活动公告

系统通知
通知：关于部分勋章领取条件及购买价格调整的通知
05-18 21:22
系统通知
通知：本站资源由网友上传分享，如有违规等问题请到版务模块进行投诉，资源失效请在帖子内回复要求补档，会尽快处理！
10-23 09:31
>社区 > 科技 > 经验交流 >帖子
本版发帖返回

Rocky Linux安全配置指南 全面解析企业级Linux系统安全设置与防护策略 从基础配置到高级安全措施助您构建坚不可摧的服务器环境

这是个蓝孩子 当前离线 威震华夏关云长
SunJu_FaceMall

3万

主题

2860

科技点

3万

积分

白金月票

碾压王

积分
32872

塔罗立华奏
<font color=白金月票" /> 发表于 2025-9-17 17:10:05 | 显示全部楼层 |阅读模式

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要 登录 才可以下载或查看，没有账号？立即注册

x
引言

Rocky Linux作为CentOS的替代品，已经成为企业级服务器操作系统的热门选择。它由社区支持，旨在与RHEL（Red Hat Enterprise Linux）100%二进制兼容，为企业提供了一个稳定、可靠且安全的操作系统平台。在当今网络威胁日益增加的环境中，确保服务器的安全性对于保护企业数据、维护业务连续性以及满足合规要求至关重要。

本文将全面介绍Rocky Linux的安全配置，从基础设置到高级安全措施，帮助系统管理员和安全专家构建一个坚不可摧的服务器环境。我们将深入探讨各个层面的安全配置，并提供实用的命令示例和最佳实践，以确保您的Rocky Linux系统能够抵御各种潜在的安全威胁。

基础安全配置

系统更新与补丁管理

保持系统更新是维护服务器安全的首要步骤。Rocky Linux使用DNF（Dandified Yum）作为其包管理器，可以方便地安装安全更新和补丁。

首先，检查系统更新：
  2. sudo dnf check-update
复制代码

要应用所有可用的更新，运行：
  2. sudo dnf update -y
复制代码

为了自动化安全更新，可以安装并配置dnf-automatic：
  2. sudo dnf install -y dnf-automatic
复制代码

编辑配置文件/etc/dnf/automatic.conf：
  2. sudo vi /etc/dnf/automatic.conf
复制代码

设置以下参数：
  2. [commands]
  3. upgrade_type = security
  4. random_sleep = 300
  6. [emitters]
  7. emit_via = motd
  9. [email]
  10. email_from = root@yourdomain.com
  11. email_to = admin@yourdomain.com
  12. email_host = localhost
  14. [command]
  15. email_format = html
  17. [base]
  18. debuglevel = 1
复制代码

启用并启动dnf-automatic服务：
  2. sudo systemctl enable --now dnf-automatic.timer
复制代码

用户账户管理

强用户账户管理是系统安全的基础。首先，确保为管理员账户使用强密码，并限制直接root登录。

创建新用户并设置强密码：
  2. sudo adduser adminuser
  3. sudo passwd adminuser
复制代码

将新用户添加到wheel组，以授予sudo权限：
  2. sudo usermod -aG wheel adminuser
复制代码

禁用直接root登录，编辑/etc/ssh/sshd_config文件：
  2. sudo vi /etc/ssh/sshd_config
复制代码

找到并修改以下行：
  2. PermitRootLogin no
复制代码

重启SSH服务：
  2. sudo systemctl restart sshd
复制代码

服务管理

最小化系统中运行的服务可以减少潜在的攻击面。使用以下命令查看当前运行的服务：
  2. sudo systemctl list-units --type=service --state=running
复制代码

禁用不必要的服务，例如：
  2. sudo systemctl disable --now telnet.socket
  3. sudo systemctl disable --now rsh.socket
  4. sudo systemctl disable --now ypbind
  5. sudo systemctl disable --now tftp.socket
  6. sudo systemctl disable --now xinetd
复制代码

网络安全设置

防火墙配置

Rocky Linux使用firewalld作为默认的防火墙管理工具。首先确保firewalld已安装并运行：
  2. sudo dnf install -y firewalld
  3. sudo systemctl enable --now firewalld
复制代码

查看默认区域和活动区域：
  2. sudo firewall-cmd --get-default-zone
  3. sudo firewall-cmd --get-active-zones
复制代码

开放必要的端口，例如HTTP（80）和HTTPS（443）：
  2. sudo firewall-cmd --permanent --add-service=http
  3. sudo firewall-cmd --permanent --add-service=https
  4. sudo firewall-cmd --reload
复制代码

如果需要自定义端口，例如开放TCP端口8080：
  2. sudo firewall-cmd --permanent --add-port=8080/tcp
  3. sudo firewall-cmd --reload
复制代码

查看当前防火墙规则：
  2. sudo firewall-cmd --list-all
复制代码

网络参数调整

通过调整内核网络参数，可以增强系统的网络安全性。编辑/etc/sysctl.conf文件或创建新的配置文件/etc/sysctl.d/99-security.conf：
  2. sudo vi /etc/sysctl.d/99-security.conf
复制代码

添加以下参数：
  2. # 启用IP欺骗保护
  3. net.ipv4.conf.all.rp_filter = 1
  4. net.ipv4.conf.default.rp_filter = 1
  6. # 禁用ICMP重定向接受
  7. net.ipv4.conf.all.accept_redirects = 0
  8. net.ipv4.conf.default.accept_redirects = 0
  9. net.ipv4.conf.all.secure_redirects = 0
  10. net.ipv4.conf.default.secure_redirects = 0
  12. # 禁用IP源路由
  13. net.ipv4.conf.all.accept_source_route = 0
  14. net.ipv4.conf.default.accept_source_route = 0
  16. # 忽略ICMP广播请求
  17. net.ipv4.icmp_echo_ignore_broadcasts = 1
  19. # 启用TCP SYN Cookie保护
  20. net.ipv4.tcp_syncookies = 1
  22. # 禁用IPv6（如果不需要）
  23. net.ipv6.conf.all.disable_ipv6 = 1
  24. net.ipv6.conf.default.disable_ipv6 = 1
  26. # 增加文件描述符限制
  27. fs.file-max = 65536
  29. # 防止SYN洪水攻击
  30. net.ipv4.tcp_max_syn_backlog = 4096
  31. net.ipv4.tcp_synack_retries = 2
  32. net.ipv4.tcp_syn_retries = 5
  34. # 记录可疑数据包
  35. net.ipv4.conf.all.log_martians = 1
复制代码

应用这些设置：
  2. sudo sysctl -p /etc/sysctl.d/99-security.conf
复制代码

SSH安全加固

SSH是远程管理服务器的常用工具，但也是潜在的攻击目标。以下是一些加固SSH安全性的措施：

首先，备份SSH配置文件：
  2. sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
复制代码

编辑SSH配置文件：
  2. sudo vi /etc/ssh/sshd_config
复制代码

修改或添加以下配置：
  2. # 更改默认端口
  3. Port 2222
  5. # 禁用root登录
  6. PermitRootLogin no
  8. # 仅允许特定用户登录
  9. AllowUsers adminuser user1 user2
  11. # 禁用密码认证，使用密钥认证
  12. PasswordAuthentication no
  13. PubkeyAuthentication yes
  15. # 禁用空密码
  16. PermitEmptyPasswords no
  18. # 设置最大认证尝试次数
  19. MaxAuthTries 3
  21. # 设置登录超时时间
  22. LoginGraceTime 60
  24. # 禁用X11转发
  25. X11Forwarding no
  27. # 设置SSH协议版本为2
  28. Protocol 2
  30. # 禁用.rhosts文件认证
  31. IgnoreRhosts yes
  33. # 禁用基于主机的认证
  34. HostbasedAuthentication no
  36. # 设置日志级别
  37. LogLevel VERBOSE
复制代码

重启SSH服务：
  2. sudo systemctl restart sshd
复制代码

设置SSH密钥认证：

在客户端生成SSH密钥对：
  2. ssh-keygen -t rsa -b 4096
复制代码

将公钥复制到服务器：
  2. ssh-copy-id -i ~/.ssh/id_rsa.pub adminuser@server_ip -p 2222
复制代码

访问控制与权限管理

文件系统权限

正确的文件权限是系统安全的关键。首先，检查关键文件和目录的权限：
  2. sudo ls -l /etc/passwd /etc/shadow /etc/group /etc/gshadow
复制代码

确保这些文件具有适当的权限：
  2. sudo chmod 644 /etc/passwd
  3. sudo chmod 600 /etc/shadow
  4. sudo chmod 644 /etc/group
  5. sudo chmod 600 /etc/gshadow
复制代码

设置关键目录的权限：
  2. sudo chmod 700 /root
  3. sudo chmod 755 /bin /sbin /usr/bin /usr/sbin
  4. sudo chmod 1777 /tmp /var/tmp
复制代码

查找并修复权限不当的文件：
  2. sudo find / -type f -perm -4000 -exec ls -lg {} \;
  3. sudo find / -type f -perm -2000 -exec ls -lg {} \;
复制代码

SELinux配置

SELinux（Security-Enhanced Linux）是Linux内核的安全模块，提供了强制访问控制（MAC）机制。首先检查SELinux状态：
  2. sestatus
复制代码

如果SELinux未启用，编辑/etc/selinux/config文件：
  2. sudo vi /etc/selinux/config
复制代码

设置SELinux为强制模式：
  2. SELINUX=enforcing
  3. SELINUXTYPE=targeted
复制代码

重启系统以应用更改：
  2. sudo reboot
复制代码

检查SELinux上下文：
  2. ls -Z /var/www/html/
复制代码

如果需要更改文件或目录的SELinux上下文，使用chcon命令：
  2. sudo chcon -R -t httpd_sys_content_t /var/www/html/
复制代码

使用semanage进行永久性更改：
  2. sudo dnf install -y policycoreutils-python-utils
  3. sudo semanage fcontext -a -t httpd_sys_content_t "/var/www/html(/.*)?"
  4. sudo restorecon -Rv /var/www/html/
复制代码

查看SELinux布尔值：
  2. getsebool -a
复制代码

设置SELinux布尔值：
  2. sudo setsebool -P httpd_can_network_connect on
复制代码

文件系统加密

使用LUKS（Linux Unified Key Setup）加密敏感数据分区：

首先，安装必要的工具：
  2. sudo dnf install -y cryptsetup
复制代码

创建加密分区（假设要加密的设备是/dev/sdb1）：
  2. sudo cryptsetup luksFormat /dev/sdb1
复制代码

打开加密设备：
  2. sudo cryptsetup open /dev/sdb1 encrypted_data
复制代码

格式化加密设备：
  2. sudo mkfs.ext4 /dev/mapper/encrypted_data
复制代码

创建挂载点并挂载加密设备：
  2. sudo mkdir /mnt/encrypted_data
  3. sudo mount /dev/mapper/encrypted_data /mnt/encrypted_data
复制代码

添加到/etc/fstab以实现自动挂载：
  2. echo "/dev/mapper/encrypted_data /mnt/encrypted_data ext4 defaults 0 0" | sudo tee -a /etc/fstab
复制代码

配置/etc/crypttab以在启动时自动解密：
  2. echo "encrypted_data /dev/sdb1 none luks" | sudo tee -a /etc/crypttab
复制代码

安全审计与监控

日志管理

Rocky Linux使用rsyslog进行系统日志记录。确保rsyslog服务正在运行：
  2. sudo systemctl enable --now rsyslog
复制代码

配置日志轮转，编辑/etc/logrotate.conf和/etc/logrotate.d/下的配置文件。例如，为自定义日志创建轮转配置：
  2. sudo vi /etc/logrotate.d/myapp
复制代码

添加以下内容：
  2. /var/log/myapp/*.log {
  3.     daily
  4.     missingok
  5.     rotate 7
  6.     compress
  7.     delaycompress
  8.     notifempty
  9.     create 644 root root
  10.     postrotate
  11.         /usr/bin/systemctl reload myapp.service
  12.     endscript
  13. }
复制代码

集中化日志管理

使用Rsyslog将日志发送到中央日志服务器：

编辑/etc/rsyslog.conf：
  2. sudo vi /etc/rsyslog.conf
复制代码

添加以下行（假设中央日志服务器的IP是192.168.1.100）：
  2. *.* @192.168.1.100:514
复制代码

重启rsyslog服务：
  2. sudo systemctl restart rsyslog
复制代码

审计系统

使用auditd进行系统审计：

确保auditd服务正在运行：
  2. sudo systemctl enable --now auditd
复制代码

配置审计规则，编辑/etc/audit/rules.d/audit.rules：
  2. sudo vi /etc/audit/rules.d/audit.rules
复制代码

添加以下规则：
  2. # 监控文件访问
  3. -w /etc/passwd -p wa -k identity
  4. -w /etc/shadow -p wa -k identity
  5. -w /etc/group -p wa -k identity
  6. -w /etc/gshadow -p wa -k identity
  8. # 监控系统调用
  9. -a always,exit -F arch=b64 -S chmod -S fchmod -S fchmodat -F auid>=1000 -F auid!=-1 -k perm_mod
  10. -a always,exit -F arch=b64 -S chown -S fchown -S fchownat -S lchown -F auid>=1000 -F auid!=-1 -k perm_mod
  12. # 监控登录尝试
  13. -w /var/log/faillog -p wa -k logins
  14. -w /var/log/lastlog -p wa -k logins
  15. -w /var/log/tallylog -p wa -k logins
  17. # 监控sudo使用
  18. -w /var/log/sudo.log -p wa -k sudo
  20. # 监控网络连接
  21. -a always,exit -F arch=b64 -S bind -S connect -F auid>=1000 -F auid!=-1 -k network
复制代码

加载新的审计规则：
  2. sudo augenrules --load
复制代码

查看审计日志：
  2. sudo ausearch -k identity
  3. sudo ausearch -k perm_mod
复制代码

入侵检测系统

安装和配置OSSEC（开源主机入侵检测系统）：

首先，安装必要的依赖：
  2. sudo dnf install -y gcc make libevent-devel zlib-devel openssl-devel pcre2-devel
复制代码

下载并编译OSSEC：
  2. cd /opt
  3. sudo wget https://github.com/ossec/ossec-hids/archive/3.7.0.tar.gz
  4. sudo tar -xvzf 3.7.0.tar.gz
  5. cd ossec-hids-3.7.0
  6. sudo ./install
复制代码

按照安装向导进行配置。安装完成后，启动OSSEC：
  2. sudo /var/ossec/bin/ossec-control start
复制代码

配置OSSEC规则，编辑/var/ossec/rules/local_rules.xml：
  2. <group name="local,syslog,">
  3.   <rule id="100001" level="13">
  4.     <if_sid>5501</if_sid>
  5.     <match>Failed password for root</match>
  6.     <description>Root login failed</description>
  7.     <group>authentication_failed,</group>
  8.   </rule>
  9.   
  10.   <rule id="100002" level="10">
  11.     <if_sid>5501</if_sid>
  12.     <match>Accepted password for root</match>
  13.     <description>Root login accepted</description>
  14.     <group>authentication_success,</group>
  15.   </rule>
  16. </group>
复制代码

重启OSSEC以应用新规则：
  2. sudo /var/ossec/bin/ossec-control restart
复制代码

高级安全措施

系统加固工具

使用Lynis进行系统安全审计：

安装Lynis：
  2. sudo dnf install -y lynis
复制代码

运行系统审计：
  2. sudo lynis audit system
复制代码

查看审计报告：
  2. sudo cat /var/log/lynis.log
  3. sudo cat /var/log/lynis-report.dat
复制代码

使用OpenSCAP进行安全合规性检查：

安装OpenSCAP：
  2. sudo dnf install -y openscap-scanner scap-security-guide
复制代码

运行安全扫描：
  2. sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_pci-dss --results-arf results-arf.xml /usr/share/xml/scap/ssg/content/ssg-rockylinux8-ds.xml
复制代码

查看扫描结果：
  2. sudo oscap xccdf generate report results-arf.xml > security-report.html
复制代码

应用容器化安全

使用Podman进行安全的容器管理：

安装Podman：
  2. sudo dnf install -y podman
复制代码

创建安全的容器：
  2. sudo podman run -d --name mysecureapp --cap-drop ALL --cap-add CAP_NET_BIND_SERVICE --read-only -v /data:/data:ro -p 8080:8080 myimage:latest
复制代码

使用Podman安全策略：

创建安全策略文件/etc/containers/policy.json：
  2. {
  3.     "default": [
  4.         {
  5.             "type": "reject"
  6.         }
  7.     ],
  8.     "transports": {
  9.         "docker": {
  10.             "docker.io/library/nginx": [
  11.                 {
  12.                     "type": "signedBy",
  13.                     "keyType": "GPGKeys",
  14.                     "keyPath": "/etc/pki/rpm-gpg/RPM-GPG-KEY-redhat-release"
  15.                 }
  16.             ]
  17.         }
  18.     }
  19. }
复制代码

内核强化

使用grubby配置内核参数：

查看当前内核参数：
  2. sudo grubby --info=ALL
复制代码

添加内核参数：
  2. sudo grubby --update-kernel=ALL --args="slab_nomerge slub_debug=FZP page_poison=1 page_alloc.shuffle=1"
复制代码

使用kexec禁用内核崩溃转储：
  2. sudo grubby --update-kernel=ALL --args="crashkernel=0"
复制代码

使用内核模块锁定：

创建/etc/modprobe.d/blacklist.conf：
  2. sudo vi /etc/modprobe.d/blacklist.conf
复制代码

添加以下内容：
  2. blacklist cramfs
  3. blacklist freevxfs
  4. blacklist jffs2
  5. blacklist hfs
  6. blacklist hfsplus
  7. blacklist squashfs
  8. blacklist udf
  9. blacklist nfs
  10. blacklist rpcsec_gss_krb5
  11. blacklist vfat
  12. blacklist dccp
  13. blacklist sctp
  14. blacklist rds
  15. blacklist tipc
复制代码

创建/etc/modprobe.d/disable.conf：
  2. sudo vi /etc/modprobe.d/disable.conf
复制代码

添加以下内容：
  2. install cramfs /bin/true
  3. install freevxfs /bin/true
  4. install jffs2 /bin/true
  5. install hfs /bin/true
  6. install hfsplus /bin/true
  7. install squashfs /bin/true
  8. install udf /bin/true
  9. install nfs /bin/true
  10. install rpcsec_gss_krb5 /bin/true
  11. install vfat /bin/true
  12. install dccp /bin/true
  13. install sctp /bin/true
  14. install rds /bin/true
  15. install tipc /bin/true
复制代码

安全通信与加密

使用TLS/SSL保护服务通信：

安装Certbot获取Let’s Encrypt证书：
  2. sudo dnf install -y certbot python3-certbot-nginx
复制代码

获取证书：
  2. sudo certbot --nginx -d yourdomain.com
复制代码

配置自动续期：
  2. sudo echo "0 0,12 * * * root python3 -c 'import random; import time; time.sleep(random.random() * 3600)' && certbot renew -q" | sudo tee -a /etc/crontab
复制代码

使用GnuPG加密敏感文件：

安装GnuPG：
  2. sudo dnf install -y gnupg2
复制代码

生成GPG密钥对：
  2. gpg --full-generate-key
复制代码

加密文件：
  2. gpg --encrypt --recipient recipient@example.com sensitive_file.txt
复制代码

解密文件：
  2. gpg --decrypt sensitive_file.txt.gpg > sensitive_file.txt
复制代码

安全最佳实践与策略

安全基线配置

建立企业级安全基线：

创建安全基线脚本security-baseline.sh：
  2. #!/bin/bash
  4. # 系统更新
  5. dnf update -y
  7. # 安装必要的安全工具
  8. dnf install -y firewalld rsyslog auditd setroubleshoot-server
  10. # 启用并启动服务
  11. systemctl enable --now firewalld
  12. systemctl enable --now rsyslog
  13. systemctl enable --now auditd
  15. # 配置防火墙
  16. firewall-cmd --permanent --add-service=ssh
  17. firewall-cmd --permanent --remove-service=dhcpv6-client
  18. firewall-cmd --reload
  20. # 禁用不必要的服务
  21. systemctl disable --now avahi-daemon
  22. systemctl disable --now cups
  23. systemctl disable --now postfix
  25. # 配置SSH
  26. cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
  27. sed -i 's/#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
  28. sed -i 's/#PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
  29. sed -i 's/#Port 22/Port 2222/' /etc/ssh/sshd_config
  30. systemctl restart sshd
  32. # 配置SELinux
  33. sed -i 's/SELINUX=disabled/SELINUX=enforcing/' /etc/selinux/config
  34. setenforce 1
  36. # 配置自动安全更新
  37. dnf install -y dnf-automatic
  38. sed -i 's/upgrade_type = default/upgrade_type = security/' /etc/dnf/automatic.conf
  39. systemctl enable --now dnf-automatic.timer
  41. # 配置密码策略
  42. dnf install -y libpwquality
  43. sed -i 's/# minlen = 9/minlen = 14/' /etc/security/pwquality.conf
  44. sed -i 's/# minclass = 3/minclass = 4/' /etc/security/pwquality.conf
  45. echo "password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=" >> /etc/pam.d/system-auth
  47. # 配置登录失败锁定
  48. echo "auth        required      pam_tally2.so deny=5 unlock_time=900 onerr=fail" >> /etc/pam.d/system-auth
  50. # 配置系统参数
  51. cat >> /etc/sysctl.d/99-security.conf << EOF
  52. # 启用IP欺骗保护
  53. net.ipv4.conf.all.rp_filter = 1
  54. net.ipv4.conf.default.rp_filter = 1
  56. # 禁用ICMP重定向接受
  57. net.ipv4.conf.all.accept_redirects = 0
  58. net.ipv4.conf.default.accept_redirects = 0
  60. # 启用TCP SYN Cookie保护
  61. net.ipv4.tcp_syncookies = 1
  63. # 记录可疑数据包
  64. net.ipv4.conf.all.log_martians = 1
  65. EOF
  67. sysctl -p /etc/sysctl.d/99-security.conf
  69. echo "安全基线配置已完成！"
复制代码

使脚本可执行并运行：
  2. chmod +x security-baseline.sh
  3. sudo ./security-baseline.sh
复制代码

安全事件响应计划

建立安全事件响应计划：

创建事件响应团队，明确角色和职责：

1. 事件响应协调员
2. 安全分析师
3. 系统管理员
4. 网络工程师
5. 法律顾问
6. 公关代表

创建事件响应流程文档incident-response-plan.md：
  2. # 安全事件响应计划
  4. ## 1. 事件检测与报告
  5. - 监控系统日志和安全警报
  6. - 建立事件报告渠道
  7. - 定义事件严重级别
  9. ## 2. 事件分类与优先级
  10. - 事件类型分类（恶意软件、未授权访问、数据泄露等）
  11. - 严重级别评估（低、中、高、严重）
  12. - 业务影响评估
  14. ## 3. 事件响应
  15. - 初步分析
  16. - 遏制策略
  17. - 根除策略
  18. - 系统恢复
  19. - 事后分析
  21. ## 4. 联系信息
  22. - 事件响应团队成员联系方式
  23. - 外部安全专家联系方式
  24. - 执法机构联系方式
  25. - 管理层联系方式
  27. ## 5. 沟通计划
  28. - 内部沟通流程
  29. - 外部沟通流程
  30. - 公关策略
  31. - 法律合规要求
复制代码

定期安全评估

建立定期安全评估流程：

1. 每周：检查系统更新审查安全日志验证备份完整性
2. 检查系统更新
3. 审查安全日志
4. 验证备份完整性
5. 每月：运行漏洞扫描审查用户账户和权限测试安全控制措施
6. 运行漏洞扫描
7. 审查用户账户和权限
8. 测试安全控制措施
9. 每季度：进行渗透测试更新安全策略进行安全意识培训
10. 进行渗透测试
11. 更新安全策略
12. 进行安全意识培训
13. 每年：全面安全审计更新灾难恢复计划评估安全工具有效性
14. 全面安全审计
15. 更新灾难恢复计划
16. 评估安全工具有效性

每周：

• 检查系统更新
• 审查安全日志
• 验证备份完整性

每月：

• 运行漏洞扫描
• 审查用户账户和权限
• 测试安全控制措施

每季度：

• 进行渗透测试
• 更新安全策略
• 进行安全意识培训

每年：

• 全面安全审计
• 更新灾难恢复计划
• 评估安全工具有效性

创建自动化安全检查脚本security-check.sh：
  2. #!/bin/bash
  4. # 创建日志文件
  5. LOG="/var/log/security-check.log"
  6. DATE=$(date +%Y-%m-%d)
  7. echo "安全检查日志 - $DATE" > $LOG
  9. # 检查系统更新
  10. echo "检查系统更新..." >> $LOG
  11. dnf check-update >> $LOG 2>&1
  13. # 检查运行的服务
  14. echo "检查运行的服务..." >> $LOG
  15. systemctl list-units --type=service --state=running >> $LOG
  17. # 检查开放端口
  18. echo "检查开放端口..." >> $LOG
  19. ss -tuln >> $LOG
  21. # 检查用户账户
  22. echo "检查用户账户..." >> $LOG
  23. awk -F: '($3 >= 1000) {print}' /etc/passwd >> $LOG
  25. # 检查SUID/SGID文件
  26. echo "检查SUID/SGID文件..." >> $LOG
  27. find / -type f \( -perm -4000 -o -perm -2000 \) -exec ls -lg {} \; 2>/dev/null >> $LOG
  29. # 检查SELinux状态
  30. echo "检查SELinux状态..." >> $LOG
  31. sestatus >> $LOG
  33. # 检查防火墙状态
  34. echo "检查防火墙状态..." >> $LOG
  35. firewall-cmd --list-all >> $LOG
  37. # 检查失败登录尝试
  38. echo "检查失败登录尝试..." >> $LOG
  39. lastb | head -n 20 >> $LOG
  41. # 检查磁盘空间
  42. echo "检查磁盘空间..." >> $LOG
  43. df -h >> $LOG
  45. echo "安全检查完成！日志已保存到 $LOG"
复制代码

使脚本可执行并设置定期运行：
  2. chmod +x security-check.sh
  3. sudo mv security-check.sh /usr/local/bin/
  4. echo "0 2 * * 1 /usr/local/bin/security-check.sh" | sudo crontab -
复制代码

总结

Rocky Linux作为一个企业级操作系统，提供了丰富的安全功能和工具，可以帮助系统管理员构建一个安全可靠的服务器环境。本文从基础安全配置到高级安全措施，全面介绍了Rocky Linux的安全设置与防护策略。

我们首先讨论了基础安全配置，包括系统更新、用户管理和服务管理，这些是构建安全系统的基础。然后，我们深入探讨了网络安全设置，包括防火墙配置、网络参数调整和SSH安全加固，这些措施可以有效保护系统免受网络攻击。

接下来，我们介绍了访问控制与权限管理，包括文件系统权限、SELinux配置和文件系统加密，这些技术可以确保系统资源的访问受到严格控制。我们还讨论了安全审计与监控，包括日志管理、集中化日志管理、审计系统和入侵检测系统，这些工具可以帮助管理员及时发现和响应安全事件。

在高级安全措施部分，我们介绍了系统加固工具、应用容器化安全、内核强化和安全通信与加密，这些技术可以进一步提高系统的安全性。最后，我们讨论了安全最佳实践与策略，包括安全基线配置、安全事件响应计划和定期安全评估，这些策略可以帮助组织建立一个全面的安全管理体系。

通过实施本文介绍的安全措施和最佳实践，您可以构建一个坚不可摧的Rocky Linux服务器环境，有效保护您的数据和业务免受各种安全威胁。记住，安全是一个持续的过程，需要定期评估和更新，以应对不断变化的安全威胁。
安全更新, 管理器, 企业级
「七転び八起き（ななころびやおき）」
回复

使用道具 举报

返回列表 发新帖
您需要登录后才可以回帖 登录 | 立即注册
高级模式
B Color Image Link Quote Code Smilies

本版积分规则