Red Hat Enterprise Linux 7 安全指南：主要論點詳盡解釋

本文件為《Red Hat Enterprise Linux 7 安全指南》，旨在協助使用者和系統管理員學習保護 Red Hat Enterprise Linux 7（以及適用於所有 Linux 系統）工作站和伺服器免受本地和遠端入侵、漏洞利用及惡意活動的流程和實踐。指南詳細介紹了規劃和使用各種工具，為資料中心、工作場所及家庭建立安全的計算環境。憑藉適當的管理知識、警惕性及工具，運行 Linux 的系統可以既功能齊全又安全，抵禦大多數常見的入侵和利用方法。

以下是本指南所闡述的主要論點及其詳盡解釋：

1. 理解電腦安全性的基礎概念與威脅環境
   本指南首先確立電腦安全性的核心概念，強調其重要性在於現今對聯網電腦系統處理敏感資訊的日益依賴。安全性不僅是一個技術問題，更是一個業務和個人資產保護的關鍵因素。指南引入了資訊安全的三大核心原則：機密性（Confidentiality）、完整性（Integrity）和可用性（Availability），即俗稱的 CIA 三元組。機密性確保只有授權人員才能存取敏感資訊；完整性確保資訊不會被未經授權地修改或破壞；可用性確保授權使用者在需要時隨時可以存取資訊。
   此外，指南概述了不同類型的安全控制措施，包括實體控制（如監控攝影機、門禁）、技術控制（如加密、存取控制列表）和管理控制（如人員培訓、災難恢復計劃）。理解這些控制層級有助於建立全面的安全防護。
   指南接著深入探討安全性威脅，指出許多威脅源於不安全的架構、廣播網路、集中式伺服器、未使用的服務和開放埠、未及時修補的服務、管理人員的疏忽以及服務本身的固有不安全性。同時，也列舉了常見的漏洞利用和攻擊手段，例如空密碼或預設密碼、IP 欺騙、竊聽、服務及應用程式漏洞、以及阻斷服務 (DoS) 攻擊。認識這些威脅和攻擊方式，是制定有效防禦策略的前提。

2. 從安裝階段開始建立安全基礎
   安全性不應是事後補救的措施，而應從系統安裝的第一刻起就開始規劃與實施。本指南強調在安裝 Red Hat Enterprise Linux 7 時應採取的安全措施。這包括保護 BIOS/UEFI 設定，避免未經授權的啟動或修改；對硬碟進行分區規劃，為 /boot、/home、/tmp 和 /var/tmp 等目錄建立獨立分區，以提高穩定性和防止資料損失；安裝最小量的必要軟體套件，減少潛在的攻擊面；限制安裝過程中的網路連線，降低潛在風險；以及執行重要的安裝後程序，如立即更新系統和停用不必要的服務。這些初始步驟為系統後續的安全強化奠定了堅實的基礎。

3. 持續更新是維護系統安全性的關鍵環節
   軟體漏洞不斷被發現和修補，因此，保持系統的軟體最新是防禦已知威脅的最有效方法之一。本指南詳細說明了如何透過 Red Hat 提供的更新機制來維護已安裝的軟體。論點在於，當發現安全漏洞時，Red Hat 會盡快發布包含修補程式的更新套件（稱為勘誤）。系統管理員應密切關注這些安全勘誤（Red Hat Security Advisories），並及時應用這些更新，以最大程度地縮短系統暴露於已知漏洞的時間。指南提供了使用 yum 套件管理器處理安全更新的方法，包括檢查、列出和僅安裝安全相關更新的功能。同時，強調了驗證套件簽章的重要性，確保套件來自可信來源且未被篡改。此外，指南也提醒使用者在應用更新後，需要執行相應的程序（如重啟服務或系統）以確保最新的軟體版本生效。

4. 深度系統強化：保護核心組件與服務
   這是指南中最核心和篇幅最大的部分，詳細闡述了多層次的系統強化技術。主要論點是透過精細的配置和利用特定的工具與服務，可以大幅提高系統抵禦攻擊的能力。這包括：

   • 桌面與使用者安全性： 強調密碼安全的重要性，建議使用強密碼或密碼短語，並介紹如何強制密碼強度和設定密碼老化策略。此外，還涵蓋了帳戶鎖定（防止暴力破解）、會話鎖定（防止物理存取）以及對可移除媒體（如 USB 裝置）的唯讀掛載強制執行。
   • 控制 Root 權限存取： Root 帳戶擁有最高權限，因此必須嚴格控制其使用。指南提供了禁止直接 Root 登入、使用 su 或 sudo 來限制特權存取，以及設定閒置會話自動登出的方法。保護引導加載程式（GRUB 2）以防止未經授權地進入單使用者模式或修改啟動參數也被視為重要措施。
   • 保護服務安全： 任何在系統上運行的網路服務都可能成為攻擊入口。論點在於應停用所有不必要的服務，並對必要的服務進行安全配置。指南特別提到了保護 rpcbind、NIS、NFS、HTTP 伺服器（Apache, NGINX）、FTP 服務、Postfix 郵件伺服器以及 SSH 服務的方法。這通常涉及使用防火牆、TCP Wrappers、限制服務帳戶權限、及時修補漏洞以及使用加密協定（如 SSH 代替 Telnet/FTP）。
   • 加密技術的應用： 加密是保護資料機密性的核心手段。指南介紹了使用 LUKS 進行磁碟加密，特別適用於筆記型電腦和可移除媒體；創建和管理 GPG 密鑰用於安全通訊和驗證；使用 openCryptoki 和智慧卡（Smart Cards）來實現公共密鑰加密和身份驗證，與 OpenSSH 集成；以及使用網路綁定磁碟加密（NBDE）實現自動解鎖加密卷。
   • 網路存取安全： 除了服務本身的安全性，對網路流量的控制也至關重要。指南詳細闡述了使用防火牆（firewalld）管理網路連線，包括區域（Zones）、服務、埠、埠轉發、IP 位址偽裝、ICMP 請求管理以及使用豐富語言（Rich Language）規則來定義複雜策略。此外，還討論了禁用源路由（Source Routing）和利用反向路徑轉發（Reverse Path Forwarding）來防止 IP 欺騙，以及使用 DNSSEC 保護 DNS 流量和使用 Libreswan 配置 IPsec VPN。
   • 系統完整性檢查與設備控制： 除了防禦攻擊，檢測系統是否遭到篡改也是重要環節。指南介紹了使用 AIDE（Advanced Intrusion Detection Environment）來檢查檔案完整性。同時，介紹了 USBGuard 框架，用於根據設備屬性實施基本的白名單和黑名單，保護系統免受侵入性 USB 設備的影響。
   • TLS 配置強化與憑證管理： TLS 是保護網路通訊的標準協定。指南指導如何選擇和配置安全的 TLS 版本、加密套件和公共密鑰長度，並強調停用不安全選項的重要性。同時，介紹了 Red Hat Enterprise Linux 中共享系統憑證（Shared System Certificates）存儲的使用，便於應用程式共享信任的憑證。
   • 安全資料移除： 在淘汰儲存設備或移除敏感檔案時，必須確保資料無法被恢復。指南介紹了使用 scrub 工具安全地清除磁碟或檔案上的資料。

5. 系統稽核：記錄與分析安全相關事件
   僅僅防禦不足以確保安全，還必須能夠檢測到攻擊並進行事後分析。本指南深入探討 Linux 稽核（Audit）系統。核心論點是稽核系統提供了一種追蹤系統上安全相關資訊的方法，通過配置規則，生成詳細的日誌條目，記錄事件的日期時間、類型、結果、使用者身份、相關檔案和系統呼叫等資訊。這對於偵測安全策略違規、追蹤攻擊者行為和進行安全取證至關重要。指南涵蓋了稽核系統的架構、安裝、配置、規則定義（控制規則、檔案系統規則、系統呼叫規則）、日誌檔案格式理解、以及使用 ausearch 和 aureport 等工具搜索日誌和生成報告。

6. 利用自動化工具與標準進行法規遵循與漏洞掃描
   管理大量系統的安全性需要自動化工具的支援。本指南介紹了基於 Security Content Automation Protocol (SCAP) 標準的工具集。主要論點是 SCAP 提供了一種標準化的方式來表達安全策略和進行系統評估，使得法規遵循檢查和漏洞掃描能夠自動化進行。指南介紹了 SCAP Workbench 圖形化工具和 oscap 命令列工具，用於在本地或遠端系統上執行掃描、驗證安全內容、生成報告和指南，甚至進行自動化修復（Remediation）。指南也提到了與 Docker、atomic scan、Ansible 以及 Red Hat Satellite 等工具的集成，展示了如何將 SCAP 掃描和修復流程融入更廣泛的自動化和管理框架中。此外，指南還介紹了聯邦標準與法規（如 FIPS 140-2, NISPOM, PCI DSS, STIG），並說明 Red Hat Enterprise Linux 支援這些標準，幫助組織滿足合規性要求。

總結來說，《Red Hat Enterprise Linux 7 安全指南》的核心論點是，建立一個強固和具有彈性的計算環境，需要從系統安裝的初期就開始，持續進行軟體更新和修補，運用豐富的技術工具和服務來強化系統的各個層面（包括使用者、服務、網路和加密），同時建立健全的稽核機制來監控和記錄系統活動，並利用自動化工具和標準來驗證和維持系統的安全合規性。這是一個多管齊下、持續不斷的過程，需要管理人員的積極參與和警惕。