Linux系统基础安全加固必须在交付前完成，涵盖系统更新、独立运维账号、SSH强制收紧、密码策略四层防线，适配Ubuntu/Debian/RHEL等主流发行版。
Linux 系统基础安全加固不是上线后“补漏”，而是交付前必须完成的强制动作。默认配置面向易用，而非防御——只要服务器连入公网，每分钟都在被扫描、爆破、试探。以下清单聚焦可立即落地的核心项，覆盖更新、账户、SSH、权限四层防线，所有操作均适配主流发行版（Ubuntu 20.04+/Debian 11+、RHEL 8+/Rocky/Alma 9）。
系统更新与漏洞收敛
未修复的已知漏洞是攻击者最常利用的入口。内核、OpenSSH、systemd、openssl 等组件一旦存在高危 CVE，远程执行或提权风险极高。
- 运行完整升级（含内核）：
Ubuntu/Debian：sudo apt update && sudo apt -y full-upgrade && sudo apt -y autoremove
RHEL/Rocky/Alma：sudo dnf -y update && sudo dnf -y autoremove - 重启后验证内核版本：
uname -r，确认已升至最新稳定版（如 Ubuntu 22.04 应 ≥ 6.8.x，RHEL 9 应 ≥ 5.14.0-503） - 生产环境建议使用内部镜像源，并记录变更窗口；避免在业务高峰期执行 reboot
独立运维账号与 root 锁定
共用 root 或长期不换密码，等于放弃审计与追责能力。等保和金融类合规检查中，“多人共享 root”直接判定为高风险项。
Linux Security Scanner
下载
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
- 新建专属账号（示例名
opsadmin）：sudo useradd -m -s /bin/bash opsadminsudo passwd opsadmin - 加入提权组：
Ubuntu/Debian：sudo usermod -aG sudo opsadmin
RHEL/Rocky/Alma：sudo usermod -aG wheel opsadmin - 确认可用后，再锁定 root：
sudo passwd -l root
⚠️ 前提：已验证sudo -i可正常提权，且控制台（如云平台 VNC）通道畅通
SSH 入口强制收紧
SSH 是 90% 以上入侵的第一跳板。改端口仅防脚本小子，真正防护靠协议层与认证层限制。
- 备份并编辑配置：
sudo cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F)sudo nano /etc/ssh/sshd_config.d/99-hardening.conf（推荐用 drop-in 方式，避免污染主配置） - 写入关键项：
PermitRootLogin noPasswordAuthentication noPubkeyAuthentication yesMaxAuthTries 3ClientAliveInterval 300ClientAliveCountMax 2AllowUsers opsadmin - 重启服务前验证语法：
sudo sshd -t（无输出即通过）
再执行：sudo systemctl restart sshd - 本地先测试密钥登录成功，再关闭密码登录；若失败，可通过云平台控制台恢复
密码策略与账号生命周期管控
弱口令仍是高频突破口。即使禁用密码登录，也要为应急场景（如 recovery mode）设下底线。
- 设置最小长度与复杂度（需 PAM 模块支持）：
sudo sed -i '/pam_pwquality.so/s/$/ minlen=14 difok=5/' /etc/pam.d/common-password（Ubuntu/Debian）sudo sed -i '/pam_pwquality.so/s/$/ minlen=14 difok=5/' /etc/pam.d/system-auth（RHEL系） - 启用密码老化：
sudo chage -M 90 -W 7 -I 14 opsadmin（90天过期，提前7天提醒，过期后14天锁定） - 检查当前策略是否生效：
sudo chage -l opsadmin
