系统加固的核心原则
账户与权限策略
在CentOS防止恶意软件入侵的实战中，账户与权限策略是第一道防线。应建立严格的最小权限原则，避免使用常规root账户进行日常运维操作，鼓励通过具备最小权限的普通用户+sudo组合完成任务，并对sudo权限进行细粒度控制与审计记录。将特权操作祈使在受控环境中执行，能显著降低被利用的风险。
此外，禁止密码直接登录，改用基于SSH公钥认证并禁用root远程登录，是提升初始防护的重要步骤。定期轮换密钥、禁用过时算法与弱口令，有助于降低暴力破解的成功率。密钥管理和访问审计是持续有效的安全保障。
服务最小化与分离
CentOS系统应尽可能运行最小化的服务集合，禁用不必要的守护进程与服务，并通过单位化、容器化或虚拟化实现服务分离，从而降低横向移动风险。服务拆分还能提高故障隔离能力，便于定位异常行为。
对公开服务，优先采用仅暴露必需端口、并实现基于主机名、来源IP的访问控制。对于内部管理接口，使用跳板机与多因素认证访问，确保运维通道具备强认证与可追溯性。
系统补丁与软件源管理
维护一个稳定且可信赖的补丁管理流程，定期同步官方镜像、审核第三方源的可信性，并对关键组件实施滚动更新策略。启用自动更新（如yum-cron）或计划任务，以减少已知漏洞的暴露时间。
在升级前进行变更前测试与回滚准备，确保在生产环境中不会引入新的安全风险。版本控制与变更日志应覆盖系统核心组件的更新记录。
网络与边界防护要点
防火墙策略与端口管理
对CentOS而言，防火墙策略是防线的核心，应以默认拒绝、按需放行的原则配置。通过firewalld或nftables对外开放端口，确保只有SSH、HTTP/HTTPS等必要服务处于可达状态，其他端口关闭以降低攻击面。
# 使用firewalld示例（CentOS/RHEL 7+）
firewall-cmd --permanent --set-default-zone=public
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-service=http
firewall-cmd --permanent --add-service=https
firewall-cmd --permanent --remove-service=ftp
firewall-cmd --reload
定期复核防火墙规则，确保新服务不会在无计划时暴露。对管理跳板机、监控端点等敏感入口，考虑额外的访问控制与速率限制，以降低暴力攻击风险。
入侵防御与流量可视化
在网络层面，入侵检测与流量可视化有助于尽早发现异常行为。通过对比基线流量，结合深度包检测、异常连接检测，可快速定位异常会话与潜在攻击。
常用工具包括tcpdump/wireshark用于离线分析，以及iftop或vnStat用于实时流量监控。对关键服务器，建立<基础监控仪表盘>，实现对带宽、连接数、错误率的聚合告警。
安全的远程访问
远程访问是运维的日常部分，应将SSH等远程通道置于受控环境。通过禁用密码登录、启用公钥认证、强制使用MFA、限制允许的源IP以及设定严格的登录策略，可以显著降低被入侵的概率。
# /etc/ssh/sshd_config 示例
PasswordAuthentication no
PermitRootLogin no
PubkeyAuthentication yes
ChallengeResponseAuthentication no
AllowUsers youropsuser
此外，对SSH客户端长期使用的密钥进行轮换与撤销策略，能进一步提高远程访问的安全性。
主机安全加强：SELinux、审计与日志
SELinux策略与模式
在CentOS环境中，SELinux是核心强制访问控制机制，通过策略对系统行为进行约束。将系统设为Enforcing模式是推荐默认态，必要时再在受控的测试环境中逐步调试策略。
常用命令包括<getenforce/setenforce以及策略管理工具。对关键服务加载适当的策略，可将恶意程序的横向扩散风险降到最低。
# 查看当前模式
getenforce
# 临时切换为Enforcing
setenforce 1
Auditd与日志完整性
审计是对系统行为进行可追溯记录的关键手段。通过auditd收集安全相关事件，确保对异常行为有明确的证据链。实现日志不可篡改与集中化处理，提升事后取证效率。
重要配置通常包括制定审计规则、日志轮转、以及对关键文件的变更监控。与日志集中系统对接后，告警策略可以实现实时响应。
# 安装并启用auditd
yum install -y audit
systemctl enable auditd
systemctl start auditd
# 简单示例：监控/etc/passwd的写入
auditctl -w /etc/passwd -p wa -k passwd_changes
核心转储与崩溃日志处理
遇到异常进程或崩溃时，核心转储与崩溃日志的分析能帮助迅速定位问题根因。应确保系统具备崩溃转储配置、符号表管理，以及将转储与审计日志一并保留以进行事后分析。
通过<systemd-coredump服务及配置，可以将崩溃转储集中管理，结合符号表服务器进行符号化调试，提升取证与修复效率。
恶意软件检测与监控要点
文件完整性监控（AIDE/OSSEC）
对关键系统文件和配置进行持续完整性检查，是防止恶意篡改的有效手段。AIDE/OSSEC等工具可以在夜间或按计划时间轮询，产生差异报告并触发告警。初始基线建立与定期重新基线校验是关键。
在配置AIDE时，需确保监控范围涵盖重要二进制、库、配置文件以及计划任务等，以避免漏洞被隐藏在常规目录中。
# 初始化AIDE基线
aide --init
# 将基线拷贝到数据库
cp /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
# 下次对比
aide --check
日志聚合与告警（rsyslog、OpenSearch/ELK）
将本地日志集中化，是实现跨主机可观测性的基础。通过<rsyslog/rsyslog-ng将日志转发到集中式平台，结合OpenSearch、Elasticsearch实现快速检索与告警规则的落地。
在本地日志策略中，应包含系统日志、认证日志、应用日志的轮转、保留期和访问控制，确保关键日志在安全性事件发生时可用。
# rsyslog 配置示例（将日志发送到远端 syslog 服务器）
*.* @logserver.example.com:514
恶意活动的行为监测与风控
将对异常行为的检测纳入常态化，例如异常进程创建、异常网络连接、重复失败的认证尝试等，需通过行为基线与告警策略进行监控。
结合既有的系统监控和日志分析，确保对高风险行为自动触发告警并进入应急流程。
应急响应与备份恢复
应急响应流程与演练
当检测到潜在入侵或影响系统完整性时，需执行标准化应急响应流程，包括初步评估、隔离、取证、修复、恢复与复盘等阶段。演练与桌面演习是验证流程有效性的关键。
应急记录应包含事件时间线、涉及资产、产生的告警、采取的处置措施以及后续的证据链，以便持续改进。
备份策略与快速恢复
确保关键业务的数据拥有可验证的备份策略，覆盖全量备份、增量备份与离线备份。对于快速恢复，需建立可验证的恢复演练计划，确保在安全事件发生时能最短时间内恢复服务。
实现备份的版本控制与完整性校验，确保备份数据在遭受勒索或破坏后仍然可用，且可追溯。
# 使用rsync进行离线备份示例（简化版）
rsync -a --delete /etc /var/backups/weekly/
# 或使用快照服务进行短期恢复
基于快照的灾难恢复
某些存储方案提供<快照与版本化能力，通过定期创建快照，可以在发生损坏后迅速回滚到安全状态。结合资产清单，确保具备快速回滚点以减少业务中断时间。
灾难恢复演练应覆盖<网络、存储、计算资源的协同恢复流程，确保在不同故障场景下都能正常恢复。
