等保2.0合规实战：Linux服务器安全加固与审计配置指南

1. 项目概述：为什么需要一份“等保2.0”视角的Linux加固手册？

如果你是一名运维工程师、安全工程师，或者正在负责公司线上业务服务器的管理，那么“服务器安全”这四个字，大概率是你每天睁开眼就要面对的压力。各种安全扫描报告、漏洞预警、应急响应通知，总让人神经紧绷。尤其是在国内，当你的系统需要满足“等保2.0”（网络安全等级保护2.0）的合规要求时，这种压力会变得更加具体和迫切。等保测评不再是“可选项”，而是关乎业务能否合法合规运营的“必答题”。

这份手册，就是从这个“必答题”的实战角度出发，为你梳理的一份Linux服务器加固操作指南。它不是一个简单的命令罗列，而是结合了等保2.0测评中的关键控制点，将安全要求转化为具体的、可执行的配置步骤。等保2.0对操作系统层面的安全提出了明确要求，比如身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范等。这些要求听起来很“官方”，但落到Linux服务器上，就是一个个具体的配置文件、内核参数和守护进程。

为什么说这是“不二选择”？因为在实践中，很多团队的安全建设是零散的：今天补个漏洞，明天改个密码策略，缺乏体系化的梳理。等到等保测评前夕，往往需要投入大量人力进行突击整改，费时费力还可能遗漏关键项。这份手册的目的，就是帮你把日常的、必须做的安全加固工作系统化、标准化，让你无论是应对日常安全运维，还是准备等保测评，都能有一份清晰的“作战地图”。它不是要你照搬所有配置，而是理解每个配置背后的安全逻辑，从而能够根据自己业务的实际环境进行灵活调整和强化。

2. 等保2.0核心要求与Linux安全映射

等保2.0的技术要求部分（特别是安全通用要求）是服务器加固的纲领性文件。我们不需要逐条背诵，但必须理解其核心思想，并将其映射到Linux系统的具体能力上。这能确保我们的加固工作不是盲目的，而是有据可依、重点突出的。

2.1 身份鉴别与访问控制

这是等保的第一道防线，对应等保条款中的“身份鉴别”和“访问控制”大类。在Linux层面，这主要围绕“谁可以登录”和“登录后能做什么”展开。

• 身份鉴别：要求对登录用户进行身份标识和鉴别，且身份标识具有唯一性。这意味着我们需要：

  • 禁用空口令和弱口令：通过pam_pwquality或pam_cracklib模块强制密码复杂度策略。
  • 启用失败处理机制：连续多次登录失败后锁定账户，防止暴力破解。这通过pam_tally2或pam_faillock模块实现。
  • 启用登录超时自动退出：对于闲置的会话，应自动终止，防止他人趁虚而入。通过TMOUT环境变量或tmout配置实现。
  • 禁止root用户直接远程登录：这是黄金法则。强制所有管理员通过普通用户登录，再使用sudo提权。这极大地增加了攻击者获取最高权限的难度。

• 访问控制：依据安全策略控制用户对系统资源（文件、目录、设备、服务等）的访问。这意味着我们需要：

  • 遵循最小权限原则：用户和进程只应拥有完成其任务所必需的最小权限。这体现在文件权限（chmod）、目录权限、sudo权限细化等方面。
  • 及时清理无用账户：定期审计系统账户，删除或锁定已离职员工、测试用途的账户。
  • 控制特权命令的使用：通过精细配置/etc/sudoers文件，控制哪些用户可以以何种身份执行哪些命令，并可以强制记录日志。

2.2 安全审计与入侵防范

这是事中和事后追溯的关键，对应“安全审计”和“入侵防范”要求。Linux系统提供了强大的审计能力，但默认配置往往不够。

• 安全审计：要求对重要用户行为、重要安全事件进行审计，且审计记录受到保护避免被删除或修改。

  • 启用系统审计服务：如auditd。这是等保测评的重点检查项。我们需要配置审计规则，记录关键事件，如：用户登录注销、特权命令执行（sudo）、文件修改（如/etc/passwd,/etc/shadow）、系统调用等。
  • 集中化日志管理：本地日志易被篡改或清除。必须将系统日志（syslog）、审计日志（audit.log）、应用日志实时或定期发送到独立的日志服务器（如ELK Stack, Graylog），确保日志的完整性、可用性和保密性。

• 入侵防范：要求检测和防止来自外部的攻击，例如端口扫描、强力攻击等。

  • 最小化开放服务：使用systemctl或chkconfig关闭所有非必需的系统服务（如telnet,rpcbind等）。
  • 配置主机防火墙：必须启用并正确配置iptables或firewalld。遵循“默认拒绝，按需开放”的原则。只允许业务必需的端口（如SSH的22端口，但建议修改）和源IP访问。
  • 防范网络攻击：通过调整内核网络参数，缓解SYN Flood、ICMP洪水等常见攻击。例如，调整net.ipv4.tcp_syncookies,net.ipv4.icmp_echo_ignore_broadcasts等。

2.3 剩余信息保护与恶意代码防范

这部分要求相对具体，但同样重要。

• 剩余信息保护：确保用户鉴别信息、文件、目录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。对于Linux服务器，这主要涉及交换分区（swap）和临时文件。可以通过配置系统在关闭时清理swap，或使用加密的swap分区来满足要求。
• 恶意代码防范：虽然Linux病毒相对较少，但挖矿木马、勒索软件、后门程序等恶意代码的威胁真实存在。等保要求安装防恶意代码软件。对于服务器，通常指安装主机入侵检测系统（HIDS）如OSSEC、Wazuh，或使用具备EDR功能的云主机安全产品。它们不仅能查杀恶意代码，还能进行文件完整性监控、 rootkit检测等。

理解了这些映射关系，我们的加固工作就有了清晰的靶心。接下来，我们将进入具体的实操环节。

3. 基础安全加固：构建坚固的“城墙”与“门禁”

这一部分是所有Linux服务器安全的地基，无论业务形态如何，都应优先完成。它就像为服务器修建坚固的城墙和严格的门禁系统。

3.1 账户、口令与登录安全

账户是攻击的首要目标，这里必须做到滴水不漏。

1. 密码策略强化：

   • 编辑PAM配置：修改/etc/security/pwquality.conf（或/etc/pam.d/system-auth等文件，取决于发行版）。

   # 查看当前系统使用的PAM密码模块配置文件 grep pam_pwquality.so /etc/pam.d/system-auth /etc/pam.d/password-auth # 通常配置在 /etc/security/pwquality.conf sudo vim /etc/security/pwquality.conf

   • 设置策略（以下为建议值，可根据等保要求调整）：

   minlen = 12 # 密码最小长度12位 dcredit = -1 # 至少包含1个数字 ucredit = -1 # 至少包含1个大写字母 lcredit = -1 # 至少包含1个小写字母 ocredit = -1 # 至少包含1个特殊字符 minclass = 3 # 至少包含上述4类字符中的3类 maxrepeat = 3 # 同一字符最多连续出现3次

   • 注意：修改后，仅对新密码或密码更改生效。需要强制所有用户下次登录时修改密码，可使用chage -d 0 username命令。

2. 登录失败处理与超时：

   • 配置失败锁定（以pam_faillock为例，现代系统常用）：

   # 1. 编辑PAM配置文件 sudo vim /etc/pam.d/system-auth sudo vim /etc/pam.d/password-auth # 在 `auth` 部分添加或修改如下行（通常在文件开头部分）： auth required pam_faillock.so preauth silent audit deny=5 unlock_time=600 auth [default=die] pam_faillock.so authfail audit deny=5 unlock_time=600 # 在 `account` 部分添加： account required pam_faillock.so

   • 参数解释：deny=5表示连续失败5次锁定；unlock_time=600表示锁定600秒（10分钟）。等保要求通常是“结束会话、限制非法登录次数和自动退出”。
   • 配置会话超时：编辑/etc/profile或/etc/bashrc，在末尾添加：

   export TMOUT=900 # 设置超时时间为900秒（15分钟） readonly TMOUT # 设置为只读，防止用户修改

   • 注意：TMOUT对交互式shell生效。对于已经登录的现有会话，需要重新登录或source配置文件后才能生效。

3. SSH服务安全配置： SSH是运维的生命线，也是攻击的主要入口，必须重点加固。编辑/etc/ssh/sshd_config。

   sudo vim /etc/ssh/sshd_config

   • 关键配置项：

   Port 2222 # 修改默认22端口，减少自动化扫描（修改后需防火墙放行新端口） PermitRootLogin no # 禁止root直接登录，等保强制要求！ PubkeyAuthentication yes # 启用密钥登录，比密码更安全 PasswordAuthentication no # 禁用密码登录（在部署好密钥后强烈建议关闭） PermitEmptyPasswords no # 禁止空密码 MaxAuthTries 3 # 最大认证尝试次数 ClientAliveInterval 300 # 客户端活跃检查间隔300秒 ClientAliveCountMax 2 # 客户端活跃检查最大次数，超时则断开（300*2=600秒无活动断开） AllowUsers your_admin_user # 仅允许特定用户登录（白名单机制，最安全） # 如果使用密钥，确保以下配置正确 AuthorizedKeysFile .ssh/authorized_keys

   • 实操心得：修改端口和禁用密码登录是两大最有效的防爆破手段。但在操作前，务必先在本地开启另一个SSH会话进行测试，或者确保密钥登录已配置成功且有效，否则可能导致自己也无法登录服务器！建议步骤：1) 配置密钥登录并测试成功；2) 禁用密码登录；3) 修改端口；4) 重启sshd并先用新端口测试；5) 最后配置防火墙。

3.2 权限管理与最小化原则

权限管理是内部安全的核心，目标是实现“纵深防御”。

1. sudo权限精细化：

   • 永远不要给普通用户无限制的sudo权限。使用visudo命令编辑/etc/sudoers，它是语法检查的安全方式。
   • 示例：允许deploy用户以root身份重启Nginx，且需要输入自己的密码，并记录日志。

   # 在 /etc/sudoers 文件中添加 deploy ALL=(root) /bin/systemctl restart nginx, /bin/systemctl reload nginx # 更精细的写法，可以指定免密码（NOPASSWD）或记录日志 Cmnd_Alias NGINX_CTL = /bin/systemctl restart nginx, /bin/systemctl reload nginx, /usr/bin/nano /etc/nginx/conf.d/*.conf deploy ALL=(root) NGINX_CTL

   • 注意：命令路径要写绝对路径，防止通过PATH环境变量进行劫持。visudo会在保存时检查语法，避免配置错误导致所有sudo权限失效。

2. 文件系统权限检查与修复：

   • 关键目录权限：定期检查系统关键目录的权限是否过于宽松。

   # 检查 /etc/passwd, /etc/shadow 等关键文件 ls -l /etc/passwd /etc/shadow /etc/group # 正确权限应为：-rw-r--r-- root root /etc/passwd; -rw-r----- root shadow /etc/shadow # 查找系统中所有SUID/SGID文件（这些文件执行时会以文件所有者/组的权限运行，风险较高） find / -type f \( -perm -4000 -o -perm -2000 \) -exec ls -l {} \; 2>/dev/null # 审查结果，移除非必需文件的SUID/SGID位，例如：sudo chmod u-s /path/to/file

   • 用户umask：设置默认的umask，控制新建文件和目录的默认权限。在/etc/profile中设置umask 027，可以使新建文件权限为640（所有者读写，所属组读，其他无），目录权限为750。

4. 高级安全与审计配置：安装“监控探头”与“入侵检测”

基础加固完成后，我们需要部署更主动的安全监控和防御措施，这对应等保的审计和入侵防范高级要求。

4.1 部署与配置Audit审计系统

auditd是Linux内核自带的审计框架，功能强大，是等保测评的检查重点。

1. 安装与启动：

   # CentOS/RHEL sudo yum install audit audit-libs sudo systemctl start auditd sudo systemctl enable auditd # Ubuntu/Debian sudo apt install auditd audispd-plugins sudo systemctl start auditd sudo systemctl enable auditd

2. 配置审计规则： 规则可以写在/etc/audit/rules.d/audit.rules或通过auditctl命令临时添加。建议在规则文件中配置，重启服务后依然有效。

   sudo vim /etc/audit/rules.d/audit.rules

   • 示例规则（涵盖等保常见要求）：

   # 监视用户身份变化（等保要求） -w /etc/passwd -p wa -k identity -w /etc/group -p wa -k identity -w /etc/shadow -p wa -k identity -w /etc/gshadow -p wa -k identity # 监视特权命令执行（sudo日志的补充） -a always,exit -F arch=b64 -S execve -F path=/bin/su -F key=privileged -a always,exit -F arch=b64 -S execve -F path=/usr/bin/sudo -F key=privileged # 监视系统管理操作（如挂载、开关机） -a always,exit -F arch=b64 -S mount -S umount2 -k mounts # 监视文件删除（防止日志被删） -a always,exit -F arch=b64 -S unlink -S unlinkat -S rename -S renameat -F key=delete # 监视网络配置变化 -w /etc/hosts -p wa -k network_modify -w /etc/sysconfig/network-scripts/ -p wa -k network_modify

   • 规则解释：-w监视文件路径；-p指定触发审计的操作（r读，w写，x执行，a属性变更）；-k为事件打上关键词标签，便于后续搜索；-a添加一条规则到列表。

3. 使用与查询：

   # 重启auditd使规则生效 sudo systemctl restart auditd # 查看当前生效的规则 sudo auditctl -l # 搜索审计日志（例如，查看所有与“identity”关键词相关的事件） sudo ausearch -k identity -i # 查看实时审计事件（类似tail -f） sudo aureport -i -ts today

   • 注意事项：审计日志会快速增长，必须配置日志轮转（/etc/audit/auditd.conf中的max_log_file和num_logs参数）和日志外发。将审计日志实时发送到远程日志服务器是最佳实践，可以使用audisp-remote插件。

4.2 主机防火墙与网络层加固

网络是攻击的主要向量，主机防火墙是最后的屏障。

1. 使用firewalld（推荐，易于管理）：

   # 确保firewalld运行 sudo systemctl start firewalld sudo systemctl enable firewalld # 设置默认区域为drop（默认拒绝所有流量） sudo firewall-cmd --set-default-zone=drop --permanent # 为SSH（假设端口已改为2222）和业务端口（例如Web服务的80/443）添加规则 sudo firewall-cmd --permanent --add-port=2222/tcp sudo firewall-cmd --permanent --add-service=http sudo firewall-cmd --permanent --add-service=https # 如果业务需要访问外部特定服务（如数据库），可以添加富规则（rich rule） sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.1.0/24" port port="3306" protocol="tcp" accept' # 重载配置使其生效 sudo firewall-cmd --reload # 查看当前生效的规则 sudo firewall-cmd --list-all

2. 内核网络参数优化（防攻击）： 编辑/etc/sysctl.conf，添加或修改以下参数，然后执行sysctl -p生效。

   sudo vim /etc/sysctl.conf

   # 忽略ICMP广播请求，防止Smurf攻击 net.ipv4.icmp_echo_ignore_broadcasts = 1 # 开启SYN Cookie，防范SYN Flood攻击 net.ipv4.tcp_syncookies = 1 # 减少系统在未收到客户端ACK时，重发SYN+ACK的次数 net.ipv4.tcp_synack_retries = 2 net.ipv4.tcp_syn_retries = 2 # 开启反向路径过滤，防止IP欺骗 net.ipv4.conf.all.rp_filter = 1 net.ipv4.conf.default.rp_filter = 1 # 不响应ICMP重定向报文 net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.default.accept_redirects = 0 # 不发送ICMP重定向报文 net.ipv4.conf.all.send_redirects = 0 # 开启恶意ICMP错误消息保护 net.ipv4.icmp_ignore_bogus_error_responses = 1 # 开启TCP时间戳，辅助防范序列号预测攻击 net.ipv4.tcp_timestamps = 1

   • 注意：这些参数需要根据服务器实际承载的业务和网络环境进行调整，某些参数（如tcp_tw_reuse）在特定场景下（如高并发短连接）可能需要开启，但需谨慎评估。

4.3 入侵检测与文件完整性监控

这是从被动防御转向主动威胁狩猎的关键一步。

1. 部署OSSEC HIDS： OSSEC是一款开源的主机入侵检测系统，功能涵盖日志分析、文件完整性检查、rootkit检测、主动响应等。

   • 安装（以CentOS为例）：

   # 添加EPEL仓库 sudo yum install epel-release # 安装OSSEC sudo yum install ossec-hids-server # 运行安装脚本，按照交互提示进行配置（选择安装类型为“server”或“local”，设置邮件通知等） sudo /var/ossec/bin/manage_agents

   • 关键配置：在/var/ossec/etc/ossec.conf中，可以定义需要监控的日志文件、进行完整性检查的目录（如/etc,/bin,/sbin）、设置告警等级和通知方式。
   • 文件完整性监控：这是等保“恶意代码防范”和“入侵防范”的有力工具。OSSEC会为受监控的文件创建哈希值基线，任何未授权的修改都会触发告警。

2. 定期安全扫描与补丁管理：

   • 使用lynis进行自动化安全审计：Lynis是一款轻量级的系统安全审计工具。

   # 下载并运行 curl -O https://downloads.cisofy.com/lynis/lynis-3.0.8.tar.gz tar xvf lynis-3.0.8.tar.gz cd lynis sudo ./lynis audit system

   • 结果解读：Lynis会输出详细的报告，包含警告（WARNING）、建议（SUGGESTION）和已通过检查（OK）的项目。报告会给出具体的加固建议，是查漏补缺的绝佳工具。
   • 补丁管理：建立严格的补丁更新流程。对于生产服务器，建议先在测试环境验证，再安排维护窗口进行更新。使用yum-security插件（RHEL/CentOS）或unattended-upgrades（Debian/Ubuntu）可以帮助筛选和安装安全更新。

5. 等保测评迎检要点与持续运维

配置完成后，如何证明你的服务器符合等保要求？如何持续保持安全状态？

5.1 测评前自查清单

在测评人员到来之前，你可以按照以下清单自行检查，确保关键项没有遗漏。

注意：此清单仅为通用要点，具体测评项需以等保2.0正式测评要求为准。测评时，测评人员可能会使用专用工具进行漏洞扫描和配置核查。

5.2 持续安全运维建议

安全加固不是一劳永逸的，而是一个持续的过程。

1. 配置基线化与自动化：将上述所有安全配置（sshd_config, audit.rules, sysctl.conf, firewall规则等）整理成Ansible Playbook、SaltStack State或Shell脚本。这样，在新服务器上线时，可以快速、一致地完成安全初始化。这也是等保“安全管理制度”中“配置管理”要求的体现。
2. 日志集中管理与分析：这是等保“安全审计”的硬性要求，也是安全事件追溯的基石。务必部署ELK（Elasticsearch, Logstash, Kibana）或类似平台，将系统日志、审计日志、应用日志、HIDS告警日志全部集中存储和分析。设置关键事件的实时告警（如多次登录失败、特权命令执行、核心文件被修改）。
3. 定期漏洞扫描与渗透测试：每季度或发生重大变更后，使用Nessus、OpenVAS等专业漏洞扫描工具对服务器进行扫描。每年至少进行一次由专业安全团队执行的渗透测试，从攻击者视角发现防御体系的盲点。
4. 变更管理与备份：任何对生产服务器的配置变更，都必须经过申请、审批、测试、记录的过程。在对安全配置进行重大修改前（如修改防火墙规则、更新PAM配置），务必先进行备份，并制定回滚方案。/etc目录的定期备份至关重要。
5. 安全培训与意识：再好的技术手段也抵不过人为失误。定期对运维、开发人员进行安全意识培训，强调密码安全、钓鱼邮件防范、代码安全等，是构建整体安全体系不可或缺的一环。

服务器安全是一场持久战，这份手册为你提供了攻防战场上的标准战术动作和防御工事蓝图。真正的安全，源于对细节的执着、对流程的遵守，以及持续不断的警惕和改进。从今天起，就选择其中的几项开始实践吧，每一步加固，都在为你守护的资产增加一份保障。