Linux 安全加固清单：从最小化到合规
前言 一台默认安装的 Linux 服务器，暴露的攻击面远超想象：多余的 RPM 包、开放的网络服务、宽松的 SSH 配置、未启用的审计系统。安全加固不是一次性操作，而是一套从安装到运行的全生命周期清单。本文按 CIS Benchmark 框架梳理加固要点，每一步都给出可直接执行的配置。 系统最小化安装原则 包管理裁剪 最小化安装的核心思路：只装需要的，不装可能需要的。 # 安装时选择 Minimal Install（RHEL 系）或 minimal image（Debian 系） # 安装后审计已安装的包组，移除不需要的 yum grouplist # RHEL/CentOS dnf group list # Fedora/RHEL 8+ # 移除不需要的包组 dnf group remove "GNOME Desktop" "Graphical Administration Tools" # 审计已安装的包，按大小排序 rpm -qa --queryformat '%{SIZE} %{NAME}\n' | sort -rn | head -30 # 移除已知不需要的包 dnf remove -y ypbind rsh-server ypserv telnet-server talk-server Debian/Ubuntu 系： # 查看手动安装的包（可安全移除的候选） apt-mark showmanual # 移除不需要的服务包 apt purge -y rsh-client rsh-redone-server telnetd tftpd xinetd 服务裁剪 安装后审计运行中的服务，关闭一切非必要服务：...