18、Linux系统安全与DevSecOps实践指南

Linux系统安全与DevSecOps实践指南

1. 基础安全设置

• 禁用Root登录 ：通过编辑 sshd_config 文件，禁用通过SSH以root身份登录的功能。不过，仍可通过控制台或单用户模式登录以进行系统救援。
• 最小化安装 ：在安装Linux服务器时，选择最少的软件包。建议从基础版本开始构建，之后再添加所需的软件包。构建安全的Linux服务器时，少即是多。
• 磁盘分区 ：不同的磁盘分区需要配置相应的挂载选项，具体如下表所示：
  | 磁盘 | 挂载选项 |
  | — | — |
  | /var | |
  | /var/log | |
  | /var/log/audit | |
  | /var/tmp | 挂载到与/tmp相同的磁盘 |
  | /tmp | nodev, nosuid, noexec |
  | /home | nodev |
  | /dev/shm | nodev, nosuid, noexec |
  | 可移动介质 | nodev, nosuid, noexec |
• 磁盘加密 ：仅当服务器容易从数据中心或机房取出时，才考虑使用磁盘加密。这适用于笔记本电脑或任何便携式系统，常用的磁盘加密工具是LUKS。
• 不安装桌面环境 ：不要安装Linux桌面或“X Windows System”。如果已安装，请