7、网络安全与Linux系统加固指南

网络安全与Linux系统加固指南

1. 主机安全意识

在网络安全领域，不能对主机安全抱有自满情绪。防火墙虽然重要，但它并非绝对安全的保障，唯一能绝对防止网络攻击的是切断网络电缆。因此，要尽可能细致地配置防火墙，同时不能因为有防火墙就忽视对DMZ服务器的加固。

对于公开可访问的服务器，如DMZ中的服务器，应假设没有防火墙的保护来进行加固。因为在DMZ环境中，任何主机都可能随时被攻破并用于攻击其他主机，所以“深度防御”至关重要。构建围绕重要数据和系统的多层保护，会让潜在攻击者的攻击变得更加耗时。

此外，应用程序安全不足可能使防火墙的努力付诸东流。例如，针对Web应用程序的HTTP“模糊测试”攻击，即使是最好的应用层代理防火墙也通常无法阻止，很多攻击只能通过在堡垒服务器上使用并正确配置优秀的软件来防御。

2. Linux系统加固的重要性

将堡垒（可通过互联网访问）主机隔离在DMZ网络中，由精心设计的防火墙和其他外部控制措施保护，具有巨大的价值。良好的堡垒服务器设计要求每台主机都应像没有防火墙一样进行加固。

堡垒主机允许防火墙访问的服务必须尽可能安全地配置，并及时更新安全补丁。但这还不够，还必须确保堡垒主机的操作系统配置安全，禁用不必要的服务，即尽可能地“堡垒化”或“加固”它。

如果不这样做，服务器只是位于防火墙后面，其安全性完全依赖于防火墙和自身应用程序的安全功能。而如果进行了加固，即使DMZ中的其他主机被攻破并用于攻击，服务器也能自我防御。

3. 操作系统加固原则

3.1 基本原则

Linux系统加固的原则可以概括为“未明确允许的即为