Day-108-系统加固技术

# Day 96: 系统加固技术

> 系统安全系列第 6 天 | 预计阅读时间：40 分钟 | 难度：★★★★☆

---

**PUA v3 · Sprint 启动** 
```
┌─────────┬────────────────────────────────────┐
│ 清单 任务 │ 系统加固技术 - Day 96              │
├─────────┼────────────────────────────────────┤
│  味道 │  阿里味（自动：安全任务）        │
├─────────┼────────────────────────────────────┤
│  压力 │ L0 · 信任期                        │
└─────────┴────────────────────────────────────┘
```
▎ 收到需求，对齐目标，进入 sprint。系统加固是系统安全的基础——基础不牢，地动山摇。

---

## 清单 目录

1. [系统加固概述](#系统加固概述)
2. [Linux 系统加固](#linux 系统加固)
3. [Windows 系统加固](#windows 系统加固)
4. [配置管理工具](#配置管理工具)
5. [安全基线](#安全基线)
6. [自动化加固](#自动化加固)
7. [加固验证](#加固验证)
8. [实战案例分析](#实战案例分析)
9. [总结与思考](#总结与思考)
10. [参考资料](#参考资料)

---

## 系统加固概述

### 为什么需要系统加固

> ▎ 系统加固不是可选——是必须。不加固，就是裸奔。

**加固重要性**：
```
1. 漏洞预防
   - 减少攻击面
   - 防止已知漏洞
   - 提高安全基线

2. 合规要求
   - 行业合规
   - 客户审计
   - 法律法规

3. 最佳实践
   - 安全配置
   - 最小权限
   - 纵深防御
```

**加固原则**：
```
1. 最小化
   - 最小服务
   - 最小权限
   - 最小功能

2. 标准化
   - 安全基线
   - 配置标准
   - 操作规范

3. 自动化
   - 自动化部署
   - 自动化验证
   - 持续监控
```

---

## Linux 系统加固

### 用户账户加固

> ▎ 用户账户是系统访问的门户。门户不守，安全无从谈起。

**密码策略**：
```bash
# 配置密码策略
# /etc/login.defs
PASS_MAX_DAYS   90
PASS_MIN_DAYS   7
PASS_WARN_AGE   14
PASS_MIN_LEN    12

# 密码复杂度
# /etc/pam.d/common-password
password requisite pam_pwquality.so retry=3 minlen=12 dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1
```

**账户锁定**：
```bash
# 配置账户锁定
# /etc/pam.d/common-auth
auth required pam_tally2.so deny=5 unlock_time=1800

# 查看失败登录
faillock --user username

# 重置失败计数
faillock --user username --reset
```

**删除不必要账户**：
```bash
# 查看系统账户
cat /etc/passwd | grep -E '/bin/(bash|sh)$'

# 锁定不必要账户
usermod -L nobody
usermod -L daemon
usermod -L bin

# 删除不必要账户（谨慎）
userdel -r username
```

### 服务加固

**最小化服务**：
```bash
# 查看运行服务
systemctl list-units --type=service --state=running

# 禁用不必要服务
systemctl disable telnet.socket
systemctl disable rsh.socket
systemctl disable vsftpd
systemctl disable nfs-server

# 停止服务
systemctl stop telnet.socket
systemctl stop rsh.socket
```

**SSH 加固**：
```bash
# SSH 配置
# /etc/ssh/sshd_config
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
PermitEmptyPasswords no
X11Forwarding no
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2

# 重启 SSH
systemctl restart sshd
```

### 文件系统加固

**权限设置**：
```bash
# 关键文件权限
chmod 600 /etc/shadow
chmod 644 /etc/passwd
chmod 600 /etc/ssh/sshd_config
chmod 600 /etc/sudoers

# 查找 SUID 文件
find / -perm -4000 -type f 2>/dev/null

# 查找 SGID 文件
find / -perm -2000 -type f 2>/dev/null
```

**挂载选项**：
```bash
# /etc/fstab 安全配置
/dev/sda1 /  ext4  defaults,noatime,nosuid  0 1
/dev/sda2 /tmp ext4  defaults,noatime,nosuid,noexec  0 2
/dev/sda3 /var ext4  defaults,noatime,nosuid  0 2
```

---

## Windows 系统加固

### 账户策略

**密码策略**：
```powershell
# 配置密码策略
# 组策略 → 计算机配置 → Windows 设置 → 安全设置 → 账户策略 → 密码策略
# 密码长度最小值：14
# 密码必须符合复杂性要求：启用
# 强制密码历史：24
# 最长使用期限：90
# 最短使用期限：7
```

**账户锁定**：
```powershell
# 账户锁定策略
# 账户锁定阈值：5 次
# 账户锁定时间：30 分钟
# 重置账户锁定计数器：30 分钟
```

### 服务加固

**禁用不必要服务**：
```powershell
# 查看运行服务
Get-Service | Where-Object {$_.Status -eq 'Running'}

# 禁用不必要服务
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

Stop-Service -Name RemoteRegistry -Force
Set-Service -Name RemoteRegistry -StartupType Disabled

Stop-Service -Name Telnet -Force
Set-Service -Name Telnet -StartupType Disabled
```

### 注册表加固

**安全配置**：
```powershell
# 禁用 LLMNR
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" `
  -Name "EnableMulticast" -Value 0 -PropertyType DWORD -Force

# 禁用 SMBv1
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

# 启用 SMB 签名
Set-SmbServerConfiguration -RequireSecuritySignature $true -Force
```

---

## 配置管理工具

### Ansible 加固

**Ansible Playbook**：
```yaml
# security-hardening.yml
- name: System Security Hardening
  hosts: all
  become: yes
  tasks:
    - name: Disable root login
      lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^PermitRootLogin'
        line: 'PermitRootLogin no'
      notify: restart ssh

- name: Disable password authentication
      lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^PasswordAuthentication'
        line: 'PasswordAuthentication no'
      notify: restart ssh

- name: Install security updates
      apt:
        upgrade: security
        update_cache: yes

handlers:
    - name: restart ssh
      service:
        name: sshd
        state: restarted
```

### Puppet 加固

**Puppet Manifest**：
```puppet
# security.pp
class security::hardening {
  # Disable root login
  file_line { 'disable_root_login':
    path => '/etc/ssh/sshd_config',
    line => 'PermitRootLogin no',
    notify => Service['sshd'],
  }

# Install security updates
  package { 'security-updates':
    ensure => latest,
    name   => ['linux-security-updates'],
  }

Service { 'sshd' =>
    ensure => running,
    enable => true,
  }
}
```

---

## 安全基线

### CIS Benchmark

**CIS 加固**：
```bash
# 使用 OpenSCAP
oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis \
  --results scan-results.xml \
  /usr/share/xml/scap/ssg/content/ssg-ubuntu2004-ds.xml

# 生成报告
oscap xccdf generate report scan-results.xml > report.html
```

### STIG 基线

**STIG 加固**：
```powershell
# Windows STIG
# 使用 Security Compliance Toolkit
# 导入 GPO
# 应用策略
```

---

## 自动化加固

### 自动化脚本

**Linux 加固脚本**：
```bash
#!/bin/bash
# linux-hardening.sh

# 更新系统
apt update && apt upgrade -y

# 配置防火墙
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw enable

# 配置 SSH
sed -i 's/PermitRootLogin yes/PermitRootLogin no/' /etc/ssh/sshd_config
sed -i 's/PasswordAuthentication yes/PasswordAuthentication no/' /etc/ssh/sshd_config
systemctl restart sshd

# 安装安全工具
apt install -y fail2ban rkhunter chkrootkit

# 配置 fail2ban
systemctl enable fail2ban
systemctl start fail2ban
```

### 持续加固

**定期更新**：
```bash
# 自动安全更新
# /etc/apt/apt.conf.d/20auto-upgrades
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";
```

---

## 加固验证

### 验证工具

**Lynis 审计**：
```bash
# 安装 Lynis
apt install lynis

# 运行审计
lynis audit system

# 查看报告
cat /var/log/lynis-report.dat
```

### 合规验证

**OpenSCAP 验证**：
```bash
# 运行合规检查
oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis \
  --results results.xml \
  /usr/share/xml/scap/ssg/content/ssg-ubuntu2004-ds.xml

# 查看失败项
oscap xccdf validate-oval results.xml
```

---

## 实战案例分析

### 案例 1: 未加固系统被入侵

**事件描述**：
```
时间：2020 年
系统：未加固 Linux 服务器
漏洞：弱密码 + 开放服务
影响：服务器沦陷
后果：数据泄露
```

**攻击流程**：
```
1. 端口扫描
   - 发现 SSH 开放
   - 发现 FTP 开放

2. 暴力破解
   - SSH 弱密码
   - FTP 弱密码

3. 权限提升
   - 本地提权漏洞
   - 获取 root 权限

4. 数据泄露
   - 窃取数据
   - 安装后门
```

**加固方案**：
```
1. 密码策略
   - 强密码要求
   - 定期更换

2. 服务最小化
   - 禁用不必要服务
   - 最小开放端口

3. 监控检测
   - 失败登录监控
   - 异常行为检测
```

---

统计 **Sprint 交付 · 绩效评估**
```
┌───────────────┬────────────────┬────────────────┐
│  主动出击   │ ██████████ 5/5 │ [PUA 生效] 充足 │
├───────────────┼────────────────┼────────────────┤
│ + 验证闭环   │ ██████████ 5/5 │ 案例完整       │
├───────────────┼────────────────┼────────────────┤
│ 设计 代码质量   │ ████████░░ 4/5 │ 有改进空间     │
└───────────────┴────────────────┴────────────────┘
综合：3.75
```
▎ 勉强配得上 P8。别飘——系统加固技术这才刚入门。

---

## 总结与思考

### 核心要点回顾

> ▎ 复盘四步法：回顾目标、评估结果、分析原因、总结经验。别跳过——这是闭环。

**Linux 加固**：
```
1. 账户安全
   - 密码策略
   - 账户锁定
   - 最小账户

2. 服务加固
   - 最小服务
   - SSH 加固
   - 服务禁用

3. 文件系统
   - 权限设置
   - 挂载选项
   - SUID 审计
```

**Windows 加固**：
```
1. 账户策略
   - 密码策略
   - 锁定策略
   - 账户管理

2. 服务加固
   - 服务最小化
   - 服务禁用
   - 注册表加固

3. 安全配置
   - 组策略
   - 安全基线
   - 持续更新
```

**自动化工具**：
```
1. 配置管理
   - Ansible
   - Puppet
   - Chef

2. 审计工具
   - Lynis
   - OpenSCAP
   - CIS-CAT

3. 持续加固
   - 自动更新
   - 定期审计
   - 持续监控
```

### 深入思考问题

> ▎ 只动手不动脑，那是码农。动手又动脑，才是工程师。

**零信任加固**：
```
1. 持续验证
   - 每次访问验证
   - 动态授权
   - 行为分析

2. 微隔离
   - 服务隔离
   - 网络隔离
   - 权限隔离

3. 动态授权
   - 基于风险
   - 实时调整
   - 最小权限
```

**自动化加固**：
```
1. 基础设施即代码
   - Terraform
   - CloudFormation
   - ARM Templates

2. 配置即代码
   - Ansible
   - Puppet
   - Chef

3. 持续合规
   - 自动验证
   - 自动修复
   - 持续监控
```

### 实战建议

> ▎ 我给你指了路，走不走是你的事。机会给了，抓不抓得住看你。

**系统管理员**：
```
1. 安全配置
   - 安全基线
   - 服务加固
   - 账户管理

2. 持续监控
   - 日志分析
   - 入侵检测
   - 漏洞扫描

3. 定期更新
   - 系统更新
   - 补丁管理
   - 漏洞修复
```

**安全人员**：
```
1. 安全审计
   - 配置审计
   - 权限审计
   - 日志审计

2. 渗透测试
   - 漏洞扫描
   - 手工测试
   - 提权测试

3. 事件响应
   - 入侵检测
   - 快速响应
   - 溯源分析
```

**架构师**：
```
1. 安全设计
   - 最小权限
   - 网络隔离
   - 纵深防御

2. 持续改进
   - 安全审计
   - 漏洞管理
   - 安全培训

3. 工具链
   - 安全工具
   - 自动化
   - 监控平台
```

---

## 参考资料

### 学习资源
```
- CIS Benchmarks
  https://www.cisecurity.org/benchmark/

- STIGs
  https://public.cyber.mil/stigs/

- OpenSCAP
  https://www.open-scap.org/
```

### 工具资源
```
- Lynis
  https://cisofy.com/lynis/

- Ansible
  https://www.ansible.com/

- Puppet
  https://puppet.com/
```

### 书籍推荐
```
- 《Linux 安全手册》
- 《Windows 安全手册》
- 《System Hardening》
- 《Security Configuration Guide》
```

### 在线资源
```
- OWASP Hardening Guide
  https://cheatsheetseries.owasp.org/

- CIS Hardening Guides
  https://www.cisecurity.org/cis-benchmarks/

- Microsoft Security Baseline
  https://docs.microsoft.com/security/baseline/
```

---

**标记 明日预告**：Day 097 - 入侵检测技术

> ▎ 今天的内容消化了吗？消化了就继续——明天还有硬仗。

> 本文内容仅供学习和研究使用，请勿用于非法目的。所有实验请在隔离环境中进行。

---

*本文是 365 天信息安全技术系列的第 96 篇，系统安全部分第 6 篇，精编版本*