CentOS系统防止恶意软件自动安装的配置指南

基础安全配置

1. 最小化安装

   • 安装时选择"Minimal Install"模式，减少不必要的软件包
   • 安装后移除不需要的软件包：yum remove [unneeded-package]

2. 定期更新系统

   yum update -y
   yum upgrade -y
   

3. 启用SELinux

   • 检查状态：sestatus
   • 设置为enforcing模式：setenforce 1
   • 永久启用：修改/etc/selinux/config中SELINUX=enforcing

软件源安全

1. 仅使用官方和可信源

   • 检查现有源：yum repolist
   • 禁用第三方源除非必要
   • 验证GPG密钥：rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-CentOS-*

2. 配置yum安全选项 在/etc/yum.conf中添加：

   gpgcheck=1
   localpkg_gpgcheck=1
   repo_gpgcheck=1
   

用户权限控制

1. 限制root使用

   • 禁用root SSH登录：修改/etc/ssh/sshd_config中PermitRootLogin no
   • 使用sudo授权特定用户

2. 设置umask

   • 全局设置：/etc/profile中添加umask 027
   • 用户特定设置：~/.bashrc中添加umask 027

文件系统保护

1. 关键目录权限

   chmod 750 /bin /sbin /usr/bin /usr/sbin
   chmod 700 /boot /etc /lib /lib64 /root
   

2. 配置文件完整性检查

   • 安装aide：yum install aide
   • 初始化数据库：aide --init
   • 定期检查：aide --check

防火墙配置

1. 启用firewalld

   systemctl enable firewalld
   systemctl start firewalld
   

2. 基本规则

   firewall-cmd --permanent --add-service=ssh
   firewall-cmd --permanent --add-service=http
   firewall-cmd --reload
   

恶意软件检测与防护

1. 安装ClamAV

   yum install clamav clamav-update
   freshclam  # 更新病毒库
   clamscan -r /  # 全盘扫描
   

2. 配置自动扫描

   • 创建cron任务定期扫描
   • 设置实时监控（需要额外配置）

高级防护措施

1. 内核参数加固 在/etc/sysctl.conf中添加：

   kernel.exec-shield=1
   kernel.randomize_va_space=2
   net.ipv4.conf.all.rp_filter=1
   net.ipv4.conf.default.rp_filter=1
   

2. 禁用不必要服务

   systemctl disable [unneeded-service]
   systemctl stop [unneeded-service]
   

3. 配置auditd

   • 安装：yum install audit
   • 启用：systemctl enable --now auditd
   • 配置监控规则

监控与日志

1. 配置日志轮转

   • 检查/etc/logrotate.conf和/etc/logrotate.d/配置

2. 安装和配置fail2ban

   yum install epel-release
   yum install fail2ban
   systemctl enable fail2ban
   systemctl start fail2ban
   

定期维护

1. 设置自动安全更新

   yum install yum-cron
   systemctl enable yum-cron
   systemctl start yum-cron
   

2. 定期安全检查

   • 检查异常进程：ps aux
   • 检查异常网络连接：netstat -tulnp
   • 检查计划任务：crontab -l和/etc/cron.*目录

通过以上配置，可以显著降低CentOS系统被恶意软件自动安装的风险。请根据实际环境需求调整这些配置，并定期审查系统安全性。