Linux安全加固脚本的核心编写思路
Linux安全加固脚本本质是通过Shell命令批量修改系统配置、管控资源权限，减少系统被攻击的风险点。编写时需要先梳理需要加固的核心模块，再逐个实现对应的功能逻辑，最后做好执行前的校验和执行后的结果输出。
核心加固模块梳理
常见的Linux安全加固需要覆盖以下核心模块：
- 账号权限管理：禁用不必要账号、设置密码复杂度、限制root远程登录
- 系统服务优化：关闭无用服务、禁用危险服务端口
- 文件系统权限：修改敏感文件权限、设置umask默认值
- 防火墙与网络配置：配置iptables或firewalld规则、关闭ICMP重定向
- 日志与审计：开启系统审计服务、配置日志保留策略
基础加固脚本示例
以下是一个适配CentOS系统的通用安全加固脚本示例，包含上述核心模块的基础实现：
#!/bin/bash
# Linux安全加固脚本，适配CentOS 7及以上版本
# 执行前请确认当前用户为root
# 输出分隔符
echo "===== 开始执行Linux安全加固 ====="
# 1. 账号权限加固
echo "----- 开始账号权限加固 -----"
# 禁用不需要的系统账号
for user in games ftp; do
usermod -L $user
echo "已锁定账号: $user"
done
# 设置密码复杂度策略，最少8位，包含大小写字母、数字、特殊字符
sed -i 's/^PASS_MIN_LEN.*/PASS_MIN_LEN 8/' /etc/login.defs
sed -i 's/^PASS_MAX_DAYS.*/PASS_MAX_DAYS 90/' /etc/login.defs
echo "已更新密码策略配置"
# 禁止root用户远程登录
sed -i 's/^#PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
systemctl restart sshd
echo "已禁止root远程登录"
# 2. 系统服务优化
echo "----- 开始系统服务优化 -----"
# 关闭不需要的服务
for service in telnet rsh rexec; do
systemctl disable $service 2>/dev/null
systemctl stop $service 2>/dev/null
echo "已关闭服务: $service"
done
# 3. 文件系统权限加固
echo "----- 开始文件系统权限加固 -----"
# 修改敏感文件权限
chmod 600 /etc/shadow
chmod 644 /etc/passwd
chmod 600 /etc/ssh/sshd_config
echo "已修改敏感文件权限"
# 设置默认umask为027
echo "umask 027" >> /etc/profile
source /etc/profile
echo "已设置默认umask为027"
# 4. 防火墙配置
echo "----- 开始防火墙配置 -----"
systemctl enable firewalld
systemctl start firewalld
# 开放SSH端口，拒绝其他所有端口
firewall-cmd --permanent --add-port=22/tcp
firewall-cmd --permanent --set-default-zone=drop
firewall-cmd --reload
echo "已配置firewalld防火墙规则"
# 5. 日志与审计配置
echo "----- 开始日志与审计配置 -----"
systemctl enable auditd
systemctl start auditd
# 配置日志保留30天
sed -i 's/^rotate .*/rotate 30/' /etc/logrotate.conf
echo "已开启审计服务并配置日志保留策略"
echo "===== Linux安全加固执行完成 ====="
脚本编写注意事项
编写Linux安全加固脚本时需要注意以下几点：
- 脚本开头必须添加
#!/bin/bash指定解释器，避免执行异常 - 所有修改系统配置的操作前最好先备份原文件，例如
cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak - 不同Linux发行版的服务管理、配置文件路径可能存在差异，需要根据实际系统调整命令，比如Ubuntu系统使用
apt包管理，服务管理用systemctl或者service - 可以在脚本中添加执行结果校验逻辑，比如修改配置后检查文件内容是否符合预期，避免配置修改失败
- 生产环境执行前建议先在测试环境验证脚本功能，避免误操作导致系统无法访问
扩展优化方向
基础的加固脚本可以满足通用需求，实际使用中还可以做更多扩展：
- 添加参数解析功能，支持用户指定需要加固的模块，不需要全量执行
- 增加执行日志记录，将所有加固操作和结果输出到指定日志文件，方便后续审计
- 适配更多Linux发行版，通过判断
/etc/os-release内容自动选择对应的命令 - 添加回滚功能，当加固后出现问题时可以快速恢复到加固前的状态