Parrot OS系统安全加固技巧大全让你的系统抵御各类网络威胁

威震华夏关云长 · 发表于 2025-9-2 12:30:00

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要登录才可以下载或查看，没有账号？立即注册

x

引言

Parrot OS是一个基于Debian的Linux发行版，专为安全专家、开发人员和隐私意识强的用户设计。它预装了多种安全工具，用于渗透测试、计算机取证、反向工程、匿名浏览和加密通信。然而，即使是这样专注于安全的操作系统，也需要进行适当的安全加固，以应对不断变化的网络威胁。

系统安全加固是指通过一系列配置更改和安全措施，减少系统受攻击面，提高系统抵抗攻击的能力。本文将详细介绍如何加固Parrot OS系统，使其能够有效抵御各类网络威胁，保护您的数据和隐私安全。

系统更新与维护

保持系统更新是安全加固的第一步，也是最重要的一步。软件更新通常包含安全补丁，修复已知的漏洞。

定期更新系统

Parrot OS基于Debian，可以使用APT包管理器进行更新：

# 更新软件包列表
sudo apt update
# 升级所有已安装的软件包
sudo apt full-upgrade -y
# 清理不再需要的软件包
sudo apt autoremove -y
sudo apt autoclean

复制代码

自动安全更新

配置自动安全更新可以确保系统及时获得安全补丁：

# 安装自动更新包
sudo apt install unattended-upgrades apt-listchanges -y
# 配置自动更新
sudo dpkg-reconfigure -plow unattended-upgrades

复制代码

在配置过程中，选择”是”以自动下载和安装稳定更新。

编辑/etc/apt/apt.conf.d/50unattended-upgrades文件，自定义自动更新设置：

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

复制代码

确保以下部分未被注释，以启用安全更新自动安装：

Unattended-Upgrade::Allowed-Origins {
"${distro_id}:${distro_codename}";
"${distro_id}:${distro_codename}-security";
// "${distro_id}:${distro_codename}-updates";
// "${distro_id}:${distro_codename}-proposed";
// "${distro_id}:${distro_codename}-backports";
};

复制代码

设置更新通知

配置系统在需要重启时发送通知：

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "02:00";

复制代码

用户账户安全

用户账户是系统安全的第一道防线。强化用户账户安全可以有效防止未授权访问。

创建强密码策略

强制用户使用强密码：

# 安装密码质量检查工具
sudo apt install libpam-pwquality -y

复制代码

编辑/etc/security/pwquality.conf文件：

sudo nano /etc/security/pwquality.conf

复制代码

设置以下参数以强制强密码：

minlen = 12
minclass = 3
maxrepeat = 3
dcredit = -1
ucredit = -1
lcredit = -1
ocredit = -1

复制代码

这些设置要求密码至少12个字符，包含至少3种字符类型（大写、小写、数字和特殊字符），最多连续重复3个字符，并且至少包含一个大写字母、一个小写字母、一个数字和一个特殊字符。

限制root访问

直接使用root账户登录是不安全的做法。应该使用sudo执行特权命令：

# 确保sudo已安装
sudo apt install sudo -y
# 将用户添加到sudo组
sudo usermod -aG sudo username

复制代码

编辑/etc/sudoers文件以配置sudo访问：

sudo visudo

复制代码

添加以下行以要求密码验证并记录sudo命令：

Defaults secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
Defaults env_reset
Defaults mail_badpass
Defaults badpass_message="Password incorrect, please try again"
Defaults logfile="/var/log/sudo.log"
Defaults passwd_tries=3

复制代码

禁用root登录

编辑SSH配置文件以禁用root登录：

sudo nano /etc/ssh/sshd_config

复制代码

找到并修改以下行：

PermitRootLogin no

复制代码

重启SSH服务：

sudo systemctl restart sshd

复制代码

用户账户锁定策略

配置账户锁定策略以防止暴力破解：

sudo nano /etc/pam.d/common-auth

复制代码

在文件中添加以下行：

auth required pam_tally2.so deny=5 unlock_time=1800 onerr=fail

复制代码

这将允许5次失败尝试，然后锁定账户30分钟。

查看失败的登录尝试：

sudo pam_tally2 --user username

复制代码

解锁锁定的账户：

sudo pam_tally2 --user username --reset

复制代码

网络安全配置

网络安全是系统安全的关键组成部分。正确配置网络设置可以防止多种网络攻击。

配置防火墙

Parrot OS默认使用iptables作为防火墙。安装并配置UFW（Uncomplicated Firewall）简化防火墙管理：

# 安装UFW
sudo apt install ufw -y
# 默认拒绝所有传入连接
sudo ufw default deny incoming
# 允许所有传出连接
sudo ufw default allow outgoing
# 启用UFW
sudo ufw enable
# 检查UFW状态
sudo ufw status verbose

复制代码

根据需要添加特定规则：

# 允许SSH连接
sudo ufw allow ssh
# 允许HTTP和HTTPS
sudo ufw allow http
sudo ufw allow https
# 允许特定IP地址访问
sudo ufw allow from 192.168.1.100
# 允许特定端口
sudo ufw allow 8080/tcp

复制代码

禁用不必要的服务

减少网络攻击面，禁用不必要的服务：

# 查看运行中的服务
sudo systemctl list-units --type=service --state=running
# 禁用特定服务
sudo systemctl disable servicename
sudo systemctl stop servicename

复制代码

例如，禁用不必要的服务：

# 禁用Avahi（除非需要网络设备发现）
sudo systemctl disable avahi-daemon
sudo systemctl stop avahi-daemon
# 禁用CUPS打印服务（如果不使用打印机）
sudo systemctl disable cups
sudo systemctl stop cups

复制代码

配置SSH安全

SSH是远程管理的常用工具，但也是攻击者的常见目标。强化SSH配置：

sudo nano /etc/ssh/sshd_config

复制代码

修改以下设置：

# 更改默认端口
Port 2222
# 禁用root登录
PermitRootLogin no
# 禁用密码认证，使用密钥认证
PasswordAuthentication no
PubkeyAuthentication yes
# 限制允许的用户
AllowUsers username1 username2
# 禁用空密码
PermitEmptyPasswords no
# 设置最大认证尝试次数
MaxAuthTries 3
# 禁用X11转发（除非需要）
X11Forwarding no

复制代码

重启SSH服务：

sudo systemctl restart sshd

复制代码

使用SSH密钥认证

生成SSH密钥对：

# 生成ED25519密钥对（推荐）
ssh-keygen -t ed25519 -C "your_email@example.com"
# 或者生成RSA密钥对
ssh-keygen -t rsa -b 4096 -C "your_email@example.com"

复制代码

将公钥复制到远程服务器：

ssh-copy-id -i ~/.ssh/id_ed25519.pub username@remote_host

复制代码

网络参数调整

调整内核网络参数以提高安全性：

sudo nano /etc/sysctl.conf

复制代码

添加或修改以下参数：

# 启用IP欺骗保护
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# 忽略ICMP重定向请求
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
# 忽略发送ICMP重定向
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
# 不接受源路由
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
# 启用TCP SYN Cookie保护
net.ipv4.tcp_syncookies = 1
# 防止TCP时间戳
net.ipv4.tcp_timestamps = 0
# 启用日志记录可疑数据包
net.ipv4.conf.all.log_martians = 1
net.ipv4.conf.default.log_martians = 1
# 禁用IP转发（除非用作路由器）
net.ipv4.ip_forward = 0
net.ipv6.conf.all.forwarding = 0
# 防止SYN洪水攻击
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5
# 防止TCP序列号预测攻击
net.ipv4.tcp_rfc1337 = 1
# 减少超时时间
net.ipv4.tcp_fin_timeout = 15

复制代码

应用更改：

sudo sysctl -p

复制代码

文件系统安全

保护文件系统是系统安全的重要组成部分。正确的文件权限和加密可以防止数据泄露和未授权访问。

文件系统加密

使用LUKS（Linux Unified Key Setup）加密整个磁盘或特定分区：

# 安装加密工具
sudo apt install cryptsetup -y
# 加密分区（例如/dev/sdb1）
sudo cryptsetup --verbose --verify-passphrase luksFormat /dev/sdb1
# 打开加密分区
sudo cryptsetup luksOpen /dev/sdb1 encrypted_partition
# 格式化加密分区
sudo mkfs.ext4 /dev/mapper/encrypted_partition
# 挂载加密分区
sudo mkdir /mnt/encrypted
sudo mount /dev/mapper/encrypted_partition /mnt/encrypted
# 卸载和关闭加密分区
sudo umount /mnt/encrypted
sudo cryptsetup luksClose encrypted_partition

复制代码

设置文件权限

正确设置文件和目录权限：

# 设置重要目录权限
sudo chmod 700 /root
sudo chmod 700 /home/*
sudo chmod 755 /etc
# 设置重要文件权限
sudo chmod 600 /etc/passwd-
sudo chmod 600 /etc/shadow-
sudo chmod 600 /etc/group-
sudo chmod 600 /etc/gshadow-
sudo chmod 644 /etc/passwd
sudo chmod 644 /etc/group
sudo chmod 600 /etc/shadow
sudo chmod 600 /etc/gshadow

复制代码

使用文件系统属性

使用chattr设置不可变属性：

# 设置重要文件为不可变
sudo chattr +i /etc/passwd
sudo chattr +i /etc/shadow
sudo chattr +i /etc/group
sudo chattr +i /etc/gshadow
sudo chattr +i /etc/sudoers
sudo chattr +i /etc/sudoers.d/*

复制代码

如需修改这些文件，先移除不可变属性：

sudo chattr -i /etc/passwd

复制代码

配置磁盘配额

限制用户磁盘使用量：

# 安装配额工具
sudo apt install quota -y
# 编辑/etc/fstab，在需要配额的分区添加usrquota和grpquota选项
sudo nano /etc/fstab

复制代码

例如：

UUID=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx / ext4 defaults,usrquota,grpquota 0 1

复制代码

# 重新挂载文件系统
sudo mount -o remount /
# 创建配额文件
sudo quotacheck -cum /
sudo quotaon -v /

复制代码

为用户设置配额：

# 设置用户配额
sudo edquota username

复制代码

使用文件系统检查工具

定期检查文件系统完整性：

# 安装AIDE（高级入侵检测环境）
sudo apt install aide -y
# 初始化AIDE数据库
sudo aideinit
# 移动数据库到安全位置
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
# 执行系统检查
sudo aide --check

复制代码

配置定期检查：

sudo nano /etc/crontab

复制代码

添加以下行以每天执行检查：

0 3 * * * root /usr/bin/aide --check | /usr/bin/mail -s "AIDE report" your_email@example.com

复制代码

应用程序安全

安全地安装和配置应用程序可以减少潜在的安全风险。

使用软件签名验证

验证下载的软件包的完整性：

# 更新APT密钥
sudo apt-key adv --refresh-keys
# 验证特定软件包的签名
sudo apt-get --allow-unauthenticated install package_name

复制代码

使用AppArmor或SELinux

使用强制访问控制（MAC）系统限制应用程序权限：

# 安装AppArmor
sudo apt install apparmor apparmor-utils -y
# 启用AppArmor
sudo systemctl enable apparmor
sudo systemctl start apparmor
# 检查AppArmor状态
sudo aa-status

复制代码

为特定应用程序创建AppArmor配置文件：

# 为应用程序生成配置文件
sudo aa-genprof /path/to/application

复制代码

沙箱应用程序

使用Firejail或其他沙箱工具隔离应用程序：

# 安装Firejail
sudo apt install firejail -y
# 在沙箱中运行应用程序
firejail firefox

复制代码

安全安装和配置Web服务器

以Nginx为例：

# 安装Nginx
sudo apt install nginx -y
# 配置Nginx安全设置
sudo nano /etc/nginx/nginx.conf

复制代码

添加或修改以下安全设置：

# 隐藏Nginx版本
server_tokens off;
# 禁用不必要的HTTP方法
if ($request_method !~ ^(GET|HEAD|POST)$ ) {
return 405;
}
# 添加安全头
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "no-referrer-when-downgrade" always;
add_header Content-Security-Policy "default-src 'self' http: https: data: blob: 'unsafe-inline'" always;

复制代码

重启Nginx：

sudo systemctl restart nginx

复制代码

安全安装和配置数据库服务器

以MariaDB/MySQL为例：

# 安装MariaDB
sudo apt install mariadb-server -y
# 运行安全安装脚本
sudo mysql_secure_installation

复制代码

编辑MariaDB配置文件：

sudo nano /etc/mysql/mariadb.conf.d/50-server.cnf

复制代码

添加或修改以下安全设置：

[mysqld]
# 禁用远程root登录
skip-networking
bind-address = 127.0.0.1
# 禁用符号链接以防止安全风险
symbolic-links=0
# 禁用加载本地文件
local-infile=0
# 限制最大连接数
max_connections = 100
# 设置默认字符集
character-set-server = utf8mb4
collation-server = utf8mb4_unicode_ci
# 启用日志记录
general_log_file = /var/log/mysql/mysql.log
general_log = 1

复制代码

重启MariaDB：

sudo systemctl restart mariadb

复制代码

内核参数调整

调整内核参数可以提高系统的安全性和抗攻击能力。

内核模块管理

禁用不必要的内核模块：

# 列出已加载的模块
lsmod
# 禁用特定模块（例如蓝牙模块）
echo "blacklist bluetooth" | sudo tee /etc/modprobe.d/blacklist-bluetooth.conf
echo "blacklist btusb" | sudo tee -a /etc/modprobe.d/blacklist-bluetooth.conf

复制代码

更新initramfs：

sudo update-initramfs -u

复制代码

启用内核安全模块

启用内核安全模块，如Yama：

# 创建Yama配置文件
echo "kernel.yama.ptrace_scope = 1" | sudo tee /etc/sysctl.d/10-ptrace.conf
# 应用更改
sudo sysctl -p /etc/sysctl.d/10-ptrace.conf

复制代码

配置内核级保护机制

启用内核级保护机制：

sudo nano /etc/sysctl.d/99-security.conf

复制代码

添加以下配置：

# 启用ASLR（地址空间布局随机化）
kernel.randomize_va_space = 2
# 禁用核心转储
fs.suid_dumpable = 0
kernel.core_pattern = |/bin/false
# 启用硬链接保护
fs.protected_hardlinks = 1
# 启用软链接保护
fs.protected_symlinks = 1
# 限制共享内存
kernel.shmmax = 4294967296
kernel.shmall = 4194304
kernel.shmmni = 32768
# 限制进程数量
kernel.threads-max = 32768
kernel.pid_max = 65536
# 限制文件描述符
fs.file-max = 100000
# 限制内存使用
vm.overcommit_memory = 2
vm.overcommit_ratio = 50

复制代码

应用更改：

sudo sysctl -p /etc/sysctl.d/99-security.conf

复制代码

使用GRUB安全配置

保护GRUB引导加载程序：

# 设置GRUB密码
sudo grub-mkpasswd-pbkdf2
# 编辑GRUB配置
sudo nano /etc/grub.d/40_custom

复制代码

添加以下内容（使用上一步生成的密码哈希）：

set superusers="admin"
password_pbkdf2 admin grub.pbkdf2.sha512.10000.XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX.XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

复制代码

更新GRUB：

sudo update-grub

复制代码

安全审计与监控

持续监控和审计系统活动可以及时发现潜在的安全问题。

配置系统日志

增强系统日志记录：

# 安装rsyslog（如果未安装）
sudo apt install rsyslog -y
# 配置rsyslog
sudo nano /etc/rsyslog.conf

复制代码

确保以下行未被注释：

$ModLoad imudp
$UDPServerRun 514
$ModLoad imtcp
$InputTCPServerRun 514

复制代码

添加自定义日志规则：

# 记录所有sudo命令
auth,authpriv.* /var/log/sudo.log
# 记录所有登录尝试
auth,authpriv.* /var/log/auth.log
# 记录内核消息
kern.* /var/log/kern.log

复制代码

重启rsyslog：

sudo systemctl restart rsyslog

复制代码

使用Logwatch分析日志

安装和配置Logwatch：

# 安装Logwatch
sudo apt install logwatch -y
# 配置Logwatch
sudo nano /usr/share/logwatch/default.conf/logwatch.conf

复制代码

修改以下设置：

Output = mail
Format = html
MailTo = your_email@example.com
Detail = High

复制代码

配置入侵检测系统

安装和配置OSSEC（开源主机入侵检测系统）：

# 添加OSSEC仓库
echo "deb http://ossec.github.io/apt/ parrot main" | sudo tee /etc/apt/sources.list.d/ossec.list
# 添加仓库密钥
wget -qO - https://ossec.github.io/apt/OSSEC-ARCHIVE-KEY.asc | sudo apt-key add -
# 更新软件包列表
sudo apt update
# 安装OSSEC服务器
sudo apt install ossec-hids-server -y

复制代码

配置OSSEC：

sudo nano /var/ossec/etc/ossec.conf

复制代码

根据需要修改配置，例如设置电子邮件通知：

<global>
<email_notification>yes</email_notification>
<email_to>your_email@example.com</email_to>
<email_from>ossec@yourdomain.com</email_from>
<smtp_server>smtp.yourdomain.com</smtp_server>
<email_from>ossec@yourdomain.com</email_from>
</global>

复制代码

启动OSSEC：

sudo /var/ossec/bin/ossec-control start

复制代码

使用Fail2Ban防止暴力破解

安装和配置Fail2Ban：

# 安装Fail2Ban
sudo apt install fail2ban -y
# 创建本地配置文件
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
# 编辑配置
sudo nano /etc/fail2ban/jail.local

复制代码

修改SSH监狱设置：

[sshd]
enabled = true
port = 2222
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

复制代码

启动Fail2Ban：

sudo systemctl start fail2ban
sudo systemctl enable fail2ban

复制代码

检查Fail2Ban状态：

sudo fail2ban-client status
sudo fail2ban-client status sshd

复制代码

使用AIDE进行文件完整性检查

如前所述，安装和配置AIDE：

# 安装AIDE
sudo apt install aide -y
# 初始化AIDE数据库
sudo aideinit
# 移动数据库到安全位置
sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
# 执行系统检查
sudo aide --check

复制代码

配置定期检查：

sudo nano /etc/crontab

复制代码

添加以下行以每天执行检查：

0 3 * * * root /usr/bin/aide --check | /usr/bin/mail -s "AIDE report" your_email@example.com

复制代码

应急响应计划

即使采取了所有预防措施，安全事件仍可能发生。制定应急响应计划可以帮助您在安全事件发生时迅速有效地应对。

创建应急响应计划文档

创建详细的应急响应计划文档，包括：

1. 事件分类和严重性级别
2. 应急响应团队成员及其职责
3. 事件报告和升级流程
4. 事件调查和分析步骤
5. 遏制、根除和恢复策略
6. 事后总结和改进措施

准备应急响应工具包

准备一个应急响应工具包，包括：

1. 系统备份和恢复工具
2. 日志分析工具
3. 恶意软件扫描和删除工具
4. 网络分析工具
5. 取证工具

# 安装一些有用的应急响应工具
sudo apt install autopsy sleuthkit guymager dcfldd volatility-tools -y

复制代码

定期备份系统数据

配置定期备份系统数据：

# 安装rsnapshot（基于rsync的备份工具）
sudo apt install rsnapshot -y
# 配置rsnapshot
sudo nano /etc/rsnapshot.conf

复制代码

修改以下设置：

# 设置备份根目录
snapshot_root /backup/
# 设置备份间隔
retain hourly 6
retain daily 7
retain weekly 4
retain monthly 3
# 设置要备份的目录
backup /etc/ localhost/
backup /home/ localhost/
backup /var/log/ localhost/

复制代码

测试配置：

sudo rsnapshot configtest

复制代码

执行手动备份：

sudo rsnapshot hourly

复制代码

配置自动备份：

sudo nano /etc/crontab

复制代码

添加以下行：

0 */4 * * * root /usr/bin/rsnapshot hourly
30 3 * * * root /usr/bin/rsnapshot daily
0 3 * * 1 root /usr/bin/rsnapshot weekly
30 2 1 * * root /usr/bin/rsnapshot monthly

复制代码

创建系统恢复盘

创建系统恢复盘，以便在系统严重受损时能够恢复：

# 安装Clonezilla（磁盘克隆和恢复工具）
sudo apt install clonezilla -y
# 创建可启动的Clonezilla USB设备（需要另一个USB设备）
sudo clonezilla live-usb-maker

复制代码

定期进行安全演练

定期进行安全演练，测试应急响应计划的有效性：

1. 模拟不同类型的安全事件
2. 测试备份和恢复流程
3. 评估团队成员的响应能力
4. 识别并解决计划中的不足

总结与最佳实践

Parrot OS系统安全加固是一个持续的过程，需要定期评估和更新。以下是一些关键的最佳实践：

1. 保持系统更新：定期更新系统和应用程序，及时应用安全补丁。
2. 最小权限原则：为用户和应用程序分配最小必要权限。
3. 深度防御：实施多层次安全措施，不要依赖单一安全控制。
4. 定期备份：定期备份重要数据，并测试恢复流程。
5. 持续监控：实施系统监控和日志分析，及时发现异常活动。
6. 安全意识：保持对最新安全威胁和防护措施的了解。
7. 定期审计：定期进行安全审计和漏洞评估。
8. 应急响应：制定并测试应急响应计划。

保持系统更新：定期更新系统和应用程序，及时应用安全补丁。

最小权限原则：为用户和应用程序分配最小必要权限。

深度防御：实施多层次安全措施，不要依赖单一安全控制。

定期备份：定期备份重要数据，并测试恢复流程。

持续监控：实施系统监控和日志分析，及时发现异常活动。

安全意识：保持对最新安全威胁和防护措施的了解。

定期审计：定期进行安全审计和漏洞评估。

应急响应：制定并测试应急响应计划。

通过遵循这些技巧和最佳实践，您可以显著提高Parrot OS系统的安全性，有效抵御各类网络威胁，保护您的数据和隐私安全。记住，安全是一个持续的过程，需要不断适应和改进以应对不断变化的威胁环境。

	通知：关于部分勋章领取条件及购买价格调整的通知	05-18 21:22
	通知：本站资源由网友上传分享，如有违规等问题请到版务模块进行投诉，资源失效请在帖子内回复要求补档，会尽快处理！	10-23 09:31

活动公告

Parrot OS系统安全加固技巧大全让你的系统抵御各类网络威胁

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

浏览过的版块

塔罗

立华奏

站长推荐 /1

友情链接

Tencent QQ

活动公告

Parrot OS系统安全加固技巧大全 让你的系统抵御各类网络威胁

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

浏览过的版块

塔罗

立华奏

站长推荐 /1

友情链接

Tencent QQ

Parrot OS系统安全加固技巧大全让你的系统抵御各类网络威胁