各人都认为 Linux 默认是安详的，我概略是承认的 (这是个有争议的话题)。Linux默认确实有内置的安详模子。你需要打开它而且对其举办定制，这样才气获得更安详的系统。Linux更难打点，不外相应也更机动，有更多的设置选项。
对付系统打点员，让产物的系统更安详，免于骇客和黑客的进攻，一直是一项挑战。这是我们关于“如何让Linux系统更安详” 可能 “加固Linux系统“之类话题的第一篇文章。本文将先容 25个有用的能力和窍门 ，辅佐你让Linux系统越发安详。但愿下面的这些能力和窍门可以辅佐你增强你的系统的安详。
1. 物理系统的安详性
设置BIOS，禁用从CD/DVD、外部设备、软驱启动。下一步，启用BIOS暗码，同时启用GRUB的暗码掩护，这样可以限制对系统的物剖析见。
通过配置GRUB暗码来掩护Linux处事器
2. 磁盘分区
利用差异的分区很重要，对付大概得劫难，这可以担保更高的数据安详性。通过分别差异的分区，数据可以举办分组并隔分开来。当意外产生时，只有出问题的分区的数据才会被粉碎，其他分区的数据可以保存下来。你最好有以下的分区，而且第三方措施最好安装在单独的文件系统/opt下。
//boot
/usr
/var
/home
/tmp
/opt
3. 最小包安装，最少裂痕
你真的需要安装所有的处事么？发起不要安装无用的包，制止由这些包带来的裂痕。这将最小化风险，因为一个处事的裂痕大概会危害到其他的处事。找到并去除可能遏制不消的处事，把系统裂痕淘汰到最小。利用‘chkconfig‘呼吁列出运行级别3的运行所有处事。
# /sbin/chkconfig --list |grep '3:on'
当你发明一个不需要的处事在运行时，利用下面的呼吁遏制这个处事。
# chkconfig serviceName off
利用RPM包揽理器，譬喻YUM可能apt-get 东西来列出所有安装的包，而且操作下的呼吁来卸载他们。
# yum -y remove package-name
# sudo apt-get remove package-name
5 chkconfig Command Examples
20 Practical Examples of RPM Commands
20 Linux YUM Commands for Linux Package Management
25 APT-GET and APT-CACHE Commands to Manage Package Management
4. 查抄网络监听端口
在网络呼吁 ‘netstat‘ 的辅佐下，你将可以或许看到所有开启的端口，以及相关的措施。利用我上面提到的 ‘chkconfig‘ 呼吁封锁系统中不想要的网络处事。
# netstat -tulpn
Linux 网络打点中的 20 条 Netstat 呼吁
5. 利用 SSH（Secure Shell）
Telnet 和 rlogin 协议只能用于纯文本，不能利用加密的名目，这或将导致安详裂痕的发生。SSH 是一种在客户端与处事器端通讯时利用加密技能的安详协议。
除非须要，永远都不要直接登录 root 账户。利用 “sudo” 执行呼吁。sudo 由 /etc/sudoers 文件拟定，同时也可以利用 “visudo” 东西编辑，它将通过 VI 编辑器打开设置文件。
同时，发起将默认的 SSH 22 端标语改为其他更高的端标语。打开主要的 SSH 设置文件并做如下修改，以限制用户会见。
# vi /etc/ssh/sshd_config
封锁 root 用户登录
PermitRootLogin no
特定用户通过
AllowUsers username
利用第二版 SSH 协议
Protocol 2
SSH 处事器安详维护五条最佳实践
6. 担保系统是最新的
得一直担保系统包括了最新版本的补丁、安详修复和可用内核。
# yum updates
# yum check-update
7. 锁定 Cron任务
Cron有它本身内建的特性，这特性答允界说哪些人能哪些人不能跑任务。这是通过两个文件/etc/cron.allow 和 /etc/cron.deny 节制的。要锁定在用Cron的用户时可以简朴的将其名字写到corn.deny里，而要答允用户跑cron时将其名字加到cron.allow即可。假如你要克制所有用户利用corn，那么可以将“ALL”作为一行加到cron.deny里。
# echo ALL >>/etc/cron.deny
11 个linux Cron调治实例
8. 克制USB探测
许多环境下我们想去限制用户利用USB，来保障系统安详和数据的泄露。成立一个文件‘/etc/modprobe.d/no-usb‘而且操作下面的呼吁来克制探测USB存储。
install usb-storage /bin/true
9.打开SELinux
