Gentoo Linux系统安全完全教程 从基础配置到高级防护策略的实用指南

威震华夏关云长

引言

Gentoo Linux是一个高度可定制的Linux发行版，以其灵活性、性能和优化而闻名。与其他发行版不同，Gentoo采用源代码包管理系统（Portage），允许用户针对特定硬件和需求优化系统。这种灵活性也延伸到系统安全方面，使Gentoo成为安全意识强的系统管理员和高级用户的首选。

本教程将全面介绍Gentoo Linux系统安全，从基础配置到高级防护策略，帮助您构建一个安全、可靠的Gentoo系统。无论您是Gentoo新手还是经验丰富的用户，本指南都将提供有价值的信息和实用的建议。

Gentoo Linux安全基础

安装过程中的安全考虑

Gentoo的安装过程提供了许多机会来增强系统安全性。从安装开始就考虑安全因素，可以大大减少后续的安全配置工作。

合理的分区方案是系统安全的第一道防线。建议采用以下分区策略：

2. # 示例分区方案
3. /boot    512M    # 启动分区
4. /        20G     # 根分区
5. /usr     20G     # 用户程序
6. /var     10G     # 变量数据
7. /home    剩余空间 # 用户数据
8. /tmp     2G      # 临时文件，建议使用noexec,nosuid,nodev选项挂载

复制代码

在安装过程中，可以对/tmp和/home等分区添加额外的挂载选项以增强安全性：

2. # /etc/fstab 示例
3. /dev/sda5   /tmp     ext4    defaults,noexec,nosuid,nodev   0 2
4. /dev/sda6   /home    ext4    defaults,nosuid,nodev          0 2

复制代码

这些选项的含义：

• noexec：禁止在该分区上执行可执行文件
• nosuid：忽略SUID和SGID位
• nodev：忽略设备文件

在开始安装之前，验证下载的Gentoo安装介质的完整性至关重要：

2. # 下载Gentoo ISO后，验证其SHA256校验和
3. sha256sum -c gentoo.iso.sha256sum

复制代码

遵循最小化安装原则，只安装必要的软件包，减少潜在的攻击面：

2. # 使用stage3 tarball进行最小化安装
3. tar xvjpf stage3-*.tar.bz2 --xattrs-include='*.*' --numeric-owner

复制代码

基本系统配置

安装完成后，立即更新系统：

2. # 同步Portage树
3. emerge --sync
5. # 更新系统
6. emerge -auvDN @world

复制代码

Gentoo的USE标志允许您定制软件包的功能，禁用不必要的功能可以减少攻击面：

2. # /etc/portage/make.conf 示例
3. USE="-X -gtk -qt5 -kde -gnome ssl zlib crypt"

复制代码

这个配置禁用了图形界面组件，启用了加密支持。

选择一个合适的基础profile：

2. # 查看可用的profile
3. eselect profile list
5. # 选择一个安全的profile，例如hardened
6. eselect profile set default/linux/amd64/17.1/hardened

复制代码

用户和权限管理

避免使用root账户进行日常操作：

2. # 创建新用户
3. useradd -m -G users,wheel,audio,video -s /bin/bash username
5. # 设置密码
6. passwd username

复制代码

使用sudo代替直接登录root：

2. # 安装sudo
3. emerge app-admin/sudo
5. # 配置sudo
6. visudo

复制代码

在sudoers文件中添加：

2. # 允许wheel组成员使用sudo
3. %wheel ALL=(ALL) ALL

复制代码

进一步限制root访问：

2. # 禁用root的SSH登录
3. echo "PermitRootLogin no" >> /etc/ssh/sshd_config
5. # 重启SSH服务
6. rc-service sshd restart

复制代码

系统加固

内核安全配置

Gentoo允许用户高度定制内核，这是一个增强安全性的绝佳机会。

在配置内核时，启用以下安全选项：

2. # 安全相关的内核配置选项
3. CONFIG_SECURITY=y
4. CONFIG_SECURITY_NETWORK=y
5. CONFIG_SECURITY_SELINUX=y
6. CONFIG_SECURITY_YAMA=y
7. CONFIG_HARDENED_USERCOPY=y
8. CONFIG_DEFAULT_SECURITY_SELINUX=y
9. CONFIG_PANIC_ON_OOPS=y
10. CONFIG_DEBUG_LIST=y
11. CONFIG_DEBUG_SG=y
12. CONFIG_DEBUG_NOTIFIERS=y
13. CONFIG_DEBUG_CREDENTIALS=y
14. CONFIG_CC_STACKPROTECTOR_STRONG=y
15. CONFIG_STRICT_DEVMEM=y
16. CONFIG_IO_STRICT_DEVMEM=y
17. CONFIG_SYN_COOKIES=y
18. CONFIG_SLAB_FREELIST_HARDENED=y
19. CONFIG_SLAB_FREELIST_RANDOM=y
20. CONFIG_RANDOMIZE_BASE=y
21. CONFIG_RANDOMIZE_MEMORY=y

复制代码

限制加载不必要的内核模块：

2. # /etc/modprobe.d/blacklist.conf 示例
3. blacklist usb-storage
4. blacklist cramfs
5. blacklist freevxfs
6. blacklist jffs2
7. blacklist hfs
8. blacklist hfsplus
9. blacklist squashfs
10. blacklist udf
11. blacklist vfat

复制代码

Grsecurity/PaX是一组增强Linux内核安全的补丁：

2. # 安装grsecurity-sources
3. emerge sys-kernel/grsecurity-sources
5. # 配置并编译内核
6. cd /usr/src/linux
7. make menuconfig
8. make && make modules_install
9. make install

复制代码

服务安全配置

识别并禁用不必要的服务：

2. # 查看运行中的服务
3. rc-status
5. # 禁用不必要的服务
6. rc-update del service_name default

复制代码

为必要的服务配置安全选项：

2. # SSH服务安全配置
3. echo "Protocol 2" >> /etc/ssh/sshd_config
4. echo "PermitRootLogin no" >> /etc/ssh/sshd_config
5. echo "PasswordAuthentication no" >> /etc/ssh/sshd_config
6. echo "AllowUsers username" >> /etc/ssh/sshd_config
7. echo "AllowGroups sshusers" >> /etc/ssh/sshd_config
9. # 重启SSH服务
10. rc-service sshd restart

复制代码

选择并配置强制访问控制（MAC）系统：

2. # 安装SELinux
3. emerge selinux-base-policy
5. # 初始化SELinux
6. selinux-activate

复制代码

文件系统安全

定期检查文件权限：

2. # 查找世界可写的文件
3. find / -type f -perm -o+w -exec ls -l {} \;
5. # 查找没有所有者的文件
6. find / -nouser -o -nogroup

复制代码

使用chattr命令设置关键文件为不可变：

2. # 设置文件为不可变
3. chattr +i /etc/passwd
4. chattr +i /etc/shadow
5. chattr +i /etc/group
6. chattr +i /etc/gshadow
7. chattr +i /etc/sudoers

复制代码

安装和配置AIDE（高级入侵检测环境）：

2. # 安装AIDE
3. emerge app-admin/aide
5. # 初始化AIDE数据库
6. aide --init
8. # 移动数据库到正确位置
9. mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
11. # 运行检查
12. aide --check

复制代码

网络安全

防火墙配置

Gentoo支持多种防火墙解决方案，包括iptables、nftables和firewalld。

配置iptables防火墙：

2. # 安装iptables
3. emerge net-firewall/iptables
5. # 创建防火墙规则脚本
6. cat > /etc/firewall.sh << 'EOF'
7. #!/bin/bash
9. # 清除现有规则
10. iptables -F
11. iptables -X
12. iptables -t nat -F
13. iptables -t nat -X
14. iptables -t mangle -F
15. iptables -t mangle -X
17. # 设置默认策略
18. iptables -P INPUT DROP
19. iptables -P FORWARD DROP
20. iptables -P OUTPUT ACCEPT
22. # 允许本地回环
23. iptables -A INPUT -i lo -j ACCEPT
24. iptables -A OUTPUT -o lo -j ACCEPT
26. # 允许已建立的连接
27. iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
29. # 允许SSH
30. iptables -A INPUT -p tcp --dport 22 -m conntrack --ctstate NEW -j ACCEPT
32. # 允许HTTP/HTTPS
33. iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT
34. iptables -A INPUT -p tcp --dport 443 -m conntrack --ctstate NEW -j ACCEPT
36. # 记录并丢弃其他数据包
37. iptables -A INPUT -j LOG --log-prefix "iptables_input_denied: "
38. iptables -A INPUT -j DROP
40. # 保存规则
41. iptables-save > /etc/iptables/rules.v4
42. EOF
44. # 使脚本可执行
45. chmod +x /etc/firewall.sh
47. # 运行脚本
48. /etc/firewall.sh
50. # 设置开机启动
51. echo "/etc/firewall.sh" >> /etc/conf.d/local.start

复制代码

nftables是iptables的替代品，提供了更简洁的语法：

2. # 安装nftables
3. emerge net-firewall/nftables
5. # 创建nftables配置
6. cat > /etc/nftables.conf << 'EOF'
7. #!/usr/sbin/nft -f
9. # 清除现有规则
10. flush ruleset
12. # 创建表
13. table inet filter {
14.     chain input {
15.         type filter hook input priority 0; policy drop;
16.         
17.         # 允许本地回环
18.         iifname "lo" accept;
19.         
20.         # 允许已建立的连接
21.         ct state established,related accept;
22.         
23.         # 允许SSH
24.         tcp dport 22 accept;
25.         
26.         # 允许HTTP/HTTPS
27.         tcp dport {80, 443} accept;
28.         
29.         # 记录并丢弃其他数据包
30.         log prefix "nftables_input_denied: " drop;
31.     }
32.    
33.     chain forward {
34.         type filter hook forward priority 0; policy drop;
35.     }
36.    
37.     chain output {
38.         type filter hook output priority 0; policy accept;
39.     }
40. }
41. EOF
43. # 加载规则
44. nft -f /etc/nftables.conf
46. # 设置开机启动
47. rc-update add nftables default

复制代码

网络服务安全

除了前面提到的基本SSH配置外，还可以采取以下措施增强SSH安全性：

2. # 编辑SSH配置文件
3. cat >> /etc/ssh/sshd_config << 'EOF'
5. # 安全增强配置
6. Port 2222  # 更改默认端口
7. Protocol 2
8. PermitRootLogin no
9. PasswordAuthentication no
10. ChallengeResponseAuthentication no
11. UsePAM no
12. AllowUsers username
13. AllowGroups sshusers
14. MaxAuthTries 3
15. LoginGraceTime 60
16. ClientAliveInterval 300
17. ClientAliveCountMax 0
18. AllowTcpForwarding no
19. X11Forwarding no
20. PrintMotd no
21. PrintLastLog no
22. EOF
24. # 重启SSH服务
25. rc-service sshd restart

复制代码

Fail2ban可以防止暴力破解攻击：

2. # 安装Fail2ban
3. emerge net-analyzer/fail2ban
5. # 配置Fail2ban
6. cat > /etc/fail2ban/jail.local << 'EOF'
7. [DEFAULT]
8. bantime = 1h
9. findtime = 10m
10. maxretry = 3
12. [sshd]
13. enabled = true
14. port = 2222
15. filter = sshd
16. logpath = /var/log/auth.log
17. maxretry = 3
18. bantime = 24h
19. EOF
21. # 启动Fail2ban
22. rc-service fail2ban start
24. # 设置开机启动
25. rc-update add fail2ban default

复制代码

入侵检测系统

Snort是一个强大的网络入侵检测系统：

2. # 安装Snort
3. emerge net-analyzer/snort
5. # 创建Snort配置目录
6. mkdir -p /etc/snort/rules
8. # 下载Snort规则
9. wget https://www.snort.org/downloads/snortrules/snort3-snapshot.tar.gz
10. tar -xvzf snort3-snapshot.tar.gz -C /etc/snort/rules/
12. # 配置Snort
13. cat > /etc/snort/snort.lua << 'EOF'
14. HOME_NET = '192.168.1.0/24'
15. EXTERNAL_NET = '!$HOME_NET'
16. var RULE_PATH /etc/snort/rules/rules
18. include $RULE_PATH/snort3.rules
19. EOF
21. # 启动Snort
22. snort -c /etc/snort/snort.lua -i eth0 -A alert_fast -l /var/log/snort/

复制代码

OSSEC是一个开源的主机入侵检测系统：

2. # 安装OSSEC
3. emerge app-admin/ossec-hids
5. # 配置OSSEC
6. cat > /var/ossec/etc/ossec.conf << 'EOF'
7. <ossec_config>
8.   <global>
9.     <email_notification>yes</email_notification>
10.     <email_to>admin@example.com</email_to>
11.     <smtp_server>smtp.example.com</smtp_server>
12.     <email_from>ossec@example.com</email_from>
13.   </global>
15.   <syscheck>
16.     <frequency>7200</frequency>
17.     <directories check_all="yes">/etc,/usr/bin,/usr/sbin</directories>
18.     <directories check_all="yes">/bin,/sbin</directories>
19.     <ignore>/etc/mtab</ignore>
20.     <ignore>/etc/hosts.deny</ignore>
21.   </syscheck>
23.   <rootcheck>
24.     <rootkit_files>/var/ossec/etc/shared/rootkit_files.txt</rootkit_files>
25.     <rootkit_trojans>/var/ossec/etc/shared/rootkit_trojans.txt</rootkit_trojans>
26.   </rootcheck>
28.   <localfile>
29.     <log_format>syslog</log_format>
30.     <location>/var/log/auth.log</location>
31.   </localfile>
33.   <localfile>
34.     <log_format>syslog</log_format>
35.     <location>/var/log/syslog</location>
36.   </localfile>
38.   <alerts>
39.     <log_alert_level>1</log_alert_level>
40.     <email_alert_level>7</email_alert_level>
41.   </alerts>
43.   <command>
44.     <name>host-deny</name>
45.     <executable>host-deny.sh</executable>
46.     <expect>srcip</expect>
47.     <timeout_allowed>yes</timeout_allowed>
48.   </command>
50.   <active-response>
51.     <command>host-deny</command>
52.     <location>local</location>
53.     <level>6</level>
54.     <timeout>600</timeout>
55.   </active-response>
56. </ossec_config>
57. EOF
59. # 启动OSSEC
60. /var/ossec/bin/ossec-control start

复制代码

高级防护策略

安全审计和日志分析

配置rsyslog以集中管理日志：

2. # 安装rsyslog
3. emerge app-admin/rsyslog
5. # 配置rsyslog
6. cat > /etc/rsyslog.conf << 'EOF'
7. $ModLoad imuxsock
8. $ModLoad imklog
10. $ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat
12. $FileOwner root
13. $FileGroup adm
14. $FileCreateMode 0640
15. $DirCreateMode 0755
16. $Umask 0022
18. $WorkDirectory /var/spool/rsyslog
20. *.info;mail.none;authpriv.none;cron.none                /var/log/messages
21. authpriv.*                                              /var/log/secure
22. mail.*                                                  -/var/log/maillog
23. cron.*                                                  /var/log/cron
24. *.emerg                                                 :omusrmsg:*
25. uucp,news.crit                                          /var/log/spooler
26. local7.*                                                /var/log/boot.log
28. $template RemoteLogs,"/var/log/remote/%HOSTNAME%/%PROGRAMNAME%.log"
29. *.* ?RemoteLogs
30. & ~
31. EOF
33. # 启动rsyslog
34. rc-service rsyslog start
36. # 设置开机启动
37. rc-update add rsyslog default

复制代码

Logwatch是一个日志分析工具：

2. # 安装Logwatch
3. emerge app-admin/logwatch
5. # 配置Logwatch
6. cat > /etc/logwatch/conf/logwatch.conf << 'EOF'
7. LogDir = /var/log
8. TmpDir = /tmp
9. MailTo = admin@example.com
10. MailFrom = logwatch@example.com
11. Range = yesterday
12. Detail = High
13. Service = All
14. EOF
16. # 设置每日报告
17. echo "0 0 * * * /usr/sbin/logwatch" >> /etc/crontab

复制代码

入侵防御系统

PSAD（Port Scan Attack Detector）是一个入侵防御系统：

2. # 安装PSAD
3. emerge net-analyzer/psad
5. # 配置PSAD
6. cat > /etc/psad/psad.conf << 'EOF'
7. EMAIL_ADDRESSES admin@example.com;
8. HOSTNAME gentoo-server;
9. ENABLE_AUTO_IDS Y;
10. AUTO_IDS_DANGER_LEVEL 5;
11. ENABLE_PERSISTENCE Y;
12. SCAN_TIMEOUT 3600;
13. ENABLE_SYSLOG_FILE Y;
14. IPTABLES_BLOCK_METHOD Y;
15. EMAIL_ALERT_DANGER_LEVEL 1;
16. EOF
18. # 配置iptables以与PSAD配合使用
19. iptables -A INPUT -j LOG --log-prefix "iptables input: "
20. iptables -A FORWARD -j LOG --log-prefix "iptables forward: "
22. # 启动PSAD
23. rc-service psad start
25. # 设置开机启动
26. rc-update add psad default

复制代码

ClamAV是一个开源的防病毒引擎：

2. # 安装ClamAV
3. emerge app-antivirus/clamav
5. # 配置ClamAV
6. cat > /etc/clamav/freshclam.conf << 'EOF'
7. DatabaseOwner clamav
8. UpdateLogFile /var/log/clamav/freshclam.log
9. LogVerbose true
10. DatabaseDirectory /var/lib/clamav
11. Foreground false
12. DNSDatabaseInfo current.cvd.clamav.net
13. DatabaseMirror db.local.clamav.net
14. DatabaseMirror database.clamav.net
15. EOF
17. cat > /etc/clamav/clamd.conf << 'EOF'
18. LogFile /var/log/clamav/clamd.log
19. LogTime true
20. LogVerbose true
21. PidFile /run/clamav/clamd.pid
22. DatabaseDirectory /var/lib/clamav
23. LocalSocket /run/clamav/clamd.sock
24. FixStaleSocket true
25. MaxConnectionQueueLength 30
26. MaxThreads 20
27. ReadTimeout 300
28. User clamav
29. ScanPE true
30. ScanELF true
31. DetectBrokenExecutables true
32. ScanMail true
33. ScanArchive true
34. ArchiveBlockEncrypted false
35. MaxDirectoryRecursion 15
36. FollowDirectorySymlinks false
37. FollowFileSymlinks false
38. EOF
40. # 更新病毒数据库
41. freshclam
43. # 启动ClamAV
44. rc-service clamd start
46. # 设置开机启动
47. rc-update add clamd default

复制代码

安全更新和补丁管理

配置自动安全更新：

2. # 安装layman以管理overlay
3. emerge app-portage/layman
5. # 初始化layman
6. layman -L
8. # 添加guru overlay（包含一些安全工具）
9. layman -a guru
11. # 创建自动更新脚本
12. cat > /usr/local/bin/security-updates << 'EOF'
13. #!/bin/bash
15. # 同步Portage树
16. emerge --sync --quiet
18. # 检查安全公告
19. glsa-check -t all
21. # 应用安全更新
22. emerge -auvDN @world --quiet-build
24. # 检查并重建必要的包
25. revdep-rebuild
27. # 清理旧版本的包
28. eclean-dist
29. EOF
31. # 使脚本可执行
32. chmod +x /usr/local/bin/security-updates
34. # 设置每周运行一次
35. echo "0 0 * * 0 /usr/local/bin/security-updates" >> /etc/crontab

复制代码

Gentoo Linux安全公告（GLSA）提供了关于安全漏洞的信息：

2. # 列出所有影响系统的GLSA
3. glsa-check -t all
5. # 检查特定GLSA
6. glsa-check -i 202001-01
8. # 应用所有GLSA修复
9. glsa-check -f all

复制代码

安全最佳实践

定期安全检查

使用Lynis进行系统安全扫描：

2. # 安装Lynis
3. emerge app-admin/lynis
5. # 运行系统扫描
6. lynis audit system
8. # 查看报告
9. cat /var/log/lynis-report.dat

复制代码

定期检查开放端口：

2. # 安装nmap
3. emerge net-analyzer/nmap
5. # 扫描本地开放端口
6. nmap -sT -O localhost
8. # 扫描特定端口范围
9. nmap -p 1-1000 localhost

复制代码

备份和恢复策略

rsnapshot是一个基于rsync的备份工具：

2. # 安装rsnapshot
3. emerge app-backup/rsnapshot
5. # 配置rsnapshot
6. cat > /etc/rsnapshot.conf << 'EOF'
7. config_version        1.2
8. snapshot_root        /var/cache/rsnapshot/
9. cmd_cp                /bin/cp
10. cmd_rm                /bin/rm
11. cmd_rsync        /usr/bin/rsync
12. cmd_ssh        /usr/bin/ssh
13. cmd_logger        /usr/bin/logger
14. cmd_du                /usr/bin/du
15. retain                hourly        6
16. retain                daily        7
17. retain                weekly        4
18. retain                monthly        3
19. verbose                2
20. loglevel        3
21. lockfile        /var/run/rsnapshot.pid
23. backup        /etc/                localhost/
24. backup        /home/                localhost/
25. backup        /usr/local/        localhost/
26. backup        /var/spool/cron/        localhost/
27. EOF
29. # 测试配置
30. rsnapshot configtest
32. # 执行第一次备份
33. rsnapshot hourly
35. # 设置定时任务
36. echo "0 */4 * * * /usr/bin/rsnapshot hourly" >> /etc/crontab
37. echo "30 3 * * * /usr/bin/rsnapshot daily" >> /etc/crontab
38. echo "0 3 * * 1 /usr/bin/rsnapshot weekly" >> /etc/crontab
39. echo "30 2 1 * * /usr/bin/rsnapshot monthly" >> /etc/crontab

复制代码

BorgBackup是一个去重备份程序：

2. # 安装BorgBackup
3. emerge app-backup/borgbackup
5. # 初始化备份仓库
6. borg init --encryption=repokey /path/to/backup/repo
8. # 创建备份脚本
9. cat > /usr/local/bin/borg-backup << 'EOF'
10. #!/bin/bash
12. # 设置变量
13. REPO="/path/to/backup/repo"
14. export BORG_PASSPHRASE="your-passphrase"
16. # 创建备份
17. borg create --verbose --stats --compression lz4 \
18.     $REPO::'{hostname}-{now:%Y-%m-%d_%H:%M:%S}' \
19.     /etc \
20.     /home \
21.     /usr/local \
22.     /var/spool/cron
24. # 清理旧备份
25. borg prune --verbose --list $REPO \
26.     --keep-within=7d \
27.     --keep-weekly=4 \
28.     --keep-monthly=6
30. # 检查备份完整性
31. borg check $REPO
32. EOF
34. # 使脚本可执行
35. chmod +x /usr/local/bin/borg-backup
37. # 设置每日备份
38. echo "0 2 * * * /usr/local/bin/borg-backup" >> /etc/crontab

复制代码

安全事件响应

创建一个安全事件响应计划：

2. # 创建事件响应文档
3. cat > /etc/security/incident-response-plan.md << 'EOF'
4. # 安全事件响应计划
6. ## 1. 事件分类
8. ### 1.1 低风险事件
9. - 单次失败的登录尝试
10. - 端口扫描
11. - 非关键系统的异常活动
13. ### 1.2 中风险事件
14. - 多次失败的登录尝试
15. - 成功的非授权访问尝试
16. - 恶意软件检测
18. ### 1.3 高风险事件
19. - 系统入侵
20. - 数据泄露
21. - 拒绝服务攻击
23. ## 2. 响应流程
25. ### 2.1 检测
26. - 监控系统日志
27. - 使用入侵检测系统
28. - 定期安全扫描
30. ### 2.2 评估
31. - 确定事件类型和严重性
32. - 评估潜在影响
33. - 确定响应策略
35. ### 2.3 遏制
36. - 隔离受影响的系统
37. - 阻止恶意IP
38. - 禁用受损账户
40. ### 2.4 根除
41. - 移除恶意软件
42. - 修复漏洞
43. - 恢复系统
45. ### 2.5 恢复
46. - 从备份恢复数据
47. - 验证系统完整性
48. - 恢复正常操作
50. ### 2.6 总结
51. - 记录事件详情
52. - 分析根本原因
53. - 更新安全策略
54. EOF

复制代码

准备一个应急响应工具包：

2. # 创建应急响应目录
3. mkdir -p /opt/ir-tools
5. # 安装必要的工具
6. emerge app-admin/sleuthkit
7. emerge net-analyzer/wireshark
8. emerge app-forensics/volatility
10. # 创建应急响应脚本
11. cat > /opt/ir-tools/ir-response.sh << 'EOF'
12. #!/bin/bash
14. # 应急响应脚本
15. # 使用方法: ./ir-response.sh <output_directory>
17. OUTPUT_DIR=$1
18. DATE=$(date +%Y%m%d-%H%M%S)
19. CASE_DIR="$OUTPUT_DIR/case-$DATE"
21. # 创建案例目录
22. mkdir -p $CASE_DIR
24. # 记录系统信息
25. echo "收集系统信息..."
26. uname -a > $CASE_DIR/system-info.txt
27. date > $CASE_DIR/timestamp.txt
28. uptime > $CASE_DIR/uptime.txt
29. last > $CASE_DIR/last-logins.txt
30. w > $CASE_DIR/current-users.txt
32. # 收集网络信息
33. echo "收集网络信息..."
34. netstat -tulnp > $CASE_DIR/netstat-tulnp.txt
35. netstat -an > $CASE_DIR/netstat-an.txt
36. ss -tulnp > $CASE_DIR/ss-tulnp.txt
37. ip a > $CASE_DIR/ip-a.txt
38. ip route > $CASE_DIR/ip-route.txt
40. # 收集进程信息
41. echo "收集进程信息..."
42. ps auxf > $CASE_DIR/ps-auxf.txt
43. top -b -n 1 > $CASE_DIR/top.txt
44. lsof > $CASE_DIR/lsof.txt
46. # 收集已安装的软件包
47. echo "收集已安装的软件包..."
48. qlist -I > $CASE_DIR/installed-packages.txt
50. # 收集关键配置文件
51. echo "收集关键配置文件..."
52. cp -r /etc $CASE_DIR/etc-backup
54. # 收集日志文件
55. echo "收集日志文件..."
56. cp -r /var/log $CASE_DIR/logs
58. # 创建文件系统快照
59. echo "创建文件系统快照..."
60. find / -type f -exec md5sum {} \; > $CASE_DIR/filesystem-md5.txt
62. # 检查异常文件
63. echo "检查异常文件..."
64. find / -name "*.sh" -o -name "*.py" -o -name "*.pl" | grep -v "/usr\|/opt\|/bin\|/sbin" > $CASE_DIR/suspicious-scripts.txt
66. echo "应急响应数据收集完成，保存在: $CASE_DIR"
67. EOF
69. # 使脚本可执行
70. chmod +x /opt/ir-tools/ir-response.sh

复制代码

结论

Gentoo Linux提供了强大的安全功能和灵活性，使其成为构建安全系统的理想选择。通过本教程中介绍的基础配置和高级防护策略，您可以显著提高Gentoo系统的安全性。

记住，安全是一个持续的过程，而不是一次性的任务。定期更新系统、监控安全日志、进行安全审计和及时响应安全事件是维护系统安全的关键。

最后，请记住没有绝对安全的系统。安全的目标是提高攻击者的成本，降低风险，并在安全事件发生时能够快速有效地响应。通过实施本教程中的策略，您将能够构建一个强大、安全的Gentoo Linux系统。