登录 注册

Linux 安全加固指南

本贴最后更新于 1387 天前，其中的信息可能已经事过境迁

原文链接：https://madaidans-insecurities.github.io/guides/linux-hardening.html#tiocsti

更新时间：2020 年 12 月 25 日

Linux 不是一个安全的开源系统。但是，你可以采取一些措施来提升它的安全性。本指南旨在说明如何尽可能加强 Linux 的安全性和隐私性。本指南试图与发行版无关，不限于任何特定的发行版本。

免责声明：如果你不清楚的知道你在做什么，请不要尝试应用本文中的任何内容。本指南仅关注安全性和隐私性，而不关注性能，可用性或其他任何内容。

在文章中列出的所有命令都是需要 root 权限的。以“$”开头的单词表示变量，不同用户的变量会存在差异，需要根据环境做出相应调整。

目录

  1. 选择正确的 Linux 发行版本
  2. 内核加固
  1. 稳定版本 VS 长期支持版本
  2. Sysctl

• Kernel 自我保护

• 网络

• 用户空间

  1. Boot 参数

• Kernel 自我保护

• CPU 缓解

• 效果

  1. 隐藏进程
  2. 减少内核攻击面

• Boot 参数

• 内核黑名单模块

• rfkill

  1. 其他内核指针泄露
  2. 限制对 sysfs 的访问
  3. Linux 强化包
  4. 安全性
  5. Linux 内核运行时防护
  6. 内核自编译
  1. 强制访问控制
  2. 沙盒
  1. 应用沙盒
  2. 常见的沙箱逃逸

• 脉冲音频

• D-Bus

• GUI 隔离

• 进程跟踪

• TIOCSTI

  1. Systemd 服务沙盒
  2. gVisor
  3. 虚拟机
  1. 强化内存分配器
  2. 强化编译标志
  3. 内存安全语言
  4. root 账号
  1. /etc/securetty
  2. 限制 su
  3. 锁定 root 账户
  4. 禁止 root 通过 SSH 登录
  5. 增加哈希轮数
  6. 限制 Xorg 的 root 访问
  7. 安全地访问 root
  1. 防火墙
  2. 身份标识
  1. 主机名和用户名
  2. 时区/语言区域/键盘映射
  3. 机器 ID
  4. MAC 地址欺骗
  5. 时间攻击

• ICMP 时间戳

• TCP 时间戳

• TCP 初始化序列号

• 时间同步

  1. 按键指纹
  1. 文件授权
  1. 设置 gid 和 uid
  2. 设置 unmask
  1. 核心转存

• sysctl

• systemd

• ulimit

• setuid processes

  1. 内存交换
  2. PAM
  3. microcode 更新
  4. IPv6 隐私扩展
  1. NetworkManager
  2. systemd-networkd
  1. 分区和挂载点
  2. 熵
  1. 额外的熵源
  2. RDRAND
  1. 以 root 权限编辑文件
  2. 特定发行版的强化
  1. HTTPS 包管理器镜像
  2. APT seccomp-bpf
  1. 物理安全
  1. 加密
  2. BIOS / UEFI 加固
  3. 引导程序密码

• GRUB

• Syslinux

• systemd-boot

  1. boot 校验
  2. USB 接口
  3. DMA 攻击
  4. 冷启动攻击
  1. 最佳实践

持续翻译中，欢迎 ━(｀∀´)ノ亻!提意见

  • 翻译
    58 引用 • 84 回帖 • 1 关注
222 8 44 21 24 6 119

相关帖子

回帖
Linux 安全加固指南

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
yuanhenglizhen
笔落兴亡定三端之妙，墨写清白尽六艺之奥
回帖
689
 帖子
189
 积分
6270

近期热议

推荐标签 标签

  • RYMCU

    RYMCU 致力于打造一个即严谨又活泼、专业又不失有趣，为数百万人服务的开源嵌入式知识学习交流平台。

    4 引用 • 6 回帖 • 51 关注
  • jQuery

    jQuery 是一套跨浏览器的 JavaScript 库，强化 HTML 与 JavaScript 之间的操作。由 John Resig 在 2006 年 1 月的 BarCamp NYC 上释出第一个版本。全球约有 28% 的网站使用 jQuery，是非常受欢迎的 JavaScript 库。

    63 引用 • 134 回帖 • 724 关注
  • 新人

    让我们欢迎这对新人。哦，不好意思说错了，让我们欢迎这位新人！
    新手上路，请谨慎驾驶！

    52 引用 • 228 回帖 • 1 关注
  • 开源

    Open Source, Open Mind, Open Sight, Open Future!

    408 引用 • 3574 回帖
  • RESTful

    一种软件架构设计风格而不是标准，提供了一组设计原则和约束条件，主要用于客户端和服务器交互类的软件。基于这个风格设计的软件可以更简洁，更有层次，更易于实现缓存等机制。

    30 引用 • 114 回帖 • 2 关注
  • abitmean

    有点意思就行了

    • 29 关注
  • C

    C 语言是一门通用计算机编程语言，应用广泛。C 语言的设计目标是提供一种能以简易的方式编译、处理低级存储器、产生少量的机器码以及不需要任何运行环境支持便能运行的编程语言。

    85 引用 • 165 回帖 • 2 关注
  • NGINX

    NGINX 是一个高性能的 HTTP 和反向代理服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 NGINX 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，第一个公开版本 0.1.0 发布于 2004 年 10 月 4 日。

    311 引用 • 546 回帖
  • iOS

    iOS 是由苹果公司开发的移动操作系统，最早于 2007 年 1 月 9 日的 Macworld 大会上公布这个系统，最初是设计给 iPhone 使用的，后来陆续套用到 iPod touch、iPad 以及 Apple TV 等产品上。iOS 与苹果的 Mac OS X 操作系统一样，属于类 Unix 的商业操作系统。

    85 引用 • 139 回帖 • 1 关注
  • PHP

    PHP（Hypertext Preprocessor）是一种开源脚本语言。语法吸收了 C 语言、 Java 和 Perl 的特点，主要适用于 Web 开发领域，据说是世界上最好的编程语言。

    179 引用 • 407 回帖 • 488 关注
  • GitLab

    GitLab 是利用 Ruby 一个开源的版本管理系统，实现一个自托管的 Git 项目仓库，可通过 Web 界面操作公开或私有项目。

    46 引用 • 72 回帖
  • VirtualBox

    VirtualBox 是一款开源虚拟机软件，最早由德国 Innotek 公司开发，由 Sun Microsystems 公司出品的软件，使用 Qt 编写，在 Sun 被 Oracle 收购后正式更名成 Oracle VM VirtualBox。

    10 引用 • 2 回帖 • 6 关注
  • TextBundle

    TextBundle 文件格式旨在应用程序之间交换 Markdown 或 Fountain 之类的纯文本文件时，提供更无缝的用户体验。

    1 引用 • 2 回帖 • 47 关注
  • DNSPod

    DNSPod 建立于 2006 年 3 月份，是一款免费智能 DNS 产品。 DNSPod 可以为同时有电信、网通、教育网服务器的网站提供智能的解析，让电信用户访问电信的服务器，网通的用户访问网通的服务器，教育网的用户访问教育网的服务器，达到互联互通的效果。

    6 引用 • 26 回帖 • 510 关注
  • 大数据

    大数据（big data）是指无法在一定时间范围内用常规软件工具进行捕捉、管理和处理的数据集合，是需要新处理模式才能具有更强的决策力、洞察发现力和流程优化能力的海量、高增长率和多样化的信息资产。

    93 引用 • 113 回帖
  • TensorFlow

    TensorFlow 是一个采用数据流图（data flow graphs），用于数值计算的开源软件库。节点（Nodes）在图中表示数学操作，图中的线（edges）则表示在节点间相互联系的多维数据数组，即张量（tensor）。

    20 引用 • 19 回帖
  • Sym

    Sym 是一款用 Java 实现的现代化社区（论坛/BBS/社交网络/博客）系统平台。

    下一代的社区系统，为未来而构建

    524 引用 • 4601 回帖 • 700 关注
  • Bug

    Bug 本意是指臭虫、缺陷、损坏、犯贫、窃听器、小虫等。现在人们把在程序中一些缺陷或问题统称为 bug（漏洞）。

    75 引用 • 1737 回帖 • 5 关注
  • 职场

    找到自己的位置，萌新烦恼少。

    127 引用 • 1705 回帖 • 1 关注
  • HBase

    HBase 是一个分布式的、面向列的开源数据库，该技术来源于 Fay Chang 所撰写的 Google 论文 “Bigtable：一个结构化数据的分布式存储系统”。就像 Bigtable 利用了 Google 文件系统所提供的分布式数据存储一样，HBase 在 Hadoop 之上提供了类似于 Bigtable 的能力。

    17 引用 • 6 回帖 • 73 关注
  • Vim

    Vim 是类 UNIX 系统文本编辑器 Vi 的加强版本，加入了更多特性来帮助编辑源代码。Vim 的部分增强功能包括文件比较（vimdiff）、语法高亮、全面的帮助系统、本地脚本（Vimscript）和便于选择的可视化模式。

    29 引用 • 66 回帖
  • ActiveMQ

    ActiveMQ 是 Apache 旗下的一款开源消息总线系统，它完整实现了 JMS 规范，是一个企业级的消息中间件。

    19 引用 • 13 回帖 • 670 关注
  • 导航

    各种网址链接、内容导航。

    40 引用 • 173 回帖
  • 服务

    提供一个服务绝不仅仅是简单的把硬件和软件累加在一起，它包括了服务的可靠性、服务的标准化、以及对服务的监控、维护、技术支持等。

    41 引用 • 24 回帖 • 2 关注
  • 锤子科技

    锤子科技（Smartisan）成立于 2012 年 5 月，是一家制造移动互联网终端设备的公司，公司的使命是用完美主义的工匠精神，打造用户体验一流的数码消费类产品（智能手机为主），改善人们的生活质量。

    4 引用 • 31 回帖 • 4 关注
  • Dubbo

    Dubbo 是一个分布式服务框架，致力于提供高性能和透明化的 RPC 远程服务调用方案，是 [阿里巴巴] SOA 服务化治理方案的核心框架，每天为 2,000+ 个服务提供 3,000,000,000+ 次访问量支持，并被广泛应用于阿里巴巴集团的各成员站点。

    60 引用 • 82 回帖 • 595 关注
  • Hexo

    Hexo 是一款快速、简洁且高效的博客框架，使用 Node.js 编写。

    21 引用 • 140 回帖 • 1 关注

最新标签