一台刚装好的CentOS默认配置，直接扔公网上，撑不过三小时就会被扫描爆破。这不是危言耸听。我去年帮朋友排查过一台被入侵的服务器，对方留下的脚本就藏在/tmp目录下，SSH端口被改成2222，root密码早就换了。原因很简单——默认配置下，SSH允许密码登录，root可以直接远程连接，防火墙形同虚设。

Linux加固的第一步不是装什么安全软件，而是关掉那些不该开的门。SSH配置里，PermitRootLogin yes改成no，PasswordAuthentication yes改成no，改用密钥登录。就这么两个改动，能挡住90%的暴力破解。别心疼那点便利，你想想，用密码登录意味着什么？意味着只要密码够弱，任何人都有机会进来。密钥登录虽然第一次配置麻烦点，但一劳永逸。

端口这事也值得说道说道。默认22端口是扫描器的最爱，改成高位端口比如22022，确实能减少不少噪音。但别指望这能保命——真正有耐心的攻击者照样能通过端口扫描发现你。所以端口隐藏只是拖延战术，真正的安全防线还得靠防火墙。用firewalld或iptables把端口白名单写好，只放行必要的服务，其他一律DROP，这才是硬道理。

账户管理是另一个容易被忽视的环节。很多人图省事，直接用root干活，或者给普通用户加了sudo权限就万事大吉。但你要是看过/var/log/secure日志，就会发现那些爆破尝试的IP来自世界各地，用户名从admin到test再到oracle，全是常见账号。所以第一步，删掉那些用不到的默认账号，比如games、lp、shutdown。第二步，给每个需要登录的人单独建账号，别共享账号——出了问题没法追责。

补丁更新这事，说多了都是泪。我见过太多生产服务器，内核版本还是两三年前的，漏洞一抓一大把。有人怕更新后服务挂了，有人觉得"能用就别动"。但安全漏洞可不管你这套。CVE-2021-3156（sudo提权漏洞）爆出来的时候，全网都在打补丁，还是有人拖了俩月才更新，结果被利用得一塌糊涂。定期跑yum update或apt upgrade，把安全更新设为自动，这习惯得养成。

文件权限也是门学问。/etc/shadow权限必须是600，/etc/passwd是644，这些基本要求得守住。但更关键的是别给文件乱设SUID位——SUID程序能让普通用户以文件所有者的权限运行，要是被塞了个恶意SUID程序，等于给攻击者留了后门。定期用find / -perm -4000扫一遍，看看有没有异常。

日志审计看着枯燥，但关键时刻能救命。系统日志、认证日志、cron日志，都得开起来。更狠一点的做法是配置远程日志服务器，把日志实时同步出去——这样就算攻击者清了本地日志，你手里还有备份。我见过不少案例，就是靠远程日志里的蛛丝马迹，才还原了攻击路径。

最后说一句掏心窝子的话：加固不是一次性工作，而是持续对抗的过程。你堵住一个漏洞，对方会找下一个。今天改了SSH配置，明天可能就有新的CVE爆出来。保持警惕，定期检查，把安全当成习惯而不是任务，这才是Linux加固的终极奥义。