新时间：2020 年 12 月 25 日

Linux 不是一个安全的开源系统。但是，你可以采取一些措施来提升它的安全性。本指南旨在说明如何尽可能加强 Linux 的安全性和隐私性。本指南试图与发行版无关，不限于任何特定的发行版本。

免责声明：如果你不清楚的知道你在做什么，请不要尝试应用本文中的任何内容。本指南仅关注安全性和隐私性，而不关注性能，可用性或其他任何内容。

在文章中列出的所有命令都是需要 root 权限的。以“$”开头的单词表示变量，不同用户的变量会存在差异，需要根据环境做出相应调整。

目录

  1. 选择正确的 Linux 发行版本
  2. 内核加固
  1. 稳定版本 VS 长期支持版本
  2. Sysctl

• Kernel 自我保护

• 网络

• 用户空间

  1. Boot 参数

• Kernel 自我保护

• CPU 缓解

• 效果

  1. 隐藏进程
  2. 减少内核攻击面

• Boot 参数

• 内核黑名单模块

• rfkill

  1. 其他内核指针泄露
  2. 限制对 sysfs 的访问
  3. Linux 强化包
  4. 安全性
  5. Linux 内核运行时防护
  6. 内核自编译
  1. 强制访问控制
  2. 沙盒
  1. 应用沙盒
  2. 常见的沙箱逃逸

• 脉冲音频

• D-Bus

• GUI 隔离

• 进程跟踪

• TIOCSTI

  1. Systemd 服务沙盒
  2. gVisor
  3. 虚拟机
  1. 强化内存分配器
  2. 强化编译标志
  3. 内存安全语言
  4. root 账号
  1. /etc/securetty
  2. 限制 su
  3. 锁定 root 账户
  4. 禁止 root 通过 SSH 登录
  5. 增加哈希轮数
  6. 限制 Xorg 的 root 访问
  7. 安全地访问 root
  1. 防火墙
  2. 身份标识
  1. 主机名和用户名
  2. 时区/语言区域/键盘映射
  3. 机器 ID
  4. MAC 地址欺骗
  5. 时间攻击

• ICMP 时间戳

• TCP 时间戳

• TCP 初始化序列号

• 时间同步

  1. 按键指纹
  1. 文件授权
  1. 设置 gid 和 uid
  2. 设置 unmask
  1. 核心转存

• sysctl

• systemd

• ulimit

• setuid processes

  1. 内存交换
  2. PAM
  3. microcode 更新
  4. IPv6 隐私扩展
  1. NetworkManager
  2. systemd-networkd
  1. 分区和挂载点
  2. 熵
  1. 额外的熵源
  2. RDRAND
  1. 以 root 权限编辑文件
  2. 特定发行版的强化
  1. HTTPS 包管理器镜像
  2. APT seccomp-bpf
  1. 物理安全
  1. 加密
  2. BIOS / UEFI 加固
  3. 引导程序密码

• GRUB

• Syslinux

• systemd-boot

  1. boot 校验
  2. USB 接口
  3. DMA 攻击
  4. 冷启动攻击
  1. 最佳实践

持续翻译中，欢迎 ━(｀∀´)ノ亻!提意见

  • 翻译
    58 引用 • 84 回帖 • 1 关注
223 8 44 21 25 6 119

相关帖子

回帖
Linux 安全加固指南

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
yuanhenglizhen
笔落兴亡定三端之妙，墨写清白尽六艺之奥
回帖
689
 帖子
189
 积分
6270

近期热议

推荐标签 标签

  • Spark

    Spark 是 UC Berkeley AMP lab 所开源的类 Hadoop MapReduce 的通用并行框架。Spark 拥有 Hadoop MapReduce 所具有的优点；但不同于 MapReduce 的是 Job 中间输出结果可以保存在内存中，从而不再需要读写 HDFS，因此 Spark 能更好地适用于数据挖掘与机器学习等需要迭代的 MapReduce 的算法。

    74 引用 • 46 回帖 • 559 关注
  • 百度

    百度（Nasdaq：BIDU）是全球最大的中文搜索引擎、最大的中文网站。2000 年 1 月由李彦宏创立于北京中关村，致力于向人们提供“简单，可依赖”的信息获取方式。“百度”二字源于中国宋朝词人辛弃疾的《青玉案·元夕》词句“众里寻他千百度”，象征着百度对中文信息检索技术的执著追求。

    63 引用 • 785 回帖 • 164 关注
  • 微软

    微软是一家美国跨国科技公司，也是世界 PC 软件开发的先导，由比尔·盖茨与保罗·艾伦创办于 1975 年，公司总部设立在华盛顿州的雷德蒙德（Redmond，邻近西雅图）。以研发、制造、授权和提供广泛的电脑软件服务业务为主。

    8 引用 • 44 回帖
  • 友情链接

    确认过眼神后的灵魂连接，站在链在！

    24 引用 • 373 回帖
  • Caddy

    Caddy 是一款默认自动启用 HTTPS 的 HTTP/2 Web 服务器。

    12 引用 • 54 回帖 • 159 关注
  • Postman

    Postman 是一款简单好用的 HTTP API 调试工具。

    4 引用 • 3 回帖 • 7 关注
  • 电影

    这是一个不能说的秘密。

    121 引用 • 604 回帖 • 1 关注
  • 微服务

    微服务架构是一种架构模式，它提倡将单一应用划分成一组小的服务。服务之间互相协调，互相配合，为用户提供最终价值。每个服务运行在独立的进程中。服务于服务之间才用轻量级的通信机制互相沟通。每个服务都围绕着具体业务构建，能够被独立的部署。

    96 引用 • 155 回帖
  • FreeMarker

    FreeMarker 是一款好用且功能强大的 Java 模版引擎。

    23 引用 • 20 回帖 • 464 关注
  • Swift

    Swift 是苹果于 2014 年 WWDC（苹果开发者大会）发布的开发语言，可与 Objective-C 共同运行于 Mac OS 和 iOS 平台，用于搭建基于苹果平台的应用程序。

    36 引用 • 37 回帖 • 535 关注
  • ReactiveX

    ReactiveX 是一个专注于异步编程与控制可观察数据（或者事件）流的 API。它组合了观察者模式，迭代器模式和函数式编程的优秀思想。

    1 引用 • 2 回帖 • 161 关注
  • CongSec

    本标签主要用于分享网络空间安全专业的学习笔记

    1 引用 • 1 回帖 • 15 关注
  • 大数据

    大数据（big data）是指无法在一定时间范围内用常规软件工具进行捕捉、管理和处理的数据集合，是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力的海量、高增长率和多样化的信息资产。

    93 引用 • 113 回帖
  • NetBeans

    NetBeans 是一个始于 1997 年的 Xelfi 计划，本身是捷克布拉格查理大学的数学及物理学院的学生计划。此计划延伸而成立了一家公司进而发展这个商用版本的 NetBeans IDE，直到 1999 年 Sun 买下此公司。Sun 于次年（2000 年）六月将 NetBeans IDE 开源，直到现在 NetBeans 的社群依然持续增长。

    78 引用 • 102 回帖 • 683 关注
  • TextBundle

    TextBundle 文件格式旨在应用程序之间交换 Markdown 或 Fountain 之类的纯文本文件时，提供更无缝的用户体验。

    1 引用 • 2 回帖 • 53 关注
  • 工具

    子曰：“工欲善其事，必先利其器。”

    288 引用 • 734 回帖 • 2 关注
  • Unity

    Unity 是由 Unity Technologies 开发的一个让开发者可以轻松创建诸如 2D、3D 多平台的综合型游戏开发工具，是一个全面整合的专业游戏引擎。

    25 引用 • 7 回帖 • 159 关注
  • Rust

    Rust 是一门赋予每个人构建可靠且高效软件能力的语言。Rust 由 Mozilla 开发，最早发布于 2014 年 9 月。

    58 引用 • 22 回帖
  • 负能量

    上帝为你关上了一扇门，然后就去睡觉了....努力不一定能成功，但不努力一定很轻松 (° ー °〃)

    88 引用 • 1235 回帖 • 410 关注
  • Pipe

    Pipe 是一款小而美的开源博客平台。Pipe 有着非常活跃的社区，可将文章作为帖子推送到社区，来自社区的回帖将作为博客评论进行联动（具体细节请浏览 B3log 构思 - 分布式社区网络）。

    这是一种全新的网络社区体验，让热爱记录和分享的你不再感到孤单！

    132 引用 • 1114 回帖 • 125 关注
  • 持续集成

    持续集成（Continuous Integration）是一种软件开发实践，即团队开发成员经常集成他们的工作，通过每个成员每天至少集成一次，也就意味着每天可能会发生多次集成。每次集成都通过自动化的构建（包括编译，发布，自动化测试）来验证，从而尽早地发现集成错误。

    15 引用 • 7 回帖
  • Bug

    Bug 本意是指臭虫、缺陷、损坏、犯贫、窃听器、小虫等。现在人们把在程序中一些缺陷或问题统称为 bug（漏洞）。

    76 引用 • 1737 回帖 • 1 关注
  • Jenkins

    Jenkins 是一套开源的持续集成工具。它提供了非常丰富的插件，让构建、部署、自动化集成项目变得简单易用。

    53 引用 • 37 回帖 • 3 关注
  • 区块链

    区块链是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。所谓共识机制是区块链系统中实现不同节点之间建立信任、获取权益的数学算法 。

    91 引用 • 751 回帖 • 1 关注
  • 自由行
    • 4 关注
  • API

    应用程序编程接口（Application Programming Interface）是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。

    77 引用 • 430 回帖 • 1 关注
  • 学习

    “梦想从学习开始，事业从实践起步” —— 习近平

    171 引用 • 512 回帖

最新标签