拿到一台刚装好的操作CentOS，别急着往上堆业务。系统默认配置跑在公网上，固方跟把家门钥匙插在锁孔里没区别。操作我见过太多台机器，系统SSH端口22对外开放，固方root直接登录，操作密码还是系统123456。攻击者扫到这种机器，固方跟捡到钱一样。操作

先说SSH。系统这是固方最容易被盯上的入口。改端口能挡掉一部分自动化扫描，操作但别指望它当安全措施。系统真正管用的固方是这三件事：禁止root直接登录、禁用密码认证改用密钥、限制登录用户。操作不复杂，编辑/etc/ssh/sshd_config：

PermitRootLogin no PasswordAuthentication no AllowUsers deploy admin

改完重启sshd之前，先确认密钥能正常登录。我吃过这个亏——手一抖把密码认证关了，密钥又没配好，直接把自己锁在外面，最后只能挂载ISO进救援模式。教训就是：改配置前开两个终端，一个改一个测。

防火墙这块，CentOS 7以后默认是firewalld。很多人嫌麻烦直接systemctl stop firewalld && systemctl disable firewalld，这等于把大门拆了。正确做法是按需开放端口：

firewall-cmd --permanent --add-service=http firewall-cmd --permanent --add-service=https firewall-cmd --permanent --remove-service=ssh firewall-cmd --permanent --add-port=2222/tcp firewall-cmd --reload

注意最后那条，如果你改了SSH端口，firewalld里也得同步。我见过有人改了sshd_config但忘了防火墙，重启后SSH连不上，以为是服务挂了，折腾半天才发现是防火墙把新端口拦了。

SELinux，这玩意儿让很多人头疼。网上教程第一句话就是“先关SELinux”，我理解这种冲动，但不建议。SELinux提供的强制访问控制是CentOS安全模型的核心部分，关掉它等于自废一层防御。遇到权限问题，用ausearch -m avc -ts recent看审计日志，用semanage调整策略，比直接关掉强得多。实在搞不定的场景，设成permissive模式也比disabled好——至少还有日志可查。

系统更新别偷懒。yum update定期跑，尤其是内核和openssl这类基础组件。CentOS 7已经EOL了，如果还在用，要么上CentOS Stream，要么转Rocky/AlmaLinux。继续跑EOL系统，等于用没有安全补丁的软件对外提供服务。我手头还有几台CentOS 7的旧机器，纯粹因为迁移成本太高暂时留着，但网络层做了严格限制，只允许特定IP访问。

账号管理是个细活。系统里那些用不上的默认账号，比如games、ftp、postfix，如果对应服务没跑，直接锁掉或删掉。chage -l username检查密码过期策略，awk -F: '($3>=1000)&&($1!="nobody"){ print $1}' /etc/passwd列出所有可登录的普通用户，逐个确认是否还需要。sudo权限也要收紧，别随便往wheel组里加人，visudo里配置具体命令白名单比给ALL强。

日志和监控不能少。auditd默认就在跑，但很多人没看过它的日志。/var/log/secure里记录了所有登录尝试，lastb看失败记录，last看成功登录。装个fail2ban自动封禁暴力破解的IP，配置简单效果直接。我一般设成5次失败封1小时，对正常用户无感，对扫描器很致命。

内核参数调优属于进阶操作，但有几个值得改。/etc/sysctl.conf里加上：

net.ipv4.conf.all.rp_filter = 1 net.ipv4.conf.all.accept_redirects = 0 net.ipv4.conf.all.send_redirects = 0 net.ipv4.tcp_syncookies = 1 kernel.dmesg_restrict = 1

这些参数防的是IP欺骗、ICMP重定向攻击和SYN flood，代价几乎为零。改完sysctl -p生效。

最后说个容易忽略的点：文件权限。别随便chmod 777，尤其是web目录和上传目录。用find / -perm -4000 -type f定期检查SUID文件，看看有没有异常。我遇到过一台被入侵的机器，攻击者留了个SUID root的bash在/tmp下，这种后门不查权限根本发现不了。

加固不是一次性的活。配好之后定期复查，系统在跑，攻击面就在变。每个月花半小时过一遍关键配置，比出事之后熬夜排查强得多。