Linux Server Hardening: The Complete Guide (Firewall, SSH, Lynis & More)
三句話摘要
Linux伺服器系統安全加固的七步完整指南，從自動更新到SSH加密登入。 Linux伺服器安全加固並非一次性工作，而是透過七個遞進步驟（更新、帳戶、防禦、服務、框架、內核、遠端存取）在多層次構築防線，最終透過自動化工具持續驗證安全狀態。 自動化安全管理：安裝unattended-upgrades後，系統會自動套用安全補丁，對小型團隊或多伺服器環境特別重要，不必手動管理數十台機器的更新。
重點整理
重點- 1
自動化安全管理：安裝unattended-upgrades後，系統會自動套用安全補丁，對小型團隊或多伺服器環境特別重要，不必手動管理數十台機器的更新。
- 2
多層防禦策略：防火墻控制流量進出，fail2ban監控日誌並自動封鎖可疑IP，兩者配合形成24小時自動防禦體系，類似於安保人員全天監控。
- 3
最小權限原則：停用root直接SSH登入、禁用密碼認証、限制允許登入的使用者帳戶，確保即使認証被洩露也只能做特定帳號的動作範圍。
- 4
內核層面加固：設置sysctl參數限制指針洩露、禁用IP重定向、防止IP欺騙，雖不消除漏洞但大幅提高利用難度，特別針對攻擊者常鏈結多個漏洞的手法。
實用技巧與重點
乾貨- 安裝指令：
- `sudo apt update && sudo apt upgrade -y`
- `sudo apt install unattended-upgrades`
- `sudo apt install fail2ban`
- `sudo apt install apparmor`
- `sudo apt install lynis`
- 防火牆設置：
- `sudo ufw default deny incoming`
- `sudo ufw default allow outgoing`
- `sudo ufw allow ssh`
- `sudo ufw enable`
- 建立管理員帳戶：
- `sudo adduser jane`
- `sudo usermod -aG sudo jane`
- SSH金鑰生成（Windows PowerShell）：
- `ssh-keygen -t ed25519`
- 禁用不必要服務：
- `sudo systemctl disable --now avahi-daemon`
- `sudo systemctl disable --now cups`
- AppArmor啟用：
- `sudo systemctl enable --now apparmor`
- 內核加固設置檔案：`/etc/sysctl.d/99-hardening.conf`
- 參數：
- `kernel.kptr_restrict = 1`
- `kernel.dmesg_restrict = 1`
- `net.ipv4.conf.all.rp_filter = 1`
- `net.ipv4.conf.all.accept_redirects = 0`
- `net.ipv4.conf.all.send_redirects = 0`
- SSH設置修改檔案：`/etc/ssh/sshd_config`
- 關鍵參數：
- `AddressFamily inet`（僅IPv4）
- `PermitRootLogin no`
- `PasswordAuthentication no`
- `AllowUsers jane`
- 重啟服務：`sudo systemctl restart sshd`
- 安全審計工具：
- `sudo lynis audit system`
結論
結論“Linux伺服器安全加固並非一次性工作，而是透過七個遞進步驟（更新、帳戶、防禦、服務、框架、內核、遠端存取）在多層次構築防線，最終透過自動化工具持續驗證安全狀態。”
完整解析
詳細Linux伺服器的安全加固是持續的防禦過程，需要在多個層次同時施加保護。本教程提供的七步方案覆蓋從作業系統基礎到遠端存取的完整安全鏈。
首先，自動安全更新是最基礎的防線。透過安裝unattended-upgrades套件，系統會在背景自動下載並套用安全補丁，即使管理員忘記手動更新也能保持保護狀態。特別是在資源有限的環境（小型企業或家用實驗室），無須為每台伺服器排程更新檢查。服務啟動後可用`systemctl status unattended-upgrades`驗證其運作狀態。
第二步是建立獨立的管理員帳戶而非直接使用root。使用`sudo adduser jane`建立新帳戶後，透過`sudo usermod -aG sudo jane`將其加入sudoers群組。這樣的設計遵循最小權限原則——帳戶名稱避免選用容易猜測的名稱如「admin」，因為攻擊者通常會嘗試常見使用者名稱。jane能執行需要超級使用者權限的指令，但在日常使用時權限受限。
第三步是建立雙層防禦：UFW防火牆與fail2ban入侵防禦系統。UFW配置預設拒絕所有進入流量（`ufw default deny incoming`）但允許出站流量，除了明確允許的SSH連接埠。fail2ban則監控系統日誌，當偵測到多次失敗登入等可疑行為時自動封鎖該IP地址。兩者搭配形成靜態規則與動態防禦的組合。
第四步禁用不必要的系統服務。Linux預設啟用許多服務如avahi-daemon（本地網路探索）與cups（印表機支援），每個服務都是潛在的攻擊面。`systemctl disable --now 服務名稱`可停用未使用的服務。這個步驟要求管理員了解自己環境的真實需求，只保留必要功能。
第五步啟用AppArmor與日誌監控。AppArmor是Ubuntu內建的安全框架，會限制應用程式能執行的動作——即使應用程式被入侵，也無法超出其限制範圍。`journalctl -p 3 -xb`可檢視系統錯誤與警告日誌，早期發現潛在問題。
第六步是內核層面加固。透過編輯`/etc/sysctl.d/99-hardening.conf`套用內核參數，限制指標洩露、禁用IP重定向、防止欺騙封包等。這些設置無法消除內核漏洞，但大幅提高利用難度。因為攻擊者往往鏈結多個漏洞進行復雜攻擊，每個層次的加固都能減小其爆炸半徑。
第七步是SSH加固，這是遠端存取的關鍵。客戶端透過`ssh-keygen -t ed25519`生成密鑰對，將公鑰傳送至伺服器並設置為認證方式。伺服器端在`/etc/ssh/sshd_config`中禁用密碼認證（`PasswordAuthentication no`）、禁用root登入（`PermitRootLogin no`）、限制允許登入的使用者（`AllowUsers jane`）。完成設置後重啟SSH服務使其生效。密鑰認證較密碼更難被破解，且禁用密碼登入能完全阻止暴力破解攻擊。
最後，使用Lynis工具進行安全審計。執行`sudo lynis audit system`會掃描整個系統並生成詳細報告，顯示當前的安全狀態與改進建議，幫助管理員識別任何遺漏的設置。這份報告可作為持續安全改進的參考。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
