Linux服务器安全加固完全指南：从基础配置到高级防护的7步实战教程

# 编辑SSH配置
sudo vim /etc/ssh/sshd_config

# 修改以下参数
Port 2299                    # 修改为非标准端口（如258.hk服务器使用2299端口）
PermitRootLogin prohibit-password  # 禁止root密码登录，仅允许密钥认证
PasswordAuthentication no   # 完全禁用密码认证
PubkeyAuthentication yes    # 启用公钥认证
MaxAuthTries 3              # 限制认证尝试次数
ClientAliveInterval 300     # 空闲超时5分钟自动断开
ClientAliveCountMax 0

# 重启SSH服务
sudo systemctl restart sshd

# 安装Fail2Ban
sudo apt install fail2ban -y   # Debian/Ubuntu
sudo yum install fail2ban -y   # CentOS/RHEL

# 创建本地配置覆盖
sudo vim /etc/fail2ban/jail.local

[DEFAULT]
bantime = 3600                 # 封禁1小时
findtime = 600                 # 10分钟内的失败尝试
maxretry = 3                   # 最多3次失败即封禁

[sshd]
enabled = true
port = 2299                    # 匹配你的SSH端口
logpath = /var/log/auth.log

sudo systemctl enable --now fail2ban

# 启用UFW
sudo ufw enable

# 默认策略：拒绝所有入站，允许所有出站
sudo ufw default deny incoming
sudo ufw default allow outgoing

# 只开放必要端口
sudo ufw allow 2299/tcp comment "SSH管理"
sudo ufw allow 80/tcp comment "HTTP"
sudo ufw allow 443/tcp comment "HTTPS"

# 限制SSH连接速率（防暴力破解）
sudo ufw limit 2299/tcp

# 查看规则
sudo ufw status numbered

# 删除错误规则示例
# sudo ufw delete 3

# 启用自动安全更新
sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure unattended-upgrades  # 选择"Yes"

# 配置仅安装安全更新
sudo vim /etc/apt/apt.conf.d/50unattended-upgrades
# 确保以下行未被注释：
# "${distro_id}:${distro_codename}-security";

# 清理不必要的软件包
sudo apt autoremove --purge -y

# 检查并关闭不必要的服务
sudo systemctl list-units --type=service --state=running
sudo systemctl disable --now <不需要的服务名称>

# 编辑系统安全配置
sudo vim /etc/sysctl.d/99-security.conf

# 防止SYN洪水攻击
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2

# 禁用IP源路由（防IP欺骗）
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

# 启用反向路径过滤（防IP欺骗）
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# 忽略ICMP重定向（防中间人攻击）
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

# 记录可疑包（martian packets）
net.ipv4.conf.all.log_martians = 1

# 应用配置
sudo sysctl --system

# 安装AIDE（文件完整性监控）
sudo apt install aide -y
sudo aideinit
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db

# 配置定期检查（每天凌晨3点）
sudo vim /etc/cron.d/aide-check
# 添加：
# 0 3 * * * root /usr/bin/aide.wrapper --check | mail -s "AIDE Report" admin@example.com

# 安装RKHunter（Rootkit检测）
sudo apt install rkhunter -y
sudo rkhunter --update
sudo rkhunter --check --skip-keypress

# 配置每日自动扫描
sudo vim /etc/cron.daily/rkhunter
# 添加扫描命令并配置邮件通知

# 安装ModSecurity with Nginx
sudo apt install libmodsecurity3 nginx-module-modsecurity -y

# 下载OWASP核心规则集
cd /etc/nginx
sudo git clone https://github.com/coreruleset/coreruleset
sudo cp coreruleset/crs-setup.conf.example coreruleset/crs-setup.conf

# 配置Nginx
sudo vim /etc/nginx/modsecurity.conf
# SecRuleEngine On
# SecAuditEngine RelevantOnly

# 检查关键日志配置
sudo vim /etc/rsyslog.conf

# 确保以下日志被记录：
# auth,authpriv.*    /var/log/auth.log      (认证日志)
# kern.*             /var/log/kern.log      (内核日志)
# cron.*             /var/log/cron.log      (定时任务)

# 配置日志转发（集中到日志服务器）
*.* @log-server.example.com:514

# 安装监控告警
sudo apt install monit -y
sudo vim /etc/monit/monitrc
# 配置CPU、内存、磁盘、服务状态监控及邮件告警
sudo systemctl enable --now monit