CentOS Stream安全设置与系统加固全攻略 提升服务器安全性的必备指南

威震华夏关云长

CentOS Stream安全设置与系统加固全攻略 提升服务器安全性的必备指南

引言

在当今数字化时代，服务器安全性已成为企业和个人用户不可忽视的重要议题。CentOS Stream作为RHEL（Red Hat Enterprise Linux）的上游开发平台，提供了稳定且先进的操作系统环境，但默认安装并不能满足高安全性需求。本文将详细介绍CentOS Stream的安全设置与系统加固方法，帮助您构建一个更加安全可靠的服务器环境。

一、CentOS Stream简介及其安全特性

CentOS Stream是CentOS项目的一个新方向，它位于Fedora Linux和RHEL之间的中间位置。作为一个滚动发布的Linux发行版，CentOS Stream为用户提供了接近RHEL的功能，同时保持了对最新软件包的访问。

CentOS Stream的一些安全特性包括：

• SELinux（Security-Enhanced Linux）集成
• 内核级安全模块
• 定期安全更新
• 强化的访问控制机制

尽管CentOS Stream具备这些安全特性，但仍需进行适当的配置和加固以确保系统安全。

二、系统初始化安全设置

在安装CentOS Stream时，选择最小化安装可以减少不必要的软件包，从而降低潜在的攻击面。

2. # 在安装过程中选择"Minimal Install"
3. # 安装完成后检查已安装的软件包
4. dnf list installed

复制代码

安装完成后，立即更新系统到最新版本以修复已知的安全漏洞。

2. # 更新系统
3. dnf update -y
5. # 如果可用，安装安全更新
6. dnf update --security -y
8. # 设置自动更新
9. dnf install -y dnf-automatic
10. systemctl enable --now dnf-automatic.timer

复制代码

设置一个描述性的主机名有助于系统管理和识别。

2. # 查看当前主机名
3. hostnamectl
5. # 设置新的主机名
6. hostnamectl set-hostname server.example.com
8. # 验证设置
9. hostnamectl status

复制代码

正确设置时区有助于日志记录和时间同步。

2. # 列出所有可用时区
3. timedatectl list-timezones
5. # 设置时区（例如：Asia/Shanghai）
6. timedatectl set-timezone Asia/Shanghai
8. # 验证设置
9. timedatectl status

复制代码

确保系统时间准确对于日志分析和安全审计至关重要。

2. # 安装chrony（NTP客户端）
3. dnf install -y chrony
5. # 启动并启用chrony服务
6. systemctl enable --now chronyd
8. # 验证时间同步状态
9. chronyc tracking

复制代码

三、用户和权限管理

直接使用root账户远程登录存在安全风险，建议使用普通用户登录后通过sudo提升权限。

2. # 创建新用户
3. useradd -m adminuser
4. passwd adminuser
6. # 将用户添加到wheel组（具有sudo权限）
7. usermod -aG wheel adminuser
9. # 编辑SSH配置文件禁用root远程登录
10. vi /etc/ssh/sshd_config

复制代码

找到PermitRootLogin参数，将其设置为no：

2. PermitRootLogin no

复制代码

重启SSH服务：

2. systemctl restart sshd

复制代码

设置强密码策略可以防止暴力破解攻击。

2. # 安装libpwquality（密码质量检查库）
3. dnf install -y libpwquality
5. # 编辑密码质量配置文件
6. vi /etc/security/pwquality.conf

复制代码

设置以下参数：

2. minlen = 12
3. minclass = 3
4. dcredit = -1
5. ucredit = -1
6. lcredit = -1
7. ocredit = -1
8. maxrepeat = 3

复制代码

这些设置要求密码至少12个字符，包含至少3种字符类型（大写、小写、数字和特殊字符），每种类型至少一个，最多连续重复3个字符。

配置账户锁定策略可以防止暴力破解攻击。

2. # 编辑系统认证配置文件
3. vi /etc/pam.d/system-auth

复制代码

在auth部分添加以下行：

2. auth        required      pam_tally2.so deny=5 unlock_time=900 onerr=fail

复制代码

这将在5次失败尝试后锁定账户15分钟。

限制只有wheel组的用户才能使用su命令切换到root账户。

2. # 编辑PAM配置文件
3. vi /etc/pam.d/su

复制代码

取消以下行的注释：

2. auth           required        pam_wheel.so use_uid

复制代码

定期审查系统中的用户账户，移除不必要的账户。

2. # 列出所有用户
3. awk -F: '{print $1}' /etc/passwd
5. # 查看最近登录的用户
6. lastlog
8. # 查找具有UID 0（root权限）的账户
9. awk -F: '($3 == "0") {print}' /etc/passwd

复制代码

四、网络安全配置

使用firewalld管理网络流量是CentOS Stream的推荐做法。

2. # 安装firewalld
3. dnf install -y firewalld
5. # 启动并启用firewalld
6. systemctl enable --now firewalld
8. # 查看默认区域
9. firewall-cmd --get-default-zone
11. # 查看当前活动的区域和规则
12. firewall-cmd --list-all
14. # 开放必要的端口（例如：SSH、HTTP、HTTPS）
15. firewall-cmd --permanent --add-service=ssh
16. firewall-cmd --permanent --add-service=http
17. firewall-cmd --permanent --add-service=https
19. # 重新加载防火墙规则
20. firewall-cmd --reload

复制代码

SSH是远程管理服务器的常用工具，但也是攻击者的主要目标之一。

2. # 备份SSH配置文件
3. cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
5. # 编辑SSH配置文件
6. vi /etc/ssh/sshd_config

复制代码

修改以下参数：

2. # 更改SSH默认端口（例如：2222）
3. Port 2222
5. # 禁用协议1
6. Protocol 2
8. # 禁用空密码
9. PermitEmptyPasswords no
11. # 设置最大认证尝试次数
12. MaxAuthTries 3
14. # 禁用X11转发
15. X11Forwarding no
17. # 仅允许特定用户登录
18. AllowUsers adminuser user1 user2
20. # 设置登录超时时间（秒）
21. LoginGraceTime 60
23. # 使用SSH密钥认证
24. PubkeyAuthentication yes
25. PasswordAuthentication no

复制代码

重启SSH服务：

2. systemctl restart sshd

复制代码

通过调整内核参数增强网络安全性。

2. # 编辑sysctl配置文件
3. vi /etc/sysctl.d/99-security.conf

复制代码

添加以下参数：

2. # 启用IP欺骗保护
3. net.ipv4.conf.all.rp_filter = 1
4. net.ipv4.conf.default.rp_filter = 1
6. # 忽略ICMP重定向请求
7. net.ipv4.conf.all.accept_redirects = 0
8. net.ipv4.conf.default.accept_redirects = 0
9. net.ipv4.conf.all.secure_redirects = 0
10. net.ipv4.conf.default.secure_redirects = 0
12. # 忽略发送ICMP重定向
13. net.ipv4.conf.all.send_redirects = 0
14. net.ipv4.conf.default.send_redirects = 0
16. # 不接受源路由包
17. net.ipv4.conf.all.accept_source_route = 0
18. net.ipv4.conf.default.accept_source_route = 0
20. # 启用TCP SYN Cookie保护
21. net.ipv4.tcp_syncookies = 1
23. # 防止SYN洪水攻击
24. net.ipv4.tcp_max_syn_backlog = 2048
25. net.ipv4.tcp_synack_retries = 2
26. net.ipv4.tcp_syn_retries = 5
28. # 记录可疑数据包
29. net.ipv4.conf.all.log_martians = 1
30. net.ipv4.conf.default.log_martians = 1
32. # 忽略广播ping
33. net.ipv4.icmp_echo_ignore_broadcasts = 1
35. # 忽略所有ping
36. net.ipv4.icmp_echo_ignore_all = 1
38. # 启用IP转发（如果作为路由器）
39. # net.ipv4.ip_forward = 1

复制代码

应用设置：

2. sysctl -p /etc/sysctl.d/99-security.conf

复制代码

限制网络接口的广播和组播通信。

2. # 编辑网络接口配置文件
3. vi /etc/sysconfig/network-scripts/ifcfg-eth0

复制代码

添加以下参数：

2. # 禁用网络接口的广播和组播
3. BROADCAST=no
4. MULTICAST=no

复制代码

重启网络服务：

2. systemctl restart network

复制代码

五、服务安全加固

禁用不必要的服务可以减少攻击面。

2. # 列出所有启用的服务
3. systemctl list-unit-files | grep enabled
5. # 禁用不必要的服务（示例）
6. systemctl disable --now avahi-daemon
7. systemctl disable --now cups
8. systemctl disable --now postfix
9. systemctl disable --now telnet.socket
10. systemctl disable --now rsh.socket
11. systemctl disable --now ypbind
12. systemctl disable --now nfs-server
13. systemctl disable --now rpcbind
14. systemctl disable --now smb
15. systemctl disable --now vsftpd

复制代码

SELinux（Security-Enhanced Linux）是Linux内核的一个安全模块，提供了强制访问控制（MAC）机制。

2. # 检查SELinux状态
3. sestatus
5. # 设置SELinux为强制模式
6. setenforce 1
8. # 编辑SELinux配置文件
9. vi /etc/selinux/config

复制代码

确保以下设置：

2. SELINUX=enforcing
3. SELINUXTYPE=targeted

复制代码

对于Apache：

2. # 安装Apache
3. dnf install -y httpd
5. # 编辑Apache配置文件
6. vi /etc/httpd/conf/httpd.conf

复制代码

修改以下参数：

2. # 隐藏Apache版本信息
3. ServerTokens Prod
4. ServerSignature Off
6. # 禁用目录列表
7. Options -Indexes
9. # 限制HTTP请求方法
10. <LimitExcept GET POST HEAD>
11.     Require all denied
12. </LimitExcept>

复制代码

对于Nginx：

2. # 安装Nginx
3. dnf install -y nginx
5. # 编辑Nginx配置文件
6. vi /etc/nginx/nginx.conf

复制代码

修改以下参数：

2. # 隐藏Nginx版本信息
3. server_tokens off;
5. # 禁用目录列表
6. autoindex off;
8. # 添加安全相关的HTTP头
9. add_header X-Frame-Options "SAMEORIGIN";
10. add_header X-Content-Type-Options "nosniff";
11. add_header X-XSS-Protection "1; mode=block";
12. add_header Referrer-Policy "strict-origin-when-cross-origin";
13. add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src 'self' data:; style-src 'self' 'unsafe-inline';";

复制代码

2. # 安装MariaDB
3. dnf install -y mariadb-server
5. # 启动并启用MariaDB
6. systemctl enable --now mariadb
8. # 运行安全安装脚本
9. mysql_secure_installation

复制代码

该脚本将引导您完成以下安全设置：

• 设置root密码
• 移除匿名用户
• 禁止root远程登录
• 移除测试数据库
• 重新加载权限表

编辑MariaDB配置文件：

2. vi /etc/my.cnf.d/mariadb-server.cnf

复制代码

在[mariadb]部分添加以下参数：

2. # 禁用远程访问
3. skip-networking
4. bind-address = 127.0.0.1
6. # 增强安全性
7. local-infile=0
8. symbolic-links=0

复制代码

重启MariaDB服务：

2. systemctl restart mariadb

复制代码

2. # 安装PHP
3. dnf install -y php php-fpm
5. # 编辑PHP配置文件
6. vi /etc/php.ini

复制代码

修改以下参数：

2. # 隐藏PHP版本信息
3. expose_php = Off
5. # 禁用危险函数
6. disable_functions = exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source
8. # 增强会话安全性
9. session.cookie_httponly = 1
10. session.use_only_cookies = 1
11. session.cookie_secure = 1
12. session.cookie_samesite = Strict
14. # 限制文件上传
15. file_uploads = On
16. upload_tmp_dir = /var/www/php_tmp
17. upload_max_filesize = 2M
18. max_file_uploads = 20
20. # 禁用全局变量
21. register_globals = Off

复制代码

创建临时上传目录并设置权限：

2. mkdir -p /var/www/php_tmp
3. chown -R apache:apache /var/www/php_tmp
4. chmod -R 750 /var/www/php_tmp

复制代码

重启PHP-FPM服务：

2. systemctl restart php-fpm

复制代码

六、文件系统安全

确保关键文件和目录具有适当的权限。

2. # 设置关键目录权限
3. chmod 700 /root
4. chmod 750 /home/*
5. chmod 644 /etc/passwd
6. chmod 600 /etc/shadow
7. chmod 644 /etc/group
8. chmod 600 /etc/gshadow
9. chmod 644 /etc/sudoers
10. chmod 600 /boot/grub/grub.cfg
12. # 查找全局可写文件
13. find / -type f -perm -o+w -exec ls -l {} \;
15. # 查找没有所有者的文件
16. find / -nouser -o -nogroup

复制代码

编辑/etc/fstab文件，为关键分区添加安全挂载选项。

2. # 备份fstab文件
3. cp /etc/fstab /etc/fstab.bak
5. # 编辑fstab文件
6. vi /etc/fstab

复制代码

为以下分区添加挂载选项：

2. # /tmp分区
3. /dev/sdaX   /tmp    ext4    defaults,nodev,nosuid,noexec        0 0
5. # /home分区
6. /dev/sdaX   /home   ext4    defaults,nodev,nosuid               0 0
8. # /var分区
9. /dev/sdaX   /var    ext4    defaults,nodev,nosuid               0 0
11. # /boot分区
12. /dev/sdaX   /boot   ext4    defaults,nodev,nosuid,noexec        0 0

复制代码

重新挂载分区：

2. mount -o remount /tmp
3. mount -o remount /home
4. mount -o remount /var
5. mount -o remount /boot

复制代码

使用chattr命令设置关键文件为不可变，防止未经授权的修改。

2. # 设置关键文件为不可变
3. chattr +i /etc/passwd
4. chattr +i /etc/shadow
5. chattr +i /etc/group
6. chattr +i /etc/gshadow
7. chattr +i /etc/sudoers
8. chattr +i /etc/ssh/sshd_config
10. # 查看文件属性
11. lsattr /etc/passwd

复制代码

如需修改这些文件，需要先移除不可变属性：

2. chattr -i /etc/passwd

复制代码

限制用户和组的磁盘使用量，防止磁盘空间耗尽攻击。

2. # 安装配额工具
3. dnf install -y quota
5. # 编辑/etc/fstab，为需要配额的分区添加usrquota和grpquota选项
6. vi /etc/fstab

复制代码

例如：

2. /dev/sdaX   /home   ext4    defaults,usrquota,grpquota   0 0

复制代码

重新挂载分区并创建配额数据库：

2. mount -o remount /home
3. quotacheck -cug /home
4. quotaon -vug /home

复制代码

为用户设置配额：

2. # 为用户adminuser设置软限制10GB，硬限制12GB
3. setquota -u adminuser 10G 12G 0 0 /home
5. # 查看用户配额
6. quota -u adminuser

复制代码

七、系统监控与日志审计

配置rsyslog服务以集中管理日志。

2. # 安装rsyslog
3. dnf install -y rsyslog
5. # 启动并启用rsyslog
6. systemctl enable --now rsyslog
8. # 编辑rsyslog配置文件
9. vi /etc/rsyslog.conf

复制代码

取消以下行的注释以接收远程日志：

2. # Provides UDP syslog reception
3. module(load="imudp")
4. input(type="imudp" port="514")
6. # Provides TCP syslog reception
7. module(load="imtcp")
8. input(type="imtcp" port="514")

复制代码

添加自定义日志规则：

2. # 记录所有认证相关日志
3. authpriv.*                                              /var/log/secure
5. # 记录所有cron相关日志
6. cron.*                                                  /var/log/cron
8. # 记录所有邮件相关日志
9. mail.*                                                  -/var/log/maillog
11. # 记录所有内核消息
12. kern.*                                                  /var/log/kern.log
14. # 记录所有认证失败消息
15. authpriv.*                                              /var/log/auth.log

复制代码

重启rsyslog服务：

2. systemctl restart rsyslog

复制代码

配置logrotate以管理日志文件大小和保留期。

2. # 编辑logrotate配置文件
3. vi /etc/logrotate.conf

复制代码

修改以下参数：

2. # 设置日志轮转周期
3. weekly
5. # 设置保留的日志文件数量
6. rotate 4
8. # 压缩旧日志
9. compress
11. # 延迟压缩
12. delaycompress
14. # 如果日志文件不存在，不报错
15. missingok
17. # 如果日志文件为空，不轮转
18. notifempty
20. # 创建新的日志文件
21. create 0640 root root
23. # 包含自定义配置
24. include /etc/logrotate.d

复制代码

为特定服务创建自定义轮转配置：

2. # 为Apache创建自定义轮转配置
3. vi /etc/logrotate.d/httpd

复制代码

添加以下内容：

2. /var/log/httpd/*log {
3.     daily
4.     missingok
5.     rotate 30
6.     compress
7.     delaycompress
8.     notifempty
9.     sharedscripts
10.     postrotate
11.         /bin/systemctl reload httpd.service > /dev/null 2>/dev/null || true
12.     endscript
13. }

复制代码

使用auditd服务监控系统活动。

2. # 安装auditd
3. dnf install -y audit
5. # 启动并启用auditd
6. systemctl enable --now auditd
8. # 编辑审计规则
9. vi /etc/audit/rules.d/audit.rules

复制代码

添加以下规则：

2. # 监控文件访问
3. -w /etc/passwd -p wa -k identity
4. -w /etc/shadow -p wa -k identity
5. -w /etc/group -p wa -k identity
6. -w /etc/gshadow -p wa -k identity
7. -w /etc/sudoers -p wa -k identity
8. -w /etc/ssh/sshd_config -p wa -k sshd_config
10. # 监控系统调用
11. -a always,exit -F arch=b64 -S chown -F auid>=1000 -F auid!=-1 -k perm_mod
12. -a always,exit -F arch=b64 -S fchmod -F auid>=1000 -F auid!=-1 -k perm_mod
13. -a always,exit -F arch=b64 -S fchmodat -F auid>=1000 -F auid!=-1 -k perm_mod
14. -a always,exit -F arch=b64 -S setreuid -F auid>=1000 -F auid!=-1 -k setuid
15. -a always,exit -F arch=b64 -S setuid -F auid>=1000 -F auid!=-1 -k setuid
16. -a always,exit -F arch=b64 -S seteuid -F auid>=1000 -F auid!=-1 -k setuid
17. -a always,exit -F arch=b64 -S setresuid -F auid>=1000 -F auid!=-1 -k setuid
18. -a always,exit -F arch=b64 -S setregid -F auid>=1000 -F auid!=-1 -k setgid
19. -a always,exit -F arch=b64 -S setgid -F auid>=1000 -F auid!=-1 -k setgid
20. -a always,exit -F arch=b64 -S setegid -F auid>=1000 -F auid!=-1 -k setgid
21. -a always,exit -F arch=b64 -S setresgid -F auid>=1000 -F auid!=-1 -k setgid
23. # 监控登录活动
24. -w /var/log/lastlog -p wa -k logins
25. -w /var/log/faillog -p wa -k logins
26. -w /var/log/tallylog -p wa -k logins
28. # 监控网络活动
29. -a always,exit -F arch=b64 -S bind -F auid>=1000 -F auid!=-1 -k network
30. -a always,exit -F arch=b64 -S connect -F auid>=1000 -F auid!=-1 -k network
32. # 监控权限提升
33. -a always,exit -F arch=b64 -S execve -C uid!=euid -F euid=0 -k priv_esc
34. -a always,exit -F arch=b64 -S execve -C gid!=egid -F egid=0 -k priv_esc

复制代码

重新加载审计规则：

2. augenrules --load

复制代码

安装和配置系统监控工具，如top、htop、vmstat、iostat等。

2. # 安装监控工具
3. dnf install -y htop sysstat vmstat iotop
5. # 启动sysstat服务
6. systemctl enable --now sysstat
8. # 使用vmstat监控系统资源
9. vmstat 1 10
11. # 使用iostat监控磁盘I/O
12. iostat -xz 1 10
14. # 使用iotop监控进程I/O
15. iotop -o

复制代码

八、安全更新与补丁管理

配置系统自动安装安全更新。

2. # 安装dnf-automatic
3. dnf install -y dnf-automatic
5. # 编辑dnf-automatic配置文件
6. vi /etc/dnf/automatic.conf

复制代码

修改以下参数：

2. [commands]
3. # 自动下载并安装更新
4. apply_updates = yes
6. [emitters]
7. # 启用系统日志
8. system_name = host.domain
9. emit_via = syslog
11. [email]
12. # 配置邮件通知（可选）
13. email_from = root@domain.com
14. email_to = admin@domain.com
15. email_host = localhost
17. [base]
18. # 仅安装安全更新
19. upgrade_type = security
20. random_sleep = 300

复制代码

启动并启用dnf-automatic服务：

2. systemctl enable --now dnf-automatic.timer

复制代码

配置YUM/DNF插件以增强安全性。

2. # 安装安全插件
3. dnf install -y dnf-plugin-security
5. # 检查可用的安全更新
6. dnf updateinfo list security
8. # 查看安全公告详情
9. dnf updateinfo info

复制代码

定期使用安全扫描工具检查系统漏洞。

2. # 安装OpenSCAP
3. dnf install -y openscap-scanner scap-security-guide
5. # 运行系统扫描
6. oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_stig --results-arf arf.xml /usr/share/xml/scap/ssg/content/ssg-centos8-ds.xml
8. # 生成HTML报告
9. oscap xccdf generate report arf.xml > report.html

复制代码

九、入侵检测与防御

AIDE是一个文件完整性检查工具，可以检测文件系统的未授权更改。

2. # 安装AIDE
3. dnf install -y aide
5. # 初始化AIDE数据库
6. aide --init
8. # 重命名数据库文件
9. mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
11. # 配置AIDE
12. vi /etc/aide.conf

复制代码

根据需要修改AIDE配置，例如添加要监控的目录：

2. # 监控/etc目录
3. /etc   p+i+n+u+g+s+b+m+c+md5+sha256
5. # 监控/boot目录
6. /boot  p+i+n+u+g+s+b+m+c+md5+sha256
8. # 监控/bin目录
9. /bin   p+i+n+u+g+s+b+m+c+md5+sha256
11. # 监控/sbin目录
12. /sbin  p+i+n+u+g+s+b+m+c+md5+sha256
14. # 监控/lib目录
15. /lib   p+i+n+u+g+s+b+m+c+md5+sha256
17. # 监控/usr目录
18. /usr   p+i+n+u+g+s+b+m+c+md5+sha256
20. # 监控/var目录
21. /var   p+i+n+u+g+s+b+m+c+md5+sha256

复制代码

运行AIDE检查：

2. aide --check

复制代码

创建定期检查的cron任务：

2. # 编辑crontab
3. crontab -e

复制代码

添加以下内容：

2. # 每天凌晨3点运行AIDE检查
3. 0 3 * * * /usr/sbin/aide --check | mail -s "AIDE Report" admin@domain.com

复制代码

Fail2ban是一个入侵防御软件，可以防止暴力破解攻击。

2. # 安装EPEL仓库
3. dnf install -y epel-release
5. # 安装Fail2ban
6. dnf install -y fail2ban
8. # 启动并启用Fail2ban
9. systemctl enable --now fail2ban
11. # 创建Fail2ban配置文件
12. cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
14. # 编辑Fail2ban配置
15. vi /etc/fail2ban/jail.local

复制代码

修改以下参数：

2. [DEFAULT]
3. # 设置默认禁止时间（秒）
4. bantime = 1h
6. # 设置查找时间窗口
7. findtime = 10m
9. # 设置最大尝试次数
10. maxretry = 3
12. # 设置发送邮件
13. destemail = admin@domain.com
14. sender = root@domain.com
15. mta = sendmail
17. # 启用SSH保护
18. [sshd]
19. enabled = true
20. port = 2222
21. filter = sshd
22. logpath = /var/log/secure
23. maxretry = 3
24. bantime = 1d

复制代码

重启Fail2ban服务：

2. systemctl restart fail2ban

复制代码

ClamAV是一个开源的防病毒引擎，可以检测恶意软件。

2. # 安装EPEL仓库
3. dnf install -y epel-release
5. # 安装ClamAV
6. dnf install -y clamav clamav-update
8. # 更新病毒数据库
9. freshclam
11. # 配置自动更新
12. vi /etc/sysconfig/freshclam

复制代码

注释掉以下行：

2. #Example

复制代码

创建定时任务自动更新病毒数据库：

2. # 编辑crontab
3. crontab -e

复制代码

添加以下内容：

2. # 每3小时更新一次病毒数据库
3. 0 */3 * * * /usr/bin/freshclam --quiet

复制代码

创建定时任务定期扫描系统：

2. # 编辑crontab
3. crontab -e

复制代码

添加以下内容：

2. # 每天凌晨2点扫描系统
3. 0 2 * * * /usr/bin/clamscan -r / --exclude-dir=/sys --exclude-dir=/proc --exclude-dir=/dev | mail -s "ClamAV Scan Report" admin@domain.com

复制代码

十、安全最佳实践总结

定期进行系统安全审计，检查系统配置和日志。

2. # 检查登录失败
3. grep "Failed password" /var/log/secure
5. # 检查成功登录
6. grep "Accepted password" /var/log/secure
8. # 检查sudo使用
9. grep "sudo" /var/log/secure
11. # 检查用户账户
12. awk -F: '($3 == "0") {print}' /etc/passwd
14. # 检查SUID/SGID文件
15. find / -type f \( -perm -4000 -o -perm -2000 \) -exec ls -l {} \;
17. # 检查无主文件
18. find / -nouser -o -nogroup

复制代码

制定并实施定期备份策略，确保数据安全。

2. # 安装rsync
3. dnf install -y rsync
5. # 创建备份脚本
6. vi /usr/local/bin/backup.sh

复制代码

添加以下内容：

2. #!/bin/bash
4. # 设置备份目录
5. BACKUP_DIR="/backup"
6. DATE=$(date +%Y%m%d)
8. # 创建备份目录
9. mkdir -p $BACKUP_DIR/$DATE
11. # 备份系统配置文件
12. rsync -avz --delete /etc $BACKUP_DIR/$DATE/
14. # 备份用户数据
15. rsync -avz --delete /home $BACKUP_DIR/$DATE/
17. # 备份网站数据
18. rsync -avz --delete /var/www $BACKUP_DIR/$DATE/
20. # 备份数据库
21. mysqldump --all-databases -u root -p'password' | gzip > $BACKUP_DIR/$DATE/mysql.sql.gz
23. # 清理旧备份（保留7天）
24. find $BACKUP_DIR -type d -mtime +7 -exec rm -rf {} \;

复制代码

设置脚本可执行权限：

2. chmod +x /usr/local/bin/backup.sh

复制代码

创建定时任务：

2. # 编辑crontab
3. crontab -e

复制代码

添加以下内容：

2. # 每天凌晨1点执行备份
3. 0 1 * * * /usr/local/bin/backup.sh

复制代码

制定并维护系统安全文档和政策，包括：

• 系统配置标准
• 用户管理政策
• 密码策略
• 事件响应计划
• 备份与恢复程序

定期为系统管理员和用户提供安全意识培训，包括：

• 识别钓鱼邮件
• 安全密码实践
• 社会工程防范
• 安全事件报告程序

结论

CentOS Stream的安全设置与系统加固是一个持续的过程，需要管理员不断学习和适应新的安全威胁。本文提供了一系列安全配置和加固措施，从系统初始化设置到日常监控和维护，涵盖了服务器安全的各个方面。通过实施这些措施，您可以显著提高CentOS Stream服务器的安全性，保护系统和数据免受未授权访问和恶意攻击。

请记住，安全是一个持续的过程，而不是一次性的任务。定期审查和更新您的安全配置，保持对最新安全威胁的了解，并采取适当的预防措施，是确保服务器长期安全运行的关键。