Linux安全环境搭建：13年经验实战指南

　　走廊尽头那台监护仪一直在响，我摘了眼镜揉眉心，老张把保温杯往桌上一墩，溅出半滴茶渍在《Linux安全加固手册》第三页。"你去年说SELinux是鸡肋，前年又吹AppArmor，现在倒好，这书里连cgroups硬隔离都往上堆——到底哪个能活过三年？"他敲着纸面，打印机刚好卡纸，哐当一声惊得护士站剥橘子的姑娘手一抖，汁水溅在值班表上。

文章配图，仅供参考

　　老张冷笑："所以你这指南里写'优先推荐SELinux'，是赌用户能养好？"他翻到第五章，指着一行加粗字，"'若团队无Linux内核经验，建议直接上OpenSCAP自动化扫描'——这算哪门子实战？自动化工具能扫出业务逻辑漏洞？"走廊那盏灯闪了一下，我盯着他手指的位置，突然想起上周三床家属在门口来回踱步的样子——那天我漏看了个SSH弱口令告警，要不是值班护士提醒，差点让渗透测试团队钻了空子。

　　"自动化当然扫不出业务逻辑漏洞。"我舔掉嘴角的饼干屑，"但你要让新手在三天内搭出能过等保的环境，不靠自动化靠什么？我原以为OpenSCAP的OVAL规则库够全，结果上个月给某政务云做，发现它连最新的CVE-2023-XXXX都漏了——最后还是手动补的YARA规则。"打印机终于吐出纸，护士站姑娘过来抽走被汁水浸湿的值班表，老张把书推回来："所以你这'实战指南'，其实是'怎么用工具糊弄检查'？"

　　我往后一靠，椅子发出刺耳的摩擦声："去年给某三甲医院搭环境，他们要求所有服务必须跑在容器里，我原以为用cgroups隔离就够了，结果人家安全团队直接上了seccomp白名单+capabilities剥离——那套配置复杂得，我花了半个月才调通。"白大褂袖口沾了饼干渣，我拍了拍，"但调通后，连RCE漏洞都打不穿容器边界。这时候你说，是简单粗暴的自动化好，还是这种'过度设计'的硬隔离好？"

　　老张不说话了，低头翻手册。走廊那盏灯彻底灭了，只剩应急灯的绿光在闪烁。我想起前年给某金融机构做渗透测试，他们用AppArmor锁死了所有服务的文件访问权限，我原以为能轻松绕过，结果试了三天，连/tmp目录都写不进去——最后不得不承认，这种"过度安全"的环境，反而活了下来。

　　"你看第七章。"我敲了敲书页，"我写了'安全配置的终极形态，是让攻击者觉得'这系统根本没人用''。去年给某电网做，他们把所有非必要端口全关了，连ICMP都禁了，我原以为运维会疯，结果人家用卫星链路做心跳检测，连SSH都走专网——这种环境，你觉得自动化工具能扫出什么？"护士站姑娘又剥了个橘子，香味混着打印机残留的臭氧味，老张突然笑了："所以你这指南，其实是教人怎么'把系统做死'？"

　　我也笑了："做死不可怕，可怕的是做得不彻底。前年给某互联网公司搭环境，他们用iptables做了层白名单，我原以为够安全了，结果人家CTO亲自下场，用ebtables把链路层也锁了——最后连ARP欺骗都打不进来。这种环境，你说是'过度设计'还是'必要之恶'？"走廊尽头传来脚步声，是保安在巡逻，老张合上书："所以你这13年经验，最后就得出个'优胜劣汰'的结论？"

　　我摸出最后一口饼干塞进嘴里："优胜劣汰不是结论，是过程。SELinux、AppArmor、cgroups、OpenSCAP...这些工具就像抗生素，用对了能救命，用错了会要命。我见过太多环境，因为'怕麻烦'而关了SELinux，结果被一招制敌；也见过太多环境，因为'过度安全'而运维崩溃，最后不得不回滚。所以我这指南里写的，不是'该用什么'，而是'怎么判断该用什么'。"

　　老张没说话，把书塞回我手里。打印机又卡纸了，这次没人去管它。走廊那盏灯还是没亮，但应急灯的绿光足够看清书页上的字——"安全环境的终极目标，不是挡住所有攻击，而是让攻击者的成本高于收益。"我合上书，突然想起三床家属昨天送来的锦旗，上面写着"医术精湛，妙手回春"——和Linux安全有什么关系？但仔细想想，好像也没什么区别。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!