在服务器运维领域，CentOS凭借其稳定性和与Red Hat Enterprise Linux (RHEL)的高度兼容性，成为众多企业和开发者的首选操作系统，任何系统暴露在网络环境中都不可避免地面临安全威胁，为CentOS服务器制定并实施一套全面的安全策略至关重要，这不仅是保护数据和服务的需要,也是确保业务连续性的基石。
基础安全原则
构建安全的CentOS系统,应首先遵循几个核心原则：
- 最小化安装：在安装系统时，仅选择必需的软件包,减少潜在的攻击面。
- 及时更新：定期更新系统和软件包,以修复已知的安全漏洞。
- 权限分离：严格遵循“最小权限原则”,确保用户和进程仅拥有完成其任务所必需的权限。
- 纵深防御：不要依赖单一的安全措施，应构建多层防护体系，如防火墙、入侵检测、访问控制等。
系统与服务加固
系统层面的加固是安全策略的第一道防线。
确保系统始终处于最新状态，定期执行 sudo yum update -y 可以获取最新的安全补丁和软件更新，审查并禁用不必要的服务，在服务器上通常不需要蓝牙（bluetooth）或打印服务（cups），可以使用 systemctl 命令将其停止并禁用，如 sudo systemctl stop bluetooth && sudo systemctl disable bluetooth。
SSH（Secure Shell）是远程管理服务器的核心工具，也是攻击者的主要目标，加固SSH配置（/etc/ssh/sshd_config）是重中之重，关键措施包括：修改默认的22端口以规避自动化扫描；禁止root用户直接登录，强制使用普通用户登录后再通过sudo提权；并推荐使用密钥对认证，完全禁用密码认证,从而有效抵御暴力破解攻击。
严格的访问控制
有效的用户和权限管理是防止内部威胁和权限滥用的关键，应创建普通用户用于日常运维，并为其配置sudo权限，通过编辑 /etc/sudoers 文件（建议使用 visudo 命令），可以精细地控制用户可以执行的命令，实施强密码策略，可以通过修改 /etc/security/pwquality.conf 文件或配置PAM（Pluggable Authentication Modules）模块，来设定密码的最小长度、复杂度要求以及历史密码记录数量,强制用户使用高强度的密码。
网络防火墙策略
防火墙是控制网络流量的关键屏障，CentOS 7及以后版本默认使用firewalld作为防火墙管理工具。firewalld基于“区域”概念，可以根据不同的网络信任级别（如公共、家庭、内部）应用不同的规则，运维人员应坚持“默认拒绝，明确允许”的策略，若服务器是Web服务器，只需开放HTTP（80）和HTTPS（443）端口：
sudo firewall-cmd --permanent --zone=public --add-service={http,https}
sudo firewall-cmd --reload
系统监控与日志审计
持续监控和日志记录是发现和追溯安全事件的基础，系统日志主要存放在 /var/log 目录下，/var/log/secure 记录了所有与认证和授权相关的事件，/var/log/messages 则包含了核心系统服务的日志，定期审查这些日志，有助于发现异常登录、权限提升等可疑行为，对于更高级的审计需求，可以启用auditd服务。auditd能够监控文件访问、系统调用等更细粒度的操作,为安全事件的调查提供强有力的证据。
为了更清晰地梳理关键安全领域,下表小编总结了主要工具和配置：
| 安全领域 | 关键工具/配置文件 | 核心作用 |
|---|---|---|
| 系统更新 | yum / dnf |
修复已知漏洞，保持系统最新 |
| 服务管理 | systemctl |
禁用非必要服务，减少攻击面 |
| SSH安全 | /etc/ssh/sshd_config |
强化远程登录安全，防止暴力破解 |
| 防火墙 | firewalld |
控制网络端口访问，过滤恶意流量 |
| 日志审计 | /var/log/secure, auditd |
记录系统行为，追踪安全事件 |
CentOS的安全策略是一个涉及系统、网络、应用和人员管理的综合性体系，它不是一次性的设置，而是一个需要持续评估、调整和优化的动态过程，通过遵循上述原则和措施，可以显著提升CentOS服务器的安全水位,为业务的稳定运行提供坚实保障。
相关问答FAQs
问：如何快速检查当前CentOS系统上所有正在监听的TCP和UDP端口？
答： 可以使用 ss 命令，它是 netstat 的现代替代品，速度更快且信息更丰富，执行 sudo ss -tuln 即可查看所有监听中的（-l）TCP（-t）和UDP（-u）端口，并以数字形式显示（-n），不解析服务名,输出更直观。
问：为什么强烈建议禁用root用户的SSH直接登录？
答： 禁用root用户的SSH直接登录是一项基本的安全实践，主要原因在于，“root”是每个Linux系统都存在的默认超级用户账户，这使得它成为自动化暴力破解攻击的首要目标，一旦攻击者猜中root的密码，他们将获得系统的完全控制权，通过禁用root登录，强制攻击者必须先知道一个普通用户名及其密码，然后再猜中该用户的密码，最后还需要知道sudo密码，这大大增加了攻击的难度和层级,有效提升了服务器的安全性。