登录 注册

Linux 安全加固指南

本贴最后更新于 1371 天前，其中的信息可能已经事过境迁

原文链接：https://madaidans-insecurities.github.io/guides/linux-hardening.html#tiocsti

更新时间：2020 年 12 月 25 日

Linux 不是一个安全的开源系统。但是，你可以采取一些措施来提升它的安全性。本指南旨在说明如何尽可能加强 Linux 的安全性和隐私性。本指南试图与发行版无关，不限于任何特定的发行版本。

免责声明：如果你不清楚的知道你在做什么，请不要尝试应用本文中的任何内容。本指南仅关注安全性和隐私性，而不关注性能，可用性或其他任何内容。

在文章中列出的所有命令都是需要 root 权限的。以“$”开头的单词表示变量，不同用户的变量会存在差异，需要根据环境做出相应调整。

目录

  1. 选择正确的 Linux 发行版本
  2. 内核加固
  1. 稳定版本 VS 长期支持版本
  2. Sysctl

• Kernel 自我保护

• 网络

• 用户空间

  1. Boot 参数

• Kernel 自我保护

• CPU 缓解

• 效果

  1. 隐藏进程
  2. 减少内核攻击面

• Boot 参数

• 内核黑名单模块

• rfkill

  1. 其他内核指针泄露
  2. 限制对 sysfs 的访问
  3. Linux 强化包
  4. 安全性
  5. Linux 内核运行时防护
  6. 内核自编译
  1. 强制访问控制
  2. 沙盒
  1. 应用沙盒
  2. 常见的沙箱逃逸

• 脉冲音频

• D-Bus

• GUI 隔离

• 进程跟踪

• TIOCSTI

  1. Systemd 服务沙盒
  2. gVisor
  3. 虚拟机
  1. 强化内存分配器
  2. 强化编译标志
  3. 内存安全语言
  4. root 账号
  1. /etc/securetty
  2. 限制 su
  3. 锁定 root 账户
  4. 禁止 root 通过 SSH 登录
  5. 增加哈希轮数
  6. 限制 Xorg 的 root 访问
  7. 安全地访问 root
  1. 防火墙
  2. 身份标识
  1. 主机名和用户名
  2. 时区/语言区域/键盘映射
  3. 机器 ID
  4. MAC 地址欺骗
  5. 时间攻击

• ICMP 时间戳

• TCP 时间戳

• TCP 初始化序列号

• 时间同步

  1. 按键指纹
  1. 文件授权
  1. 设置 gid 和 uid
  2. 设置 unmask
  1. 核心转存

• sysctl

• systemd

• ulimit

• setuid processes

  1. 内存交换
  2. PAM
  3. microcode 更新
  4. IPv6 隐私扩展
  1. NetworkManager
  2. systemd-networkd
  1. 分区和挂载点
  2. 熵
  1. 额外的熵源
  2. RDRAND
  1. 以 root 权限编辑文件
  2. 特定发行版的强化
  1. HTTPS 包管理器镜像
  2. APT seccomp-bpf
  1. 物理安全
  1. 加密
  2. BIOS / UEFI 加固
  3. 引导程序密码

• GRUB

• Syslinux

• systemd-boot

  1. boot 校验
  2. USB 接口
  3. DMA 攻击
  4. 冷启动攻击
  1. 最佳实践

持续翻译中，欢迎 ━(｀∀´)ノ亻!提意见

  • 翻译
    58 引用 • 84 回帖 • 1 关注
222 8 44 21 24 6 119

相关帖子

回帖
Linux 安全加固指南

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
yuanhenglizhen
笔落兴亡定三端之妙，墨写清白尽六艺之奥
回帖
689
 帖子
189
 积分
6270

近期热议

推荐标签 标签

  • Swift

    Swift 是苹果于 2014 年 WWDC（苹果开发者大会）发布的开发语言，可与 Objective-C 共同运行于 Mac OS 和 iOS 平台，用于搭建基于苹果平台的应用程序。

    36 引用 • 37 回帖 • 535 关注
  • Bug

    Bug 本意是指臭虫、缺陷、损坏、犯贫、窃听器、小虫等。现在人们把在程序中一些缺陷或问题统称为 bug（漏洞）。

    75 引用 • 1737 回帖
  • 资讯

    资讯是用户因为及时地获得它并利用它而能够在相对短的时间内给自己带来价值的信息，资讯有时效性和地域性。

    55 引用 • 85 回帖 • 2 关注
  • NGINX

    NGINX 是一个高性能的 HTTP 和反向代理服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 NGINX 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，第一个公开版本 0.1.0 发布于 2004 年 10 月 4 日。

    311 引用 • 546 回帖
  • TensorFlow

    TensorFlow 是一个采用数据流图（data flow graphs），用于数值计算的开源软件库。节点（Nodes）在图中表示数学操作，图中的线（edges）则表示在节点间相互联系的多维数据数组，即张量（tensor）。

    20 引用 • 19 回帖
  • 快应用

    快应用 是基于手机硬件平台的新型应用形态；标准是由主流手机厂商组成的快应用联盟联合制定；快应用标准的诞生将在研发接口、能力接入、开发者服务等层面建设标准平台；以平台化的生态模式对个人开发者和企业开发者全品类开放。

    15 引用 • 127 回帖 • 2 关注
  • TextBundle

    TextBundle 文件格式旨在应用程序之间交换 Markdown 或 Fountain 之类的纯文本文件时，提供更无缝的用户体验。

    1 引用 • 2 回帖 • 45 关注
  • FreeMarker

    FreeMarker 是一款好用且功能强大的 Java 模版引擎。

    23 引用 • 20 回帖 • 461 关注
  • 房星科技

    房星网，我们不和没有钱的程序员谈理想，我们要让程序员又有理想又有钱。我们有雄厚的房地产行业线下资源，遍布昆明全城的 100 家门店、四千地产经纪人是我们坚实的后盾。

    6 引用 • 141 回帖 • 584 关注
  • React

    React 是 Facebook 开源的一个用于构建 UI 的 JavaScript 库。

    192 引用 • 291 回帖 • 402 关注
  • CongSec

    本标签主要用于分享网络空间安全专业的学习笔记

    1 引用 • 1 回帖 • 10 关注
  • Solidity

    Solidity 是一种智能合约高级语言，运行在 [以太坊] 虚拟机（EVM）之上。它的语法接近于 JavaScript，是一种面向对象的语言。

    3 引用 • 18 回帖 • 383 关注
  • 倾城之链
    23 引用 • 66 回帖 • 138 关注
  • 安装

    你若安好，便是晴天。

    132 引用 • 1184 回帖 • 1 关注
  • Redis

    Redis 是一个开源的使用 ANSI C 语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value 数据库，并提供多种语言的 API。从 2010 年 3 月 15 日起，Redis 的开发工作由 VMware 主持。从 2013 年 5 月开始，Redis 的开发由 Pivotal 赞助。

    286 引用 • 248 回帖 • 74 关注
  • OpenStack

    OpenStack 是一个云操作系统，通过数据中心可控制大型的计算、存储、网络等资源池。所有的管理通过前端界面管理员就可以完成，同样也可以通过 Web 接口让最终用户部署资源。

    10 引用 • 2 关注
  • HBase

    HBase 是一个分布式的、面向列的开源数据库，该技术来源于 Fay Chang 所撰写的 Google 论文 “Bigtable：一个结构化数据的分布式存储系统”。就像 Bigtable 利用了 Google 文件系统所提供的分布式数据存储一样，HBase 在 Hadoop 之上提供了类似于 Bigtable 的能力。

    17 引用 • 6 回帖 • 70 关注
  • Electron

    Electron 基于 Chromium 和 Node.js，让你可以使用 HTML、CSS 和 JavaScript 构建应用。它是一个由 GitHub 及众多贡献者组成的活跃社区共同维护的开源项目，兼容 Mac、Windows 和 Linux，它构建的应用可在这三个操作系统上面运行。

    15 引用 • 136 回帖
  • QQ

    1999 年 2 月腾讯正式推出“腾讯 QQ”，在线用户由 1999 年的 2 人（马化腾和张志东）到现在已经发展到上亿用户了，在线人数超过一亿，是目前使用最广泛的聊天软件之一。

    45 引用 • 557 回帖 • 85 关注
  • Kubernetes

    Kubernetes 是 Google 开源的一个容器编排引擎，它支持自动化部署、大规模可伸缩、应用容器化管理。

    110 引用 • 54 回帖 • 3 关注
  • GitHub

    GitHub 于 2008 年上线，目前，除了 Git 代码仓库托管及基本的 Web 管理界面以外，还提供了订阅、讨论组、文本渲染、在线文件编辑器、协作图谱（报表）、代码片段分享（Gist）等功能。正因为这些功能所提供的便利，又经过长期的积累，GitHub 的用户活跃度很高，在开源世界里享有深远的声望，并形成了社交化编程文化（Social Coding）。

    209 引用 • 2031 回帖
  • SVN

    SVN 是 Subversion 的简称，是一个开放源代码的版本控制系统，相较于 RCS、CVS，它采用了分支管理系统，它的设计目标就是取代 CVS。

    29 引用 • 98 回帖 • 684 关注
  • ReactiveX

    ReactiveX 是一个专注于异步编程与控制可观察数据（或者事件）流的 API。它组合了观察者模式，迭代器模式和函数式编程的优秀思想。

    1 引用 • 2 回帖 • 153 关注
  • RESTful

    一种软件架构设计风格而不是标准，提供了一组设计原则和约束条件，主要用于客户端和服务器交互类的软件。基于这个风格设计的软件可以更简洁，更有层次，更易于实现缓存等机制。

    30 引用 • 114 回帖 • 2 关注
  • 运维

    互联网运维工作，以服务为中心，以稳定、安全、高效为三个基本点，确保公司的互联网业务能够 7×24 小时为用户提供高质量的服务。

    148 引用 • 257 回帖 • 1 关注
  • 分享

    有什么新发现就分享给大家吧！

    247 引用 • 1792 回帖 • 7 关注
  • 脑图

    脑图又叫思维导图，是表达发散性思维的有效图形思维工具 ，它简单却又很有效，是一种实用性的思维工具。

    25 引用 • 83 回帖

最新标签