服务器安全加固怎么做

# 1. 新建运维账户（以 opsadmin 为例）
useradd -m -s /bin/bash opsadmin
passwd opsadmin

# 2. 加入 wheel（CentOS/RHEL）或 sudo（Ubuntu/Debian）组
usermod -aG wheel opsadmin     # RHEL/CentOS/Rocky/Alma
# usermod -aG sudo opsadmin    # Ubuntu/Debian

# 3. 用 visudo 校验后写规则（visudo 会在保存时做语法检查，务必用它而不是 vi 直改）
visudo -c
cat > /etc/sudoers.d/opsadmin <<'EOF'
# 允许执行全部命令，但必须输入自己的密码
opsadmin ALL=(ALL) PASSWD: /usr/bin/systemctl, /usr/bin/journalctl, /bin/mount
# 仅授予重启指定服务的权限，且免密（适合自动化脚本账号）
deploy  ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart nginx, /usr/bin/systemctl reload nginx
EOF
chmod 0440 /etc/sudoers.d/opsadmin
visudo -c

# 检查哪些账户可以交互登录（shell 不是 nologin/false）
awk -F: '($3>=1000 && $7!~/nologin|false/) {print $1, $3, $7}' /etc/passwd

# 锁定长期不用的账户，禁止登录但保留文件属主
usermod -L olduser
usermod -s /sbin/nologin appuser

# 找出空密码账户，必须清零
awk -F: '($2 == "") {print "空密码账户:", $1}' /etc/shadow

# 口令复杂度：密码长度 ≥ 12 位，有效期 ≤ 90 天
cat > /etc/security/pwquality.conf.d/hardening.conf <<'EOF'
minlen = 12
dcredit = -1
ucredit = -1
ocredit = -1
lcredit = -1
maxrepeat = 3
EOF
chage --maxdays 90 opsadmin

# 第一步：看看现在到底监听了哪些端口、对应哪个进程
ss -lntup

# 第二步：关掉并禁用不需要的服务（以常见无关服务为例）
systemctl disable --now cups avahi-daemon rpcbind bluetooth

# 第三步：数据库、缓存中间件不要监听 0.0.0.0，改为内网地址或 127.0.0.1
# Redis 示例：/etc/redis/redis.conf
#   bind 127.0.0.1 10.0.0.12
#   protected-mode yes
#   requirepass <强密码>
sed -i 's/^bind .*/bind 127.0.0.1/' /etc/redis/redis.conf
systemctl restart redis

# 第四步：从外网验证收敛结果（用另一台机器扫描）
# nmap -Pn -sV your.server.ip

# /etc/sysctl.d/99-hardening.conf —— 一份可直接落地的内核加固参数
cat > /etc/sysctl.d/99-hardening.conf <<'EOF'
# 禁用 IP 源路由，防止绕过防火墙
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0
# 开启 SYN Cookie，缓解 SYN Flood
net.ipv4.tcp_syncookies = 1
# 忽略 ICMP 广播与伪造响应
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
# 不响应重定向报文，防止路由被篡改
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
# 开启反向路径过滤，防 IP 欺骗
net.ipv4.conf.all.rp_filter = 1
# 记录可疑报文（martian）
net.ipv4.conf.all.log_martians = 1
# 限制内核日志泄露（dmesg 权限）
kernel.dmesg_restrict = 1
# 开启 ASLR 与限制 core dump
kernel.randomize_va_space = 2
fs.suid_dumpable = 0
EOF
sysctl --system

# 扫描可疑的 SUID/SGID 程序，与系统初始清单比对
find / -xdev \( -perm -4000 -o -perm -2000 \) -type f 2>/dev/null | sort > /tmp/suid.now

# 检查全局可写且无 sticky 位的文件
find / -xdev -type f -perm -0002 ! -perm -1000 -print 2>/dev/null

# 收紧关键文件权限
chmod 600 /etc/shadow /etc/gshadow
chmod 644 /etc/passwd /etc/group
chmod 600 /etc/ssh/sshd_config
chown root:root /etc/crontab
chmod 600 /etc/crontab
chmod 700 /root

# 安装并启用 auditd（Ubuntu 24.04 / RHEL 9 通用）
apt install -y auditd audispd-plugins    # Debian 系
# dnf install -y audit audispd-plugins   # RHEL 系
systemctl enable --now auditd

# 写入关键审计规则
cat > /etc/audit/rules.d/hardening.rules <<'EOF'
# 监控账户与权限相关文件的写入，-p wa 表示写与属性变更
-w /etc/passwd -p wa -k identity
-w /etc/shadow -p wa -k identity
-w /etc/sudoers -p wa -k sudoers_action
-w /etc/sudoers.d/ -p wa -k sudoers_action
-w /etc/ssh/sshd_config -p wa -k sshd_config
# 监控命令执行（64 位系统调用表）
-a always,exit -F arch=b64 -S execve -k cmd_exec
# 规则文件设为不可变，防被攻击者删除（需重启生效，慎用）
-e 2
EOF
augenrules --load
auditctl -l | head -20

# Ubuntu/Debian：开启无人值守安全更新
apt install -y unattended-upgrades
dpkg-reconfigure -f noninteractive unattended-upgrades
cat /etc/apt/apt.conf.d/20auto-upgrades

# RHEL 系：只装安全补丁
dnf install -y dnf-automatic
systemctl enable --now dnf-automatic-install.timer

# 用 Lynis 做基线扫描（截至 2026 年主流版本为 3.x）
apt install -y lynis
lynis audit system --quick
# 报告位于 /var/log/lynis-report.dat，建议在 /tmp 保留历史版本做对比