Linux 系统安全加固：从账号权限到纵深防御

0. 元信息

• 主题路径：docs/topics/linux-hardening/README.md
• 主分类：安全与可靠性
• 辅助分类：工程技术
• 适合对象：会用 Linux 命令行、会装包配 SSH、知道基础权限位（rwx）的运维/后端/安全工程师；目标是把一台公网暴露的 Linux 服务器按 CIS Benchmark 加固，并通过 OpenSCAP + Lynis 扫描 0 critical
• 建议周期：4～6 周（每周 8～10 小时，含 30%~40% 实验与扫描）
• 前置知识：linux-dev-env（包管理、systemd、journalctl、SSH 客户端）；network（TCP/UDP、防火墙基本概念、TLS）
• 最终目标：能对一台 Ubuntu 22.04 或 RHEL 9 服务器按 CIS Benchmark v2.0 完成加固并通过 OpenSCAP SCAP 1.3 + Lynis 双扫描 0 critical；能读懂 auditd 报告并定位异常；能在入侵事件中按 IR 流程取证与恢复

1. 学习路线

账号、认证与 PAM（密码策略、登录限制、sudoers）
  → SSH 加固（密钥、配置、ForceCommand、ChrootDirectory、MFA）
  → 文件系统权限（chmod/chown/ACL/attr、SUID/SGID/sticky、Linux capabilities）
  → 强制访问控制（SELinux CIL / AppArmor profile）
  → systemd 服务加固（PrivateDevices / ProtectHome / DynamicUser / sandboxing）
  → 防火墙（nftables / iptables / ufw / conntrack / TCP Wrappers）
  → 内核加固（sysctl、kernel lockdown、Secure Boot、模块禁用、kexec_load / SYS_PTRACE）
  → 审计与日志（auditd、journald、rsyslog、集中日志、HIDS）
  → 漏洞与合规（CIS Benchmark / DISA STIG / Lynis / OpenSCAP / Vuls）
  → 备份与恢复（restic / borgbackup / 异地多活 / 演练）
  → 综合项目：CIS 加固 + 双扫描 / 应急响应

按”纵深防御”顺序学：账号是第一道；权限/MAC 是第二道；网络/内核是第三道；审计/漏洞/备份是检测与响应层。每一道都要落配置、留证据、跑扫描。

2. 阶段周数分配（4~6 周）

4 周方案每天 10+ 小时；6 周方案每晚 1.5 小时可稳推进。建议 6 周：攻击面和合规点都多，赶工容易漏关键项。

3. 九阶段表

关键陷阱（每阶段都常见）：

• PAM 改了不重启 sshd / login；pam_pwquality 没装后端库；
• SSH 关了密码登录但没配置密钥，远程锁死；
• SUID 清理过度，把 passwd / su / sudo / ping 也清了；
• SELinux 从 enforcing 改 permissive 想”先放一放”，然后忘了改回；
• systemd 单元加了 ProtectSystem=strict 后服务写不了 /etc，报错查不到日志；
• 防火墙 INPUT 默认 DROP 但没放行已建连接（ct state established,related accept），自己 SSH 上去后失联；
• sysctl -w 改了但没写进 /etc/sysctl.d/，重启丢；
• auditd 规则写在命令行，重启后清空，必须 audit.rules 持久化；
• OpenSCAP profile 选错（直接选 standard 漏了 nist_800-53_high），扫描看似通过但漏关键项；
• 备份只本地一份，磁盘坏了就丢；备份密钥写在仓库里，泄露就裸奔。

4. 第一周任务

Day 1 约定：用一台 未暴露公网的虚拟机或云主机（Ubuntu 22.04 LTS 或 RHEL 9.2+ 选一）。系统装好后立刻做一次基线快照（VM 快照 / LVM snapshot / 镜像）。所有加固命令必须以普通用户登录后 sudo 执行；root 直登的服务器不适合当目标。统一记录工具版本：ss、nft、sysctl、auditctl、oscap、lynis --version。

Day 7 拆解

步骤 A —— 最小可用（60 分钟）

1. apt install auditd audispd-plugins / dnf install audit；
2. 启动 systemctl enable --now auditd；
3. 跑上面 4 条规则；
4. usermod test1 && ausearch -k passwd_changes，看到事件；
5. auditctl -l 看到当前规则。

步骤 B —— 持久化 + 边界（30~45 分钟）

1. 把规则写进 /etc/audit/rules.d/audit.rules；
2. augenrules --load 或重启 auditd 验证还在；
3. 测试 4 类异常：删 test1、改 /etc/passwd、跑 usermod、跑 passwd test1；每条 ausearch 都能命中对应 key。

5. 阶段通用验收

1. 能用 1 张表说出 CIS Benchmark L1 / L2 的核心类目；
2. 改完配置用 systemctl status / journalctl -u / auditd -l 看到证据；
3. 跑 lynis audit system 和 oscap xccdf eval，把报告存进 notes/；
4. 制造 1 个对照实验：关配置 → 攻击成功；开配置 → 攻击失败（SUID 提权、SSH 爆破、IP 转发）；
5. 至少 3 组自定义数据：故意输错密码、故意 SUID、故意开端口，贴出 sysctl/audit/防火墙的反馈；
6. 记录变更：每改一个文件记一条（who/when/what/why）；
7. 能修改已有加固清单（加 CIS Control 编号 4.x / 5.x 项），而不是只照搬。

6. 最终验收

• 独立完成：账号与 PAM、SSH 加固、文件系统权限、SELinux/AppArmor、systemd 单元 sandboxing、nftables/iptables、sysctl 内核加固、auditd 规则、Lynis + OpenSCAP 扫描、restic/borg 备份 + 一次恢复演练；
• 完成至少 30 条 CIS Ubuntu / RHEL Benchmark L1 检查（用 oscap 的 standard profile 自动覆盖），critical 命中 0；
• 完成 1 个综合项目：在一台被故意植入后门的服务器上排查入侵痕迹并完成应急响应 / 或者按 CIS 加固一台新机器通过双扫描 0 critical；
• 用 15 分钟讲清”账号 → 文件权限 → MAC → 网络 → 内核 → 审计 → 合规 → 备份”八层防御各堵哪类威胁。

7. 综合项目

首选：在一台 Ubuntu 22.04 LTS 上按 CIS Benchmark v2.0 L1 加固并通过 OpenSCAP + Lynis 双扫描 0 critical。

要求：

• 选一台干净的云主机/虚拟机，先 oscap + lynis 跑基线；
• 按 9 阶段顺序加固（账号→SSH→权限→MAC→systemd→防火墙→内核→审计→备份）；
• 每改一项就在 notes/changes.md 写 1 条：CIS Control 编号、修改点、命令、验证方式；
• 加固完跑 oscap xccdf eval --profile cis_level1_server /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml --results scan.xml --report scan.html；
• 跑 lynis audit system，看 hardening_index 提升幅度；
• 关键配置用 systemd 持久化（/etc/sysctl.d/99-hardening.conf、/etc/audit/rules.d/audit.rules、/etc/ssh/sshd_config.d/99-hardening.conf）；
• 备份 /etc、SSH host key、/var/log；写一份恢复演练报告。

备选：在一台被植入后门的服务器上完成应急响应。

证据收集：vmstat 进程、ps、netstat/ss、last/lastb、/var/log/auth.log、auditd 日志、文件时间戳（find / -mtime -3）。重点定位：可疑 cron、SUID 异常、陌生公钥、可疑 systemd 单元、iptables/nftables 是否被改。完成 incident-response.md：时间线 / IOC / 隔离决策 / 取证保留 / 恢复步骤 / 后续 hardening 清单。

任何综合项目都必须包含：

1. 需求与成功标准（含合规目标、扫描基线）；
2. 基线与目标差距表（gap analysis）；
3. 加固配置按层（账号 / SSH / 文件 / MAC / 网络 / 内核 / 审计 / 备份）；
4. 脚本化（scripts/harden.sh + scripts/verify.sh），幂等可重跑；
5. 正常 + 异常验证（关掉加固 → 攻击成功；打开 → 攻击失败）；
6. 报告：基线、目标、结果、剩余项、复盘；
7. README；
8. 复盘记录。

8. 推荐开源资料（按角色分工）

许可证提示：CIS Benchmarks 需注册免费账号下载；DISA STIG 公开。复制配置前确认许可证；读思路后自己写配置，不要直接复制 CIS 的脚本到生产。

默认使用顺序：man page → Arch Wiki / Red Hat Security Guide → CIS / DISA → 工具（oscap / lynis）→ 复盘到 notes/retrospective.md。

9. 学习资料汇聚（v0.3 自包含）

本节由本计划生成。链接指向原始材料或作者公开内容。标准会更新，实验记录必须写明版本和日期。

9.1 背景与动机

Linux 是互联网服务的底座。从 web server 到 K8s node，从数据库到边缘网关，绝大多数生产负载跑在 Linux 上。攻击者也最熟悉它——SSH 爆破、SUID 提权、内核漏洞、容器逃逸每年都更新一波。

Linux 加固不是装一个”安全软件”的事，而是纵深防御：账号是第一道门，文件系统权限是第二道，MAC 是第三道，网络是第四道，内核参数是第五道，审计与日志是检测层，漏洞与合规是验收层，备份是兜底层。任意一层被攻破，剩下几层能争取到响应时间。

行业位置：CIS Benchmarks、DISA STIG、PCI-DSS、HIPAA、FedRAMP 都把 Linux 加固列为基线。Linux 基金会、CIS、Red Hat、Canonical、SUSE 都在持续发布基线与指南。NIST SP 800-123 提供通用指引，SP 800-53 是控制项目录。

值得学的原因：它把”安全”从一个抽象名词变成可执行、可扫描、可验证的工程实践。学完不只是”知道”，是”机器能证明你知道”。

9.2 概念地图

flowchart TB
  Identity[账号与认证<br/>passwd / shadow / PAM / sudoers]
  SSH[SSH 加固<br/>sshd_config / 密钥 / ForceCommand / MFA]
  FS[文件系统权限<br/>chmod / chown / ACL / SUID / capabilities]
  MAC[强制访问控制<br/>SELinux / AppArmor]
  Sysd[systemd 单元加固<br/>PrivateDevices / ProtectHome / DynamicUser]
  FW[防火墙<br/>nftables / iptables / ufw / conntrack]
  Kernel[内核加固<br/>sysctl / lockdown / Secure Boot / modules]
  Audit[审计与日志<br/>auditd / journald / rsyslog / HIDS]
  Vuln[漏洞与合规<br/>CIS / STIG / OpenSCAP / Lynis / Vuls]
  Backup[备份与恢复<br/>restic / borgbackup / 异地多活]

  Identity --> SSH
  Identity --> FS
  FS --> MAC
  MAC --> Sysd
  Identity --> FW
  FW --> Kernel
  Audit --> Vuln
  Backup --> Audit
  Identity --> Audit
  FS --> Audit
  SSH --> Audit

核心关系：

• 身份 是最外层：决定谁能进来；
• 权限 + MAC 控制进来后能做什么；
• 网络 + 内核 控制能连到哪、能用什么能力；
• 审计 + 漏洞 + 备份 不阻止攻击，但能检测、定位、恢复。

9.3 基础知识讲解

9.3.1 经典论文 / 标准

9.3.2 经典书籍

备查：Tanenbaum《Modern Operating Systems》、Silberschatz《Operating System Concepts》（OS 概念层）；Crockford / OWASP 资料不直接相关，但应用层风险会下沉到 OS。

9.3.3 优秀博客 / 社区

9.3.4 核心人物

9.3.5 开发方法

必读 RFC / 标准补遗：RFC 4251~4254（SSH）、RFC 5246 / 8446（TLS，与 SSH/openssl 有关）、POSIX.1-2017（capabilities 设计来源）、SCAP 1.3（OpenSCAP 依赖）、CIS-CAT Lite（扫描器协议）。

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• CIS / DISA：合规基线，逐条编号（L1/L2 / CAT I-III）。
• NIST SP 800-53：控制项目录；Linux 加固是其中若干控制项的实现。
• SELinux CIL：策略语言，比传统 policy.conf 友好。
• AppArmor profile schema：AppArmor profile 语法与文件结构。
• systemd unit directives：每个 unit 字段是合同；不在 [Unit]/[Service]/[Install] 范围内的指令是无效的。
• Linux capabilities(7)：把 root 拆成几十个能力。
• auditd rules format：用 -w 文件或 -S 系统调用定义监控。
• SCAP / XCCDF / OVAL：扫描协议；OpenSCAP 是 Linux 主流实现。

9.6.3 Structure

• sshd_config 关键指令：PermitRootLogin PasswordAuthentication ChallengeResponseAuthentication KbdInteractiveAuthentication MaxAuthTries LoginGraceTime ClientAliveInterval ClientAliveCountMax AllowUsers AllowGroups Banner ChrootDirectory ForceCommand PermitOpen PermitTunnel X11Forwarding AllowAgentForwarding AllowTcpForwarding。
• PAM 关键模块：pam_pwquality pam_faillock pam_unix pam_limits pam_nologin pam_access。
• auditd 关键规则：auditctl -w <path> -p <r|w|x|a> -k <key>、-S <syscall> -F key=<key>。
• sysctl 关键字段：net.ipv4.ip_forward net.ipv4.conf.all.rp_filter net.ipv4.conf.all.accept_redirects net.ipv4.conf.all.send_redirects net.ipv4.conf.all.accept_source_route net.ipv4.icmp_echo_ignore_broadcasts net.ipv4.tcp_syncookies kernel.randomize_va_space kernel.kptr_restrict kernel.dmesg_restrict fs.protected_hardlinks fs.protected_symlinks。
• nftables 关键指令：add table inet filter add chain inet filter input { type filter hook input priority 0 ; policy drop ; } ct state established,related accept。
• SELinux 关键命令：getenforce setenforce semanage setsebool restorecon audit2allow audit2why。
• systemd sandboxing 关键指令：PrivateTmp PrivateDevices ProtectHome ProtectSystem NoNewPrivileges RestrictSUIDSGID RestrictNamespaces DynamicUser MemoryDenyWriteExecute LockPersonality RestrictAddressFamilies SystemCallFilter。

9.6.4 Ecosystem

• 合规扫描器：OpenSCAP、Lynis、Vuls、kube-bench（K8s）。
• 配置管理：Ansible、Salt、Chef、Puppet。
• 镜像基线：baked AMI / cloud-init / ignition / kickstart / preseed。
• 备份：restic、borgbackup、duplicity、rsnapshot、Bacula。
• 集中日志：rsyslog、syslog-ng、graylog、ELK、loki、splunk。
• HIDS：AIDE、Tripwire、OSSEC/Wazuh、Samhain。
• 漏洞库：NVD、Ubuntu USN、RHSA、Debian DSA、GHSA、Vulners。
• 事实标准 vs 标准本身：CIS 是事实标准，SP 800-53 是国家标准；systemd 是事实 init/服务管理器；auditd 是事实审计器。

9.6.5 Depth Tiers

本父主题目标：L3。综合项目可触及局部 L4（多机一致化）。

9.6.6 Source

• CIS 官方仓库：https://github.com/CISOfy
• DISA STIG 官方：https://public.cyber.mil/stigs/
• OpenSCAP / ComplianceAsCode：https://github.com/ComplianceAsCode/content
• kernel.org / sysctl：https://docs.kernel.org/admin-guide/sysctl/
• Red Hat Security Guide：https://docs.redhat.com/en/documentation/en-us/red_hat_enterprise_linux/9/html/security_hardening
• Ubuntu Security Guide：https://ubuntu.com/security
• AppArmor Wiki：https://gitlab.com/apparmor/apparmor/-/wikis/Documentation
• systemd man pages：https://www.freedesktop.org/software/systemd/man/systemd.html
• auditd / Linux Audit：https://github.com/linux-audit/audit-documentation
• 引用版本快照日期：2026-07-30。

10. 常见误区

• “装了 fail2ban 就算 SSH 加固” —— fail2ban 是补丁，主线在 sshd_config；
• “shadow 文件 600 也够” —— CIS 要求 000；属主必须是 root:root；
• “root 不能 SSH 是用户体验问题” —— 它是安全基线，绕过的代价远大于便利；
• “禁用密码登录后密钥丢了怎么办” —— 用 console / cloud serial console / 第二用户；提前演练；
• “SELinux 太复杂关掉” —— 关闭 SELinux 失去 MAC 层；可先 permissive 再 transition；
• “AppArmor 装上默认就好” —— 默认 profile 不覆盖你跑的服务；
• “systemd 加 NoNewPrivileges 就够” —— 沙箱要组合，单独一条不解决文件/网络隔离；
• “防火墙开了 ufw 就行” —— ufw 默认 forward 策略、IPv6、loopback 行为要逐一确认；
• “sysctl 改了不写文件” —— 重启丢失；必须 /etc/sysctl.d/*.conf；
• “auditd 装上能审计所有事” —— 规则是白名单，没规则不审计；
• “备份了硬盘 = 备份” —— 没演练 = 没备份；季度演练；
• “备份密钥和备份放一起” —— 一起丢；密钥单独保管（agepass / KMS）；
• “OpenSCAP scan 过 0 critical = 100% 安全” —— 扫描器只覆盖基线定义的项；不覆盖业务漏洞；
• “单点加固就够” —— 单点失效模型下纵深才是关键；
• “每月跑一次 oscap” —— 缺 CI 卡点；每次变更都应扫描；
• “lockdown 关掉因为装 module 麻烦” —— lockdown=integrity 是默认值；不轻易改 none；
• “capabilities 删了 ping 不能用” —— ping 需要 CAP_NET_RAW，不是所有 cap；
• “日志集中就不看本地” —— 本地 /var/log 仍要轮转和脱敏；
• “banner 设 ssh 默认 = 没设” —— banner 是法律提示（“未经授权禁止访问”），不是装饰。

11. 所有知识点分类（统一规则）

1. 编程语言
2. 数据结构与算法
3. 计算机基础
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力
9. 安全与可靠性

本计划归属：安全与可靠性 主 + 工程技术 辅。