登录 注册

Linux 安全加固指南

本贴最后更新于 1783 天前，其中的信息可能已经事过境迁

原文链接：https://madaidans-insecurities.github.io/guides/linux-hardening.html#tiocsti

更新时间：2020 年 12 月 25 日

Linux 不是一个安全的开源系统。但是，你可以采取一些措施来提升它的安全性。本指南旨在说明如何尽可能加强 Linux 的安全性和隐私性。本指南试图与发行版无关，不限于任何特定的发行版本。

免责声明：如果你不清楚的知道你在做什么，请不要尝试应用本文中的任何内容。本指南仅关注安全性和隐私性，而不关注性能，可用性或其他任何内容。

在文章中列出的所有命令都是需要 root 权限的。以“$”开头的单词表示变量，不同用户的变量会存在差异，需要根据环境做出相应调整。

目录

  1. 选择正确的 Linux 发行版本
  2. 内核加固
  1. 稳定版本 VS 长期支持版本
  2. Sysctl

• Kernel 自我保护

• 网络

• 用户空间

  1. Boot 参数

• Kernel 自我保护

• CPU 缓解

• 效果

  1. 隐藏进程
  2. 减少内核攻击面

• Boot 参数

• 内核黑名单模块

• rfkill

  1. 其他内核指针泄露
  2. 限制对 sysfs 的访问
  3. Linux 强化包
  4. 安全性
  5. Linux 内核运行时防护
  6. 内核自编译
  1. 强制访问控制
  2. 沙盒
  1. 应用沙盒
  2. 常见的沙箱逃逸

• 脉冲音频

• D-Bus

• GUI 隔离

• 进程跟踪

• TIOCSTI

  1. Systemd 服务沙盒
  2. gVisor
  3. 虚拟机
  1. 强化内存分配器
  2. 强化编译标志
  3. 内存安全语言
  4. root 账号
  1. /etc/securetty
  2. 限制 su
  3. 锁定 root 账户
  4. 禁止 root 通过 SSH 登录
  5. 增加哈希轮数
  6. 限制 Xorg 的 root 访问
  7. 安全地访问 root
  1. 防火墙
  2. 身份标识
  1. 主机名和用户名
  2. 时区/语言区域/键盘映射
  3. 机器 ID
  4. MAC 地址欺骗
  5. 时间攻击

• ICMP 时间戳

• TCP 时间戳

• TCP 初始化序列号

• 时间同步

  1. 按键指纹
  1. 文件授权
  1. 设置 gid 和 uid
  2. 设置 unmask
  1. 核心转存

• sysctl

• systemd

• ulimit

• setuid processes

  1. 内存交换
  2. PAM
  3. microcode 更新
  4. IPv6 隐私扩展
  1. NetworkManager
  2. systemd-networkd
  1. 分区和挂载点
  2. 熵
  1. 额外的熵源
  2. RDRAND
  1. 以 root 权限编辑文件
  2. 特定发行版的强化
  1. HTTPS 包管理器镜像
  2. APT seccomp-bpf
  1. 物理安全
  1. 加密
  2. BIOS / UEFI 加固
  3. 引导程序密码

• GRUB

• Syslinux

• systemd-boot

  1. boot 校验
  2. USB 接口
  3. DMA 攻击
  4. 冷启动攻击
  1. 最佳实践

持续翻译中，欢迎 ━(｀∀´)ノ亻!提意见

  • 翻译
    58 引用 • 84 回帖 • 1 关注
255 8 45 35 26 6 135

相关帖子

回帖
Linux 安全加固指南

欢迎来到这里！

我们正在构建一个小众社区，大家在这里相互信任，以平等 • 自由 • 奔放的价值观进行分享交流。最终，希望大家能够找到与自己志同道合的伙伴，共同成长。

注册 关于
请输入回帖内容 ...
yuanhenglizhen
笔落兴亡定三端之妙，墨写清白尽六艺之奥
回帖
689
 帖子
189
 积分
6275

近期热议

推荐标签 标签

  • Bug

    Bug 本意是指臭虫、缺陷、损坏、犯贫、窃听器、小虫等。现在人们把在程序中一些缺陷或问题统称为 bug（漏洞）。

    76 引用 • 1746 回帖 • 10 关注
  • CloudFoundry

    Cloud Foundry 是 VMware 推出的业界第一个开源 PaaS 云平台，它支持多种框架、语言、运行时环境、云平台及应用服务，使开发人员能够在几秒钟内进行应用程序的部署和扩展，无需担心任何基础架构的问题。

    4 引用 • 16 回帖 • 198 关注
  • HHKB

    HHKB 是富士通的 Happy Hacking 系列电容键盘。电容键盘即无接点静电电容式键盘（Capacitive Keyboard）。

    5 引用 • 74 回帖 • 548 关注
  • Sillot

    Insights（注意当前设置 master 为默认分支）

    汐洛彖夲肜矩阵（Sillot T☳Converbenk Matrix），致力于服务智慧新彖乄，具有彖乄驱动、极致优雅、开发者友好的特点。其中汐洛绞架（Sillot-Gibbet）基于自思源笔记（siyuan-note），前身是思源笔记汐洛版（更早是思源笔记汐洛分支），是智慧新录乄终端（多端融合，移动端优先）。

    主仓库地址：Hi-Windom/Sillot

    文档地址：sillot.db.sc.cn

    注意事项：

    1. ⚠️ 汐洛仍在早期开发阶段，尚不稳定
    2. ⚠️ 汐洛并非面向普通用户设计，使用前请了解风险
    3. ⚠️ 汐洛绞架基于思源笔记，开发者尽最大努力与思源笔记保持兼容，但无法实现 100% 兼容
    29 引用 • 25 回帖 • 152 关注
  • PHP

    PHP（Hypertext Preprocessor）是一种开源脚本语言。语法吸收了 C 语言、 Java 和 Perl 的特点，主要适用于 Web 开发领域，据说是世界上最好的编程语言。

    167 引用 • 408 回帖 • 494 关注
  • FreeMarker

    FreeMarker 是一款好用且功能强大的 Java 模版引擎。

    23 引用 • 20 回帖 • 475 关注
  • 大疆创新

    深圳市大疆创新科技有限公司(DJI-Innovations，简称 DJI)，成立于 2006 年，是全球领先的无人飞行器控制系统及无人机解决方案的研发和生产商，客户遍布全球 100 多个国家。通过持续的创新，大疆致力于为无人机工业、行业用户以及专业航拍应用提供性能最强、体验最佳的革命性智能飞控产品和解决方案。

    2 引用 • 14 回帖
  • 酷鸟浏览器

    安全 · 稳定 · 快速
    为跨境从业人员提供专业的跨境浏览器

    3 引用 • 59 回帖 • 64 关注
  • 倾城之链
    23 引用 • 66 回帖 • 188 关注
  • AWS
    11 引用 • 28 回帖 • 1 关注
  • Bootstrap

    Bootstrap 是 Twitter 推出的一个用于前端开发的开源工具包。它由 Twitter 的设计师 Mark Otto 和 Jacob Thornton 合作开发，是一个 CSS / HTML 框架。

    18 引用 • 33 回帖 • 646 关注
  • LeetCode

    LeetCode（力扣）是一个全球极客挚爱的高质量技术成长平台，想要学习和提升专业能力从这里开始，充足技术干货等你来啃，轻松拿下 Dream Offer！

    209 引用 • 72 回帖
  • Latke

    Latke 是一款以 JSON 为主的 Java Web 框架。

    71 引用 • 535 回帖 • 847 关注
  • Facebook

    Facebook 是一个联系朋友的社交工具。大家可以通过它和朋友、同事、同学以及周围的人保持互动交流，分享无限上传的图片，发布链接和视频，更可以增进对朋友的了解。

    4 引用 • 15 回帖 • 443 关注
  • JVM

    JVM（Java Virtual Machine）Java 虚拟机是一个微型操作系统，有自己的硬件构架体系，还有相应的指令系统。能够识别 Java 独特的 .class 文件（字节码），能够将这些文件中的信息读取出来，使得 Java 程序只需要生成 Java 虚拟机上的字节码后就能在不同操作系统平台上进行运行。

    180 引用 • 120 回帖
  • Word
    13 引用 • 41 回帖 • 1 关注
  • 书籍

    宋真宗赵恒曾经说过：“书中自有黄金屋，书中自有颜如玉。”

    85 引用 • 414 回帖
  • Rust

    Rust 是一门赋予每个人构建可靠且高效软件能力的语言。Rust 由 Mozilla 开发，最早发布于 2014 年 9 月。

    60 引用 • 22 回帖
  • Thymeleaf

    Thymeleaf 是一款用于渲染 XML/XHTML/HTML5 内容的模板引擎。类似 Velocity、 FreeMarker 等，它也可以轻易的与 Spring 等 Web 框架进行集成作为 Web 应用的模板引擎。与其它模板引擎相比，Thymeleaf 最大的特点是能够直接在浏览器中打开并正确显示模板页面，而不需要启动整个 Web 应用。

    11 引用 • 19 回帖 • 412 关注
  • wolai

    我来 wolai：不仅仅是未来的云端笔记！

    2 引用 • 14 回帖 • 7 关注
  • Love2D

    Love2D 是一个开源的， 跨平台的 2D 游戏引擎。使用纯 Lua 脚本来进行游戏开发。目前支持的平台有 Windows, Mac OS X, Linux, Android 和 iOS。

    14 引用 • 53 回帖 • 572 关注
  • 机器学习

    机器学习（Machine Learning）是一门多领域交叉学科，涉及概率论、统计学、逼近论、凸分析、算法复杂度理论等多门学科。专门研究计算机怎样模拟或实现人类的学习行为，以获取新的知识或技能，重新组织已有的知识结构使之不断改善自身的性能。

    78 引用 • 37 回帖
  • API

    应用程序编程接口（Application Programming Interface）是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。

    79 引用 • 431 回帖 • 1 关注
  • FlowUs

    FlowUs.息流 个人及团队的新一代生产力工具。

    让复杂的信息管理更轻松、自由、充满创意。

    1 引用 • 1 关注
  • Quicker

    Quicker 您的指尖工具箱！操作更少，收获更多！

    39 引用 • 170 回帖
  • 房星科技

    房星网，我们不和没有钱的程序员谈理想，我们要让程序员又有理想又有钱。我们有雄厚的房地产行业线下资源，遍布昆明全城的 100 家门店、四千地产经纪人是我们坚实的后盾。

    6 引用 • 141 回帖 • 623 关注
  • MongoDB

    MongoDB（来自于英文单词“Humongous”，中文含义为“庞大”）是一个基于分布式文件存储的数据库，由 C++ 语言编写。旨在为应用提供可扩展的高性能数据存储解决方案。MongoDB 是一个介于关系数据库和非关系数据库之间的产品，是非关系数据库当中功能最丰富，最像关系数据库的。它支持的数据结构非常松散，是类似 JSON 的 BSON 格式，因此可以存储比较复杂的数据类型。

    91 引用 • 59 回帖 • 1 关注

最新标签