活动公告

系统通知
通知：关于部分勋章领取条件及购买价格调整的通知
05-18 21:22
系统通知
通知：本站资源由网友上传分享，如有违规等问题请到版务模块进行投诉，资源失效请在帖子内回复要求补档，会尽快处理！
10-23 09:31
>社区 > 科技 > 经验交流 >帖子
本版发帖返回

提升Ubuntu系统安全性的关键加固措施详解从防火墙配置到入侵检测打造全方位防护体系让你的Linux服务器远离安全威胁保障业务稳定运行

这是个蓝孩子 当前离线 威震华夏关云长
SunJu_FaceMall

3万

主题

2860

科技点

3万

积分

白金月票

碾压王

积分
32872

塔罗立华奏
<font color=白金月票" /> 发表于 2025-9-23 16:00:00 | 显示全部楼层 |阅读模式

马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

您需要 登录 才可以下载或查看，没有账号？立即注册

x
引言

在当今数字化时代，服务器安全已成为企业和个人不可忽视的重要议题。Ubuntu作为最受欢迎的Linux发行版之一，广泛应用于服务器环境中，其安全性直接关系到业务的稳定运行和数据的安全。本文将详细介绍提升Ubuntu系统安全性的关键加固措施，从防火墙配置到入侵检测，帮助读者打造全方位的防护体系，确保Linux服务器远离安全威胁，保障业务稳定运行。

系统基础加固

用户和权限管理

在Ubuntu系统中，遵循最小权限原则是确保系统安全的基础。应避免直接使用root账户进行日常操作，而是创建具有必要权限的普通用户。
  2. # 创建新用户
  3. sudo adduser newuser
  5. # 将用户添加到sudo组以获得管理员权限
  6. sudo usermod -aG sudo newuser
  8. # 切换到新用户
  9. su - newuser
复制代码

为了提高系统安全性，建议禁用root用户的直接SSH登录，强制使用sudo进行特权操作。
  2. # 编辑SSH配置文件
  3. sudo nano /etc/ssh/sshd_config
  5. # 找到并修改以下行
  6. PermitRootLogin no
  8. # 重启SSH服务
  9. sudo systemctl restart sshd
复制代码

系统更新和补丁管理

保持系统更新是防止已知漏洞被利用的关键措施。
  2. # 更新软件包列表
  3. sudo apt update
  5. # 升级已安装的软件包
  6. sudo apt upgrade -y
  8. # 自动安全更新配置
  9. sudo apt install unattended-upgrades
  10. sudo dpkg-reconfigure unattended-upgrades
复制代码

移除不必要的软件和服务

减少系统攻击面的有效方法是移除不必要的软件和服务。
  2. # 列出已安装的软件包
  3. dpkg -l
  5. # 删除不需要的软件包
  6. sudo apt remove --purge package-name
  8. # 查看运行中的服务
  9. systemctl list-units --type=service
  11. # 禁用不必要的服务
  12. sudo systemctl disable service-name
  13. sudo systemctl stop service-name
复制代码

防火墙配置

UFW (Uncomplicated Firewall) 基础配置

UFW是Ubuntu系统上默认的防火墙工具，设计简单易用，适合大多数场景。
  2. # 安装UFW
  3. sudo apt install ufw
  5. # 启用UFW
  6. sudo ufw enable
  8. # 设置默认策略
  9. sudo ufw default deny incoming
  10. sudo ufw default allow outgoing
  12. # 允许特定端口
  13. sudo ufw allow 22/tcp    # SSH
  14. sudo ufw allow 80/tcp    # HTTP
  15. sudo ufw allow 443/tcp   # HTTPS
  17. # 查看UFW状态
  18. sudo ufw status verbose
  20. # 删除规则
  21. sudo ufw delete allow 22/tcp
复制代码

高级UFW配置

UFW也支持更复杂的规则配置，如IP白名单、端口范围等。
  2. # 允许特定IP访问所有端口
  3. sudo ufw allow from 192.168.1.100
  5. # 允许特定IP访问特定端口
  6. sudo ufw allow from 192.168.1.100 to any port 22 proto tcp
  8. # 允许端口范围
  9. sudo ufw allow 6000:6007/tcp
  11. # 限制连接频率（防止暴力破解）
  12. sudo ufw limit ssh
  14. # 拒绝特定IP
  15. sudo ufw deny from 203.0.113.4
复制代码

iptables高级配置

对于需要更精细控制的场景，可以直接使用iptables。
  2. # 安装iptables
  3. sudo apt install iptables
  5. # 查看当前规则
  6. sudo iptables -L -n -v
  8. # 允许本地回环
  9. sudo iptables -A INPUT -i lo -j ACCEPT
  11. # 允许已建立的连接
  12. sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
  14. # 允许SSH
  15. sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT
  17. # 允许HTTP和HTTPS
  18. sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  19. sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
  21. # 设置默认策略
  22. sudo iptables -P INPUT DROP
  23. sudo iptables -P FORWARD DROP
  25. # 保存规则
  26. sudo iptables-save > /etc/iptables/rules.v4
  27. sudo ip6tables-save > /etc/iptables/rules.v6
  29. # 恢复规则
  30. sudo iptables-restore < /etc/iptables/rules.v4
  31. sudo ip6tables-restore < /etc/iptables/rules.v6
复制代码

入侵检测系统

Fail2ban 防护暴力破解

Fail2ban是一个入侵防御软件，可以监控日志文件并根据预设规则禁止可疑IP。
  2. # 安装Fail2ban
  3. sudo apt install fail2ban
  5. # 复制配置文件
  6. sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
  8. # 编辑配置文件
  9. sudo nano /etc/fail2ban/jail.local
  11. # 配置SSH保护
  12. [sshd]
  13. enabled = true
  14. port = 22
  15. filter = sshd
  16. logpath = /var/log/auth.log
  17. maxretry = 3
  18. bantime = 3600
  19. findtime = 600
  21. # 启动Fail2ban服务
  22. sudo systemctl start fail2ban
  23. sudo systemctl enable fail2ban
  25. # 查看被禁止的IP
  26. sudo fail2ban-client status sshd
复制代码

OSSEC 主机入侵检测

OSSEC是一个功能强大的开源主机入侵检测系统，提供日志分析、文件完整性检查、rootkit检测等功能。
  2. # 添加OSSEC仓库
  3. sudo apt install curl
  4. curl -so ossec-agent.deb https://updates.atomicorp.com/installers/atomic
  6. # 安装OSSEC
  7. sudo dpkg -i ossec-agent.deb
  8. sudo apt update
  9. sudo apt install ossec-hids-agent
  11. # 配置OSSEC
  12. sudo /var/ossec/bin/ossec-control enable agent-client
  13. sudo /var/ossec/bin/ossec-control restart
  15. # 查看OSSEC状态
  16. sudo /var/ossec/bin/agent_control -l
复制代码

AIDE (Advanced Intrusion Detection Environment)

AIDE是一个文件完整性检查器，用于检测系统文件的未授权更改。
  2. # 安装AIDE
  3. sudo apt install aide
  5. # 初始化AIDE数据库
  6. sudo aideinit
  8. # 移动数据库到安全位置
  9. sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
  11. # 执行检查
  12. sudo aide --check
  14. # 更新数据库
  15. sudo aide --update
  16. sudo mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
复制代码

安全监控和日志管理

集中化日志管理 (Rsyslog)

配置Rsyslog实现集中化日志管理，便于安全事件分析和审计。
  2. # 安装Rsyslog
  3. sudo apt install rsyslog
  5. # 编辑配置文件
  6. sudo nano /etc/rsyslog.conf
  8. # 取消注释以下行以启用TCP日志接收
  9. module(load="imtcp")
  10. input(type="imtcp" port="514")
  12. # 添加远程日志服务器配置
  13. *.* @@remote-log-server:514
  15. # 重启Rsyslog服务
  16. sudo systemctl restart rsyslog
复制代码

Logwatch 日志分析

Logwatch是一个日志分析工具，可以生成易于阅读的日志摘要报告。
  2. # 安装Logwatch
  3. sudo apt install logwatch
  5. # 配置Logwatch
  6. sudo cp /usr/share/logwatch/default.conf/logwatch.conf /etc/logwatch/conf/
  8. # 编辑配置文件
  9. sudo nano /etc/logwatch/conf/logwatch.conf
  11. # 设置邮件报告
  12. Output = mail
  13. Format = html
  14. MailTo = admin@example.com
  16. # 手动运行Logwatch
  17. sudo logwatch --detail High --mailto admin@example.com --range today
复制代码

Wazuh 综合安全监控

Wazuh是一个开源的安全监控平台，提供日志分析、文件完整性检查、漏洞检测等功能。
  2. # 添加Wazuh仓库
  3. curl -s https://packages.wazuh.com/key/GPG-KEY-WAZUH | sudo apt-key add -
  4. echo "deb https://packages.wazuh.com/4.x/apt/ stable main" | sudo tee /etc/apt/sources.list.d/wazuh.list
  6. # 更新软件包列表
  7. sudo apt update
  9. # 安装Wazuh管理器
  10. sudo apt install wazuh-manager
  12. # 启动Wazuh服务
  13. sudo systemctl daemon-reload
  14. sudo systemctl enable wazuh-manager
  15. sudo systemctl start wazuh-manager
  17. # 安装Wazuh API
  18. sudo apt install wazuh-api
  20. # 启动Wazuh API服务
  21. sudo systemctl daemon-reload
  22. sudo systemctl enable wazuh-api
  23. sudo systemctl start wazuh-api
复制代码

网络安全配置

SSH安全加固

SSH是远程管理服务器的常用工具，加固SSH配置对系统安全至关重要。
  2. # 编辑SSH配置文件
  3. sudo nano /etc/ssh/sshd_config
  5. # 修改以下配置项
  6. Port 2222                    # 更改默认端口
  7. PermitRootLogin no           # 禁止root登录
  8. PasswordAuthentication no    # 禁用密码认证，使用密钥认证
  9. PubkeyAuthentication yes     # 启用公钥认证
  10. PermitEmptyPasswords no      # 禁止空密码
  11. MaxAuthTries 3               # 限制最大认证尝试次数
  12. ClientAliveInterval 300      # 设置客户端活动间隔
  13. ClientAliveCountMax 2        # 设置客户端活动计数
  15. # 重启SSH服务
  16. sudo systemctl restart sshd
复制代码

网络参数调整

通过调整内核网络参数，可以提高系统对网络攻击的抵御能力。
  2. # 编辑sysctl配置文件
  3. sudo nano /etc/sysctl.conf
  5. # 添加或修改以下参数
  6. # 防止IP欺骗
  7. net.ipv4.conf.all.rp_filter = 1
  8. net.ipv4.conf.default.rp_filter = 1
  10. # 忽略ICMP重定向
  11. net.ipv4.conf.all.accept_redirects = 0
  12. net.ipv4.conf.default.accept_redirects = 0
  13. net.ipv4.conf.all.secure_redirects = 0
  14. net.ipv4.conf.default.secure_redirects = 0
  16. # 忽略发送ICMP重定向
  17. net.ipv4.conf.all.send_redirects = 0
  18. net.ipv4.conf.default.send_redirects = 0
  20. # 不接受源路由包
  21. net.ipv4.conf.all.accept_source_route = 0
  22. net.ipv4.conf.default.accept_source_route = 0
  24. # 开启SYN洪水攻击保护
  25. net.ipv4.tcp_syncookies = 1
  27. # 记录可疑数据包
  28. net.ipv4.conf.all.log_martians = 1
  29. net.ipv4.conf.default.log_martians = 1
  31. # 应用配置
  32. sudo sysctl -p
复制代码

TCP Wrappers 访问控制

TCP Wrappers提供了基于主机的网络访问控制，可以限制对特定服务的访问。
  2. # 安装TCP Wrappers
  3. sudo apt install tcpd
  5. # 配置允许访问的主机
  6. sudo nano /etc/hosts.allow
  8. # 添加允许的规则
  9. sshd: 192.168.1.0/24, 10.0.0.1
  10. vsftpd: 192.168.1.5
  12. # 配置拒绝访问的主机
  13. sudo nano /etc/hosts.deny
  15. # 添加拒绝的规则
  16. ALL: ALL
复制代码

安全审计和合规性

Lynis 安全审计

Lynis是一个强大的安全审计工具，用于检测系统安全问题和配置错误。
  2. # 安装Lynis
  3. sudo apt install lynis
  5. # 执行安全审计
  6. sudo lynis audit system
  8. # 查看审计报告
  9. cat /var/log/lynis.log
  11. # 定期自动审计
  12. sudo crontab -e
  14. # 添加以下行以每月执行一次审计
  15. 0 0 1 * * /usr/sbin/lynis audit system --cronjob
复制代码

OpenSCAP 合规性检查

OpenSCAP是一个安全合规性工具，用于评估系统是否符合安全标准。
  2. # 安装OpenSCAP
  3. sudo apt install libopenscap8 scap-security-guide
  5. # 执行系统扫描
  6. sudo oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_stig --results-arf arf.xml /usr/share/xml/scap/ssg/content/ssg-ubuntu2004-ds.xml
  8. # 生成HTML报告
  9. sudo oscap xccdf generate report arf.xml > report.html
复制代码

配置审计 (auditd)

Auditd是Linux系统的审计框架，用于记录系统活动和安全事件。
  2. # 安装auditd
  3. sudo apt install auditd
  5. # 配置审计规则
  6. sudo nano /etc/audit/rules.d/audit.rules
  8. # 添加以下规则
  9. # 监控文件访问
  10. -w /etc/passwd -p wa -k identity
  11. -w /etc/shadow -p wa -k identity
  12. -w /etc/group -p wa -k identity
  14. # 监控系统调用
  15. -a always,exit -F arch=b64 -S execve -k process_creation
  17. # 监控登录事件
  18. -w /var/log/faillog -p wa -k logins
  19. -w /var/log/lastlog -p wa -k logins
  21. # 重启auditd服务
  22. sudo systemctl restart auditd
  24. # 查看审计日志
  25. sudo ausearch -k identity
  26. sudo aureport -m
复制代码

应急响应和恢复

安全事件响应流程

建立明确的安全事件响应流程，有助于在安全事件发生时快速有效地应对。

1. 检测和分析：识别安全事件，确定其性质和范围
2. 遏制：限制事件的影响，防止进一步扩散
3. 根除：消除安全威胁的根本原因
4. 恢复：恢复系统和数据到正常运行状态
5. 总结：分析事件原因，改进安全措施

系统备份和恢复策略

有效的备份策略是系统安全的重要组成部分，可以在安全事件后快速恢复系统。
  2. # 安装rsync用于备份
  3. sudo apt install rsync
  5. # 创建备份脚本
  6. sudo nano /usr/local/bin/backup.sh
  8. #!/bin/bash
  9. # 定义备份目录
  10. BACKUP_DIR="/backup"
  11. SOURCE_DIR="/etc /home /var/www"
  13. # 创建备份目录
  14. mkdir -p $BACKUP_DIR
  16. # 执行备份
  17. rsync -av --delete $SOURCE_DIR $BACKUP_DIR/$(date +%Y%m%d)/
  19. # 设置脚本可执行
  20. sudo chmod +x /usr/local/bin/backup.sh
  22. # 添加到cron定时任务
  23. sudo crontab -e
  25. # 添加以下行以每天凌晨2点执行备份
  26. 0 2 * * * /usr/local/bin/backup.sh
复制代码

系统快照和版本控制

使用版本控制系统管理系统配置文件，可以在配置错误时快速恢复。
  2. # 安装git
  3. sudo apt install git
  5. # 初始化配置仓库
  6. sudo mkdir /etc/config-backup
  7. sudo git init /etc/config-backup
  9. # 创建备份脚本
  10. sudo nano /usr/local/bin/config-backup.sh
  12. #!/bin/bash
  13. # 定义仓库目录
  14. REPO_DIR="/etc/config-backup"
  16. # 复制配置文件
  17. cp -r /etc/nginx $REPO_DIR/
  18. cp -r /etc/ssh $REPO_DIR/
  19. cp -r /etc/mysql $REPO_DIR/
  21. # 提交更改
  22. cd $REPO_DIR
  23. git add .
  24. git commit -m "Configuration backup $(date +%Y%m%d-%H%M%S)"
  26. # 设置脚本可执行
  27. sudo chmod +x /usr/local/bin/config-backup.sh
  29. # 添加到cron定时任务
  30. sudo crontab -e
  32. # 添加以下行以每天执行配置备份
  33. 0 1 * * * /usr/local/bin/config-backup.sh
复制代码

最佳实践和总结

定期安全评估

定期进行安全评估是确保系统持续安全的重要措施。

1. 漏洞扫描：定期使用Nessus、OpenVAS等工具进行漏洞扫描
2. 渗透测试：定期进行渗透测试，发现潜在的安全问题
3. 安全审计：使用Lynis、OpenSCAP等工具进行安全审计
4. 日志审查：定期审查系统日志，发现异常活动

安全意识培训

人为因素是安全链中最薄弱的环节，提高安全意识至关重要。

1. 定期培训：对系统管理员和用户进行定期安全培训
2. 安全政策：制定明确的安全政策，并确保所有人了解和遵守
3. 模拟攻击：进行钓鱼邮件等模拟攻击，提高安全意识
4. 安全通报：定期分享最新的安全威胁和防护措施

持续改进

安全是一个持续的过程，需要不断改进和更新。

1. 安全监控：建立24/7的安全监控系统，及时发现和响应安全事件
2. 更新补丁：及时应用安全补丁，修复已知漏洞
3. 技术更新：关注最新的安全技术和最佳实践，不断更新安全措施
4. 经验总结：定期总结安全事件和问题，持续改进安全策略

总结

Ubuntu系统安全是一个综合性的课题，需要从多个层面进行防护。本文详细介绍了从防火墙配置到入侵检测的关键加固措施，包括系统基础加固、防火墙配置、入侵检测系统、安全监控和日志管理、网络安全配置、安全审计和合规性以及应急响应和恢复等方面。

通过实施这些措施，可以大大提高Ubuntu系统的安全性，有效防范各种安全威胁，保障业务的稳定运行。然而，安全是一个持续的过程，需要不断更新和改进安全策略，以应对不断变化的安全威胁。希望本文能为读者提供有价值的参考，帮助构建更加安全的Ubuntu系统环境。
系统安全
「七転び八起き（ななころびやおき）」
回复

使用道具 举报

返回列表 发新帖
您需要登录后才可以回帖 登录 | 立即注册
高级模式
B Color Image Link Quote Code Smilies

本版积分规则