Linux 伺服器加固 - 抵禦現代威脅，保護你的伺服器
超越預設設定的專業 Linux 伺服器加固。我遵循 CIS 基準稽核並保護 SSH、防火牆、核心參數、強制存取控制與服務暴露。
Linux 伺服器加固把一個預設安裝轉變為一個安全、抗攻擊的系統。開箱即用的 Linux 設定把相容性置於安全之上，讓 SSH 保留密碼驗證、執行著不必要的服務以及寬鬆的防火牆規則。我的 Linux 伺服器加固服務依照 CIS 基準與業界最佳實踐稽核你的整個設定，然後實作那些在不破壞你應用的前提下縮小攻擊面的加固措施。
預設 Linux 設定並不安全
SSH 是你最大的攻擊面
預設 SSH 設定允許密碼驗證、root 登入，並在 22 連接埠監聽。自動化暴力破解機器人每天對這些預設設定敲擊數百萬次。沒有 SSH 加固，這只是時間問題。
執行著不必要的服務
預設 Linux 安裝會啟用你不需要的服務：Avahi、CUPS、NFS、rpcbind 等。每個執行中的服務都是一個攻擊面。如果不需要，它就不應該執行。
薄弱的存取控制
預設 sudoers 設定、共用的服務帳戶以及缺失的 SELinux/AppArmor 政策，讓取得初始存取的攻擊者輕而易舉地提升權限。
我的 Linux 伺服器加固涵蓋什麼
SSH 鎖定
僅金鑰驗證、停用 root 登入、IP 白名單、變更連接埠、連線速率限制與 fail2ban 設定。我首先關閉最受瞄準的攻擊向量。
防火牆架構
採用預設拒絕政策、速率限制與日誌記錄的恰當 iptables/nftables 規則。只有明確需要的連接埠才開放，在適用處帶有來源 IP 限制。
核心加固
用於網路堆疊保護的 sysctl 調校（SYN cookies、ICMP 限制、防止 IP 欺騙）、ASLR 強制以及核心傾印限制。
強制存取控制
設定 SELinux 或 AppArmor 以約束服務並限制一次入侵的影響半徑。即使攻擊者取得了對某個服務的存取，MAC 政策也會阻止橫向移動。
CIS 基準對齊
每一項加固措施都對應到針對 Ubuntu、Debian、RHEL 或 CentOS 的 CIS 基準控制項。你會得到能讓合規稽核人員滿意的文件。
稽核日誌與監控
針對檔案存取、權限提升與登入事件的 auditd 設定。logrotation 設定，以及關於面向 SIEM 整合的集中式日誌傳送的指導。
Linux 伺服器加固流程
基準評估
我稽核目前的伺服器設定：OS 版本、執行中的服務、開放連接埠、使用者帳戶、sudo 設定與已安裝的套件。
CIS 基準差距分析
自動與手動的 CIS 基準評分，辨識出每一處偏離安全基準之處，並附帶嚴重程度評級。
加固實作
我實作所有加固措施：SSH 鎖定、防火牆規則、停用服務、核心調校、檔案系統權限與 MAC 政策。
應用相容性測試
加固之後，我驗證你的所有應用與服務仍能正確執行。加固不應破壞生產工作負載。
文件與交接
對所做的每一項變更、設定檔以及一份用於持續安全的維護操作手冊的完整文件。
加固交付物
SSH 加固
sshd_config 鎖定、僅金鑰驗證、fail2ban 設定與連線速率限制。
防火牆規則
採用預設拒絕政策、有文件記錄的例外與速率限制的 iptables/nftables 規則集。
核心安全調校
針對網路堆疊、記憶體保護與檔案系統安全的 sysctl.conf 加固。
MAC 政策設定
為所有執行中的服務設定啟用強制模式的 SELinux 或 AppArmor 設定檔。
CIS 合規報告
加固前後的 CIS 基準評分，每一個控制項都有文件記錄。
維護操作手冊
持續維護流程：修補策略、日誌審查與設定漂移偵測。
關於 Linux 伺服器加固的常見問題
伺服器加固會破壞我的應用嗎？
不會。在最終確定之前，我會針對你執行中的應用測試所有變更。加固是漸進式套用的，每項變更都會驗證相容性。如果某項加固措施與合法的應用需求衝突，我會記錄該例外，並改為實作補償性控制。
你支援哪些 Linux 發行版？
我支援 Ubuntu Server、Debian、RHEL、CentOS Stream、Rocky Linux、AlmaLinux 與 Amazon Linux。CIS 基準適用於所有這些發行版，我會讓加固流程適配每個發行版的套件管理與服務管理系統。
你加固雲端伺服器（AWS、Azure、GCP）嗎？
加固。雲端執行個體需要在雲端安全群組與 IAM 政策之外進行作業系統層面的加固。我加固執行個體內部的 Linux 作業系統，並審查雲端層面的安全設定，以確保兩層協同運作。
Linux 伺服器加固需要多久？
單台伺服器通常需要 2 至 3 個工作天，包括評估、加固、測試與文件。設定相同的多台伺服器可借助自動化更快完成。服務眾多的複雜環境需要額外時間進行相容性測試。
我應該用 SELinux 還是 AppArmor？
SELinux 更強大，是基於 RHEL 的發行版上的預設選項。AppArmor 更易設定，是 Ubuntu/Debian 上的預設選項。我建議使用你的發行版自帶的那個並正確設定它，而非切換，除非你有特定的合規要求。
在下一次攻擊之前加固你的 Linux 伺服器
預設 Linux 設定是為便於設定而設計的，而非為了安全。你的伺服器每多一天未經加固執行，它們就暴露在自動化攻擊、暴力破解與權限提升之下。讓我把它們妥善鎖定。
取得聯繫