在生产环境中，CentOS服务器的安全性至关重要。本文提供了一套详尽的安全配置指南，通过15个具体步骤，涵盖了从账户管理、密码策略到SSH安全加固等多个方面，帮助系统管理员有效提升服务器防护能力，减少潜在攻击风险。
智能速览
禁用root直接登录，改用普通用户提权操作。
设置严格的密码策略，包括复杂度、有效期和重用限制。
加固SSH服务，限制登录尝试并设置空闲超时。
配置关键系统文件权限，防止未授权访问与篡改。
开启日志服务与地址空间随机化，提升审计与防护能力。
精华内容
以下将深入解析这些关键配置项，从账户安全到服务加固，逐一说明其操作方法与背后的安全逻辑，构建起服务器的第一道防线。
账户与密码安全
最高权限的root账户是攻击者的主要目标，应禁止其直接SSH登录。建议创建普通用户（如ecs-user）并赋予sudo权限，日常运维使用该普通账户操作，需要时再提权，这能有效降低因root密码泄露导致的系统完全失控风险。
密码策略是基础防线。通过修改/etc/login.defs文件，可设置密码修改的最小间隔为7天（PASS_MIN_DAYS 7），防止用户频繁修改密码绕过策略；设置密码90天失效（PASS_MAX_DAYS 90），强制用户定期更换；同时设置7天到期警告（PASS_WARN_AGE 7），提醒用户及时操作。
提升密码复杂度至关重要。在/etc/security/pwquality.conf中，可要求密码长度至少10位（minlen=10），且包含大小写字母、数字、特殊符号中的至少3种（minclass=3）。此外，在PAM配置中添加remember=5，可防止用户重复使用最近5次的旧密码，全面杜绝弱密码风险。
SSH服务加固
SSH是远程管理的入口，必须重点防护。在/etc/ssh/sshd_config中，将PermitEmptyPasswords设置为no，可彻底禁止空密码用户登录。同时，设置MaxAuthTries为4，限制每个连接最多尝试4次密码，超过后连接即断开，有效抵御暴力破解攻击。
会话管理同样关键。设置ClientAliveInterval 600和ClientAliveCountMax 2，系统会在10分钟无操作后自动断开SSH连接，避免管理员离开时终端被他人恶意利用。将LogLevel设置为INFO，可以记录更详细的登录认证信息，便于事后审计与追溯，是排查安全事件的重要依据。
系统权限控制
系统关键文件的权限是安全基石。对于/etc/passwd和/group等文件，应设置为644权限，所有者为root；对于存储密码哈希的/etc/shadow和/etc/gshadow，则应设置为更严格的400权限，仅允许root读写。这能防止非授权用户窃取或篡改系统核心信息。
确保root是系统中唯一UID为0的账户是必要检查。可通过命令筛选/etc/passwd文件，排查是否存在其他UID为0的异常账户，如有则需立即处理。同时，必须启用并确保rsyslog服务正常运行，它是系统审计和故障排查的核心，缺失日志将使安全事件无从追溯。
内核安全增强
地址空间布局随机化（ASLR）是一项重要的内核级防护技术。通过在/etc/sysctl.conf中设置kernel.randomize_va_space = 2，可以随机化进程内存地址的布局。这使得攻击者难以预测和利用内存漏洞，从而显著增加了缓冲区溢出等攻击的难度，为服务器提供了一层更深层次的保护。
通过上述15项配置，CentOS服务器的安全性得到了系统性提升。这不仅是技术层面的加固，更是建立规范运维习惯的开始。持续关注系统安全动态，定期审计与更新，才能构筑真正稳固的服务器防线。你的服务器安全基线设置了吗？
