导语：Linux 服务器安全加固不是“装几个安全工具”就结束的事，而是一套持续降低风险、减少暴露面、保留审计证据的日常工程。🔐 无论是个人 VPS、企业业务主机，还是云上容器节点，都建议先建立一套可复用、可回滚、可检查的基线。
一、先明确目标：不是绝对安全，而是可控
很多服务器出问题，并不是遇到了多么高级的攻击，而是 SSH 暴露、弱口令、端口过多、补丁滞后、日志缺失这类基础问题长期存在。我的经验是，加固前先问三个问题：这台机器提供什么服务？哪些人需要登录？哪些端口必须对外？只有把边界想清楚，后续配置才不会变成“越改越乱”。
可以参考 CIS Benchmarks 的思路，把系统加固拆成账户权限、网络服务、日志审计、文件权限、补丁管理等模块。CIS 官方将其定义为面向多类技术产品的安全配置建议，可作为基线参考，而不是照抄后直接上线 [1]。
二、SSH 是第一道门，先把入口收紧 🚪
大多数 Linux 服务器都依赖 SSH 远程管理，所以第一步应当优先加固 SSH。建议禁用 root 直接登录，改用普通账号登录后再通过 sudo 提权；能使用密钥登录的场景，尽量关闭密码认证；同时限制允许登录的用户或用户组，避免“系统里有账号就能试”。OpenSSH 的 sshd_config 手册说明，sshd 会读取 /etc/ssh/sshd_config 中的关键字配置，PermitRootLogin、PasswordAuthentication、AllowGroups 等都属于常见控制项 [2]。
经验提示：修改 SSH 配置前，不要关闭当前会话；先执行 sshd -t 检查语法，再重启 ssh 或 sshd 服务。有云厂商控制台、VNC 或串口访问时，再做高风险变更更稳妥。
三、端口管理：默认拒绝，只放必要服务 🔥
服务器开放的端口越多，被扫描和误配置利用的概率就越高。我的习惯是先用 ss -tulnp 或类似命令确认监听服务，再配置防火墙策略：入站默认拒绝，只允许业务端口、管理端口和监控端口；数据库、缓存、消息队列等内部组件，优先绑定内网地址或仅允许固定来源访问。
在 Ubuntu/Debian 上可以用 UFW，在 RHEL/CentOS/Rocky 系列上常见的是 firewalld，也可以直接使用 nftables。工具选择不是重点，重点是规则要能解释、能复盘、能自动化重建。Red Hat 的安全加固文档也强调通过系统化的流程和工具来减少本地及远程入侵、利用和恶意活动风险 [3]。
四、账户与权限：少即是安全
账户管理要坚持最小权限原则。不要多人共用 root，不要随手给普通用户 ALL 权限，不要保留离职人员、临时测试账号和长期不用的服务账号。建议定期检查 /etc/passwd 中可登录 shell 的账号，锁定不用的账号，并通过 sudoers 文件或 /etc/sudoers.d/ 为不同角色分配必要命令。
- 管理员登录使用个人账号，便于日志追踪。
- 服务运行使用专用低权限账号，不使用 root 直接跑业务。
- sudo 配置用 visudo 校验，避免语法错误导致无法提权。
- 密钥定期盘点，删除未知来源和过期公钥。
五、补丁与服务：少装、常更、可回滚 🛠️
安全更新是加固中最容易被忽视但收益很高的一环。Ubuntu Server 文档说明，unattended-upgrades 可自动应用安全更新，并通过 /etc/apt/apt.conf.d/20auto-upgrades 控制是否启用及执行频率 [4]。生产环境不一定要所有更新全自动，但至少应有固定巡检、测试和发布窗口，内核更新后还要确认是否需要重启。
同时，服务越少越好。没有用到的 FTP、Telnet、旧版 RPC、测试 Web 服务、默认示例程序，都应卸载或禁用。加固不是把所有安全组件都装上，而是让系统只运行它真正需要的东西。
六、日志、审计与告警：出事后要看得见
只做加固不做审计，就像装了门锁却没有门禁记录。建议保留 SSH 登录、sudo 提权、系统服务变更、关键配置文件修改等日志，并把重要日志转发到独立日志平台，避免攻击者拿到本机权限后清理痕迹。Red Hat 文档说明，Linux Audit 系统可根据预配置规则记录安全相关事件，例如认证机制使用、/etc/passwd 等可信数据库变化、审计配置修改等 [5]。
如果规模不大，也可以从简单方案开始：开启系统日志轮转，关注 auth.log 或 secure，配置 fail2ban 限制暴力尝试，再逐步接入集中化日志和告警。关键是不要等到故障发生后才发现“原来没有日志”。
七、加固要有清单，也要有回滚
真正可落地的安全加固，必须能重复执行。建议把每次修改记录成清单：改了哪个文件、为什么改、如何验证、如何回滚。上线前先备份配置文件，云主机可以做快照，虚拟机可以做检查点。对于多台服务器，尽量使用 Ansible、SaltStack 或镜像模板统一基线，避免每台机器靠手工记忆。
总结：把安全做成习惯，而不是临时运动 ✅
Linux 服务器安全加固的核心，不是追求一次性“满分”，而是持续减少暴露面、控制权限、及时更新、保留证据、定期复查。我的建议是先从 SSH、防火墙、账户、补丁、日志这五件事做起，再根据业务重要性引入 SELinux/AppArmor、文件完整性校验、漏洞扫描和合规基线。能长期坚持的安全措施，才是真正有效的安全措施。
