服务器防篡改加固需分层设防：限制权限（禁root直登、chattr+i关键目录）、文件完整性监控（AIDE/Tripwire）、启动链与运行时保护（Secure Boot、lockdown内核参数）、可信恢复与审计闭环（GPG备份、auditd日志）。
服务器系统防篡改加固，核心是让关键文件、配置和运行状态难以被非法修改，同时能及时发现异常变动。不是靠单一手段，而是分层设防：限制权限、监控变化、固化可信基线、快速响应。
限制修改权限，从源头卡住
多数篡改源于高权限账户被滥用或提权成功。必须严格遵循最小权限原则：
- 禁用 root 直接登录，改用普通用户 + sudo（且 sudo 权限按需授权，不用 ALL）
- 关键目录如 /etc、/bin、/sbin、/usr/bin 设置为不可写（chattr +i），仅在维护时临时解除
- Web 应用目录（如 /var/www）所有者设为非运行用户（如 www-data），并移除组和其他用户的写权限（chmod 755 或更严）
- 定期检查 sudoers 文件、SSH authorized_keys、cron 任务，清除未知条目
启用文件完整性监控（FIM）
光靠权限不够，得知道“谁动了什么”。用工具持续比对文件哈希与可信基线：
宝塔Linux面板11.3.0
下载
宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。
- AIDE 或 Tripwire 是主流选择，首次初始化后生成签名数据库，存到只读介质或远程服务器
- 配置监控范围：重点覆盖 /etc/passwd、/etc/shadow、systemd 服务、启动脚本、Web 核心文件等
- 设置定时校验（如每天凌晨）+ 异常邮件告警，校验失败立即触发人工核查
- 注意：监控进程自身（如 aide binary）也需加 chattr +i，防止被替换
固化启动链与运行时保护
攻击者可能绕过文件层，在内核或启动阶段植入后门：
- 启用 UEFI Secure Boot（物理服务器或云平台支持时），阻止未签名内核/驱动加载
- 内核参数添加 lockdown=confidential（或 integrity），禁止运行时模块插入和 kprobe 修改
- 用 systemd 的 ProtectSystem=strict、ProtectHome=yes 等单元选项限制服务访问范围
- 部署 eBPF 工具（如 Tracee）监控 execve、openat、write 等敏感系统调用，识别异常行为模式
建立可信恢复与审计闭环
防不住也要能快速回退和溯源：
- 定期自动备份 /etc、/boot、关键配置目录，备份文件用 GPG 签名并离线存储
- 所有登录、sudo、文件变更操作强制写入独立日志（如 /var/log/audit/），启用 auditd 并配置规则监控 key syscalls
- 日志同步到远程 SIEM 或专用日志服务器，避免本地日志被清空
- 制定明确的应急流程：一旦检测到篡改，先隔离主机、取证、比对基线、恢复可信镜像或配置
防篡改不是一劳永逸，而是持续验证权限、监控偏差、收紧启动链、保留可追溯证据的过程。不复杂但容易忽略细节。
