Linux 服务安全基线实操：从 SSH 加固到自动化配置审计

服务配置混乱导致安全审计翻车？据统计，83% 的安全事件都与不规范的服务配置有关。当合规检查成为企业刚需，手动配置显然已经力不从心了。

本文将带你系统掌握 Linux 服务安全基线的核心技术，从基础配置到自动化验证，帮你构建一套完整的企业级安全防护体系。

目录

1. 安全基线基础
2. 核心服务配置
3. 自动化检查工具
4. 持续监控策略
5. 基线管理维护

1. 安全基线基础

1.1 什么是安全基线？

安全基线是确保 Linux 系统安全运行的最低安全配置标准，它主要包含以下几个方面：

• 访问控制：限制非法访问权限
• 资源限制：防止资源滥用
• 日志记录：完整的安全审计
• 网络防护：网络安全边界设置

1.2 基线重要性

不同等级的服务，其检查频率和安全要求也大相径庭。

风险等级	服务类型	检查频率	安全要求
高风险	SSH、数据库	每日	严格强制
中风险	Web、邮件	每周	强制执行
低风险	文件共享	每月	建议执行

2. 核心服务配置

2.1 SSH 安全基线

强化 SSH 服务是安全防线的前沿阵地，以下是关键配置项。

# SSH安全配置
- PermitRootLogin yes
+ PermitRootLogin no
- PermitEmptyPasswords yes
+ PermitEmptyPasswords no
- MaxAuthTries 6
+ MaxAuthTries 3

配置修改后，务必验证并重启服务使其生效。

# 验证SSH配置
grep -E "PermitRootLogin|MaxAuthTries|Protocol" /etc/ssh/sshd_config

# 重启SSH服务
systemctl restart sshd

2.2 Web 服务安全配置

对于 Apache 和 Nginx，隐藏服务版本信息和关闭目录索引是基础操作。

# Apache安全配置
- Options Indexes FollowSymLinks
+ Options -Indexes FollowSymLinks
- ServerTokens On
+ ServerTokens Off
- AllowOverride All
+ AllowOverride None

在 Nginx 配置中，同样需要关闭 server_tokens，并添加必要的安全头。

# Nginx安全配置
- server_tokens on;
+ server_tokens off;
- client_max_body_size 0;
+ client_max_body_size 1M;
+ add_header X-Frame-Options "SAMEORIGIN";
+ add_header X-Content-Type-Options "nosniff";

2.3 数据库安全配置

数据库配置直接关系到核心数据的安全，必须进行精细化管理。例如，限制 root 用户的远程登录、清理匿名用户和测试库。

# MySQL安全配置
- GRANT ALL ON *.* TO 'root'@'%'
+ GRANT ALL ON *.* TO 'root'@'localhost'
- DELETE FROM mysql.user WHERE User='';
+ # 已删除匿名用户
- DROP DATABASE test;
+ # 已删除测试数据库

PostgreSQL 的配置重点在于连接认证和连接数限制。

# PostgreSQL安全配置
- host all all 127.0.0.1/32 trust
+ host all all 127.0.0.1/32 md5
- max_connections = 100
+ max_connections = 50
+ log_statement = 'all'

3. 自动化检查工具

手动检查效率低下，将检查过程脚本化是迈向自动化的第一步。

3.1 Bash 安全检查脚本

下面这个简单的 Bash 脚本可以快速检查 SSH 配置和密码过期策略。

#!/bin/bash
# 基础安全检查脚本

echo "= Linux服务安全检查 ="

# 检查SSH配置
if grep -q "^PermitRootLogin yes" /etc/ssh/sshd_config; then
    echo "❌ 错误: PermitRootLogin 应设置为 no"
else
    echo "✅ 正确: PermitRootLogin 已设置为 no"
fi

# 检查密码策略
if [ -f /etc/login.defs ] && grep -q "PASS_MAX_DAYS" /etc/login.defs; then
    echo "✅ 正确: 密码过期策略已配置"
else
    echo "❌ 错误: 密码过期策略未配置"
fi

echo "= 检查完成 ="

在编写或调试这类脚本时，你可能会发现，脚本健壮性、模块化以及报告的可视化程度，都是后续优化的方向。这也引出了下文的 Python 工具。

3.2 Python 安全检查工具

使用 Python 可以更方便地扩展检查项并生成结构化的检查报告。

#!/usr/bin/env python3
# security_checker.py

import os
import json
from datetime import datetime

class SecurityChecker:
    def __init__(self):
        self.results = []

    def check_ssh_config(self):
        """检查SSH配置"""
        ssh_config = "/etc/ssh/sshd_config"
        if os.path.exists(ssh_config):
            with open(ssh_config, 'r') as f:
                content = f.read()
                if "PermitRootLogin no" in content:
                    self.results.append({"check": "SSH安全配置", "status": "PASS"})
                else:
                    self.results.append({"check": "SSH安全配置", "status": "FAIL"})

    def generate_report(self):
        """生成检查报告"""
        return {
            "total_checks": len(self.results),
            "pass_count": sum(1 for r in self.results if r["status"] == "PASS"),
            "results": self.results
        }

# 执行检查
if __name__ == "__main__":
    checker = SecurityChecker()
    checker.check_ssh_config()
    print(json.dumps(checker.generate_report(), indent=2))

4. 持续监控策略

配置完成并非一劳永逸，持续的监控和响应是安全闭环的关键。

4.1 使用 fail2ban 防暴力破解

fail2ban 是防御 SSH 暴力破解的利器。安装并启用后，它会自动分析日志并封禁恶意 IP。

# fail2ban配置
[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

# 重启服务
systemctl restart fail2ban

4.2 日志轮转管理

有序地管理安全日志，既能避免磁盘被写满，也便于后期的审计与复盘。

# /etc/logrotate.d/security
/var/log/security/*.log {
    daily
    rotate 30
    compress
    create 644 root root
    postrotate
        systemctl reload rsyslog
    endscript
}

4.3 告警系统

将告警脚本化，可以在第一时间发现问题。比如，检测到大量的 SSH 失败尝试时，我们应立即发出邮件告警。

# 基础告警脚本
if [ $(grep "Failed password" /var/log/auth.log | wc -l) -gt 5 ]; then
    echo "安全告警：SSH暴力破解尝试检测到" | mail -s "安全告警" admin@example.com
fi

这类脚本的持续迭代与稳定运行，离不开一个有序的管理规范，即基线管理维护。

5. 基线管理维护

5.1 版本控制

通过 Git 对配置文件进行集中管理，所有变更都将有迹可循，这是运维规范性的体现。

# Git管理配置
git init /etc/security-baseline
git add ssh_config nginx_config mysql_config
git commit -m "更新安全基线配置"

5.2 定期审计计划

安全策略并非一成不变。你需要制定并执行周期性的审计计划，根据业务变化和最新威胁情报，持续优化现有的基线配置。

5.3 应急响应

当入侵发生时，清晰的应急脚本能帮你迅速隔离威胁并恢复服务。

# 应急响应流程
#!/bin/bash
# incident_response.sh

detect_incident() {
    echo "检测到安全事件..."
    echo "$(date): 安全事件检测到" >> /var/log/security_incident.log
}

isolate_system() {
    iptables -A INPUT -s $ATTACKER_IP -j DROP
    echo "已隔离攻击者IP: $ATTACKER_IP"
}

restore_system() {
    cp /backup/security_baseline/sshd_config /etc/ssh/sshd_config
    systemctl restart sshd
}

通过亲身实践 Linux 服务安全基线配置，我深刻体会到，将安全标准化和自动化，不仅能满足严苛的合规需求，更能实实在在地大幅提升系统的整体防御水位。这并非一日之功，但却值得每一位开发者深耕。