5 个实用的 Linux 安全功能和工具(适合初学者)

linuxoperating systemopen source更新于 2026/2/4 11:07:17

Linux 是一个广泛使用的操作系统，以其强大的安全功能而闻名。虽然 Linux 通常被认为比其他操作系统更安全，但它仍然需要适当的配置和管理才能确保最大程度的安全性。幸运的是，有一些安全功能和工具可以帮助初学者保护他们的 Linux 系统。在本文中，我们将讨论 5 个实用的 Linux 安全功能和工具(适合初学者)。

用户管理

用户管理是 Linux 安全的重要组成部分。通过创建单独的用户帐户，您可以限制对敏感文件和数据的访问。默认情况下，Linux 在安装过程中会创建一个 root 帐户。root 帐户可以访问所有系统文件和设置，应谨慎使用。

建议创建一个具有有限权限的普通用户帐户。这可以使用 useradd 命令完成。例如，要创建一个名为"john"的新用户，您可以使用以下命令 -

sudo useradd -m john

-m 参数会为用户创建一个主目录，useradd 命令会提示您为新用户设置密码。创建用户帐户后，您可以通过将用户添加到 sudoers 文件来授予他们 sudo 权限。sudoers 文件可以使用 visudo 命令进行编辑。例如，要授予用户"john" sudo 权限，您可以向 sudoers 文件添加以下行 -

john ALL=(ALL) ALL

这将允许用户"john"使用 sudo 命令以 root 身份执行任何命令。

防火墙

防火墙是 Linux 安全的重要组成部分。它允许您控制传入和传出的网络流量并阻止不必要的连接。 Linux 上最流行的防火墙是 iptables。

iptables 使用一组规则来确定如何处理传入和传出流量。默认情况下，iptables 会阻止所有传入流量并允许所有传出流量。要添加规则以允许特定端口上的传入流量，您可以使用以下命令 -

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

这将允许用于 SSH 连接的端口 22 上的传入流量。要阻止特定端口上的传入流量，您可以使用以下命令 -

sudo iptables -A INPUT -p tcp --dport 80 -j DROP

这将阻止用于 HTTP 连接的 80 端口上的传入流量。

SELinux

SELinux 是 Linux 的一个安全模块，提供增强的安全功能。它使用一组策略对系统资源强制执行强制访问控制 (MAC)。MAC 是一种安全模型，它对用户或应用程序在系统上可以执行的操作进行强制限制。

默认情况下，大多数 Linux 发行版都禁用 SELinux。要启用 SELinux，您可以使用以下命令 -

sudo setenforce 1

这将以强制模式启用 SELinux。您还可以编辑 SELinux 配置文件 /etc/selinux/config，将 SELinux 永久设置为强制模式。

ClamAV

ClamAV 是一款开源防病毒软件，可以扫描 Linux 系统中的恶意软件和病毒。它可以检测并清除病毒、木马和其他恶意软件。您可以使用 Linux 发行版的软件包管理器安装 ClamAV。

To scan your system for malware using ClamAV, you can use following command −

sudo clamscan -r /

这将递归扫描您的整个系统并显示所有受感染的文件。要删除受感染的文件，您可以使用以下命令 -

sudo clamscan -r --remove /

这将删除扫描过程中发现的所有受感染的文件。

SSH

SSH(安全外壳)是一种用于通过网络安全地连接到远程 Linux 系统的协议。SSH 加密客户端和服务器之间的所有通信，从而提供一种安全的方式访问远程系统。

要使用 SSH 连接到远程系统，您可以使用以下命令 -

ssh username@remote-server

将"username"替换为您在远程系统上的用户名，将"remote-server"替换为您在远程系统上的 IP 地址或主机名。

您还可以使用 SSH 通过 scp 命令在系统之间传输文件。例如，要将名为"file.txt"的文件从本地系统复制到远程系统，您可以使用以下命令:

scp file.txt username@remote-server:/path/to/destination

将"username"替换为您在远程系统上的用户名，"remote-server"替换为您远程系统的 IP 地址或主机名，"/path/to/destination"替换为您在远程系统上的目标目录路径。

加密

加密是保护 Linux 系统数据安全的重要工具。即使攻击者获得了系统的访问权限，加密也能保护敏感数据免遭未经授权的访问。Linux 提供了多种加密工具，包括 LUKS 和 GnuPG。

LUKS(Linux 统一密钥设置)是 Linux 使用的磁盘加密标准。LUKS 允许您加密系统上的整个分区或磁盘。要创建 LUKS 加密分区，您可以使用以下命令 -

sudo cryptsetup luksFormat /dev/sdb1

这将在设备 /dev/sdb1 上创建一个 LUKS 加密分区。然后，您可以使用以下命令挂载加密分区 -

sudo cryptsetup luksOpen /dev/sdb1 my-encrypted-partition

这将创建一个名为"my-encrypted-partition"的解密设备，您可以使用它来访问加密分区。

GnuPG(GNU Privacy Guard)是一款用于加密和签名数据的工具。GnuPG 使用公钥加密来保护数据。要使用 GnuPG 加密文件，您可以使用以下命令:

gpg --encrypt --recipient recipient@example.com file.txt

将"recipient@example.com"替换为收件人的电子邮件地址，将"file.txt"替换为要加密的文件名。GnuPG 将创建一个名为"file.txt.gpg"的加密文件，只有收件人才能使用其私钥解密。

Auditd

Auditd 是一款用于监控系统活动的工具。它记录系统事件，例如文件访问、进程执行和网络活动，并将其存储在日志文件中。Auditd 可用于检测和调查 Linux 系统上的安全漏洞。

要在您的系统上安装 Auditd，您可以使用以下命令 -

sudo apt-get install auditd

安装完成后，您可以使用以下命令启动 Auditd 服务 -

sudo systemctl start auditd

Auditd 将开始将系统事件记录到位于 /var/log/audit/audit.log 的审计日志文件中。

Fail2ban

Fail2ban 是一款用于防止 Linux 系统遭受暴力攻击的工具。暴力破解攻击是黑客通过猜测密码来获取系统访问权限的常见攻击方式。Fail2ban 的工作原理是监控系统日志，查找重复的登录失败记录，并阻止表现出可疑行为的 IP 地址。

要在您的系统上安装 Fail2ban，您可以使用以下命令 -

sudo apt-get install fail2ban

安装完成后，您可以配置 Fail2ban 来监控系统日志并阻止表现出可疑行为的 IP 地址。例如，要在三次登录尝试失败后阻止某个 IP 地址，您可以在 Fail2ban 配置文件中添加以下规则 -

[sshd]
enabled = true
maxretry = 3

这将监控 SSH 日志中失败的登录尝试，并在三次尝试后阻止该 IP 地址。

结论

Linux 提供了多种安全功能和工具，可以帮助初学者保护系统安全。通过正确配置用户帐户、防火墙和 SELinux 策略，您可以限制对敏感数据的访问并控制传入和传出的网络流量。ClamAV 可用于扫描恶意软件和病毒，而 SSH 则提供了一种安全的远程系统访问方式。通过使用这些工具和功能，初学者可以显著提高其 Linux 系统的安全性。