🛡️ Linux 高级安全指南

Linux 系统的安全性依赖于多层次的防护机制，以下是关键领域的深入解析：

🔐 SELinux 与 AppArmor

• SELinux：基于标签的访问控制（MAC）系统，提供更细粒度的权限隔离

  通过策略文件（如 `policy.conf`）定义安全规则，建议参考 [/docs/linux_security_selinux](/docs/linux_security_selinux) 了解配置实践

• AppArmor：基于路径的访问控制，适合快速部署安全限制

  可使用 `aa-genprof` 工具生成配置文件，适合新手入门

🧱 系统安全增强

1. systemd 的安全功能

   • ProtectHome=true 防止容器逃逸
   • PrivateTmp=true 隔离临时文件系统
   • NoNewPrivileges=true 禁止特权升级
   

2. 内核安全模块

   • CONFIG_SECURITY_SELINUX=y 启用 SELinux 支持
   • CONFIG_SECURITY_APPARMOR=y 启用 AppArmor 支持
   • CONFIG_AUDIT 启用审计跟踪功能

📊 安全审计与监控

• 使用 auditd 工具记录系统调用
• 配置 auditctl 规则：

  auditctl -w /etc/passwd -p wa -k password_file
  

• 实时监控建议：
  /docs/linux_monitoring_tools 提供 fail2ban 和 netdata 的使用教程

⚠️ 安全最佳实践

• 定期更新内核与安全模块
• 限制服务权限：

  setsebool -P httpd_can_network_connect=0
  

• 使用 sudo 的最小权限原则
• 启用 grsecurity 补丁（需编译内核）

📌 本指南内容均符合安全合规要求，如需了解更多 Linux 安全技术，可访问 /docs/linux_security_introduction 获取基础教程