Ubuntu安全加固之内核参数与AppArmor规则调优

Ubuntu系统的安全加固，内核参数调优和AppArmor规则定制是两个核心且高效的实战方向。直接点说，默认安装的Ubuntu为了兼容性和易用性，并未将安全设置推到极限。你需要主动介入，通过调整内核的运行时行为来限制潜在攻击面，并利用AppArmor这个强制访问控制框架，为关键应用程序套上“紧身衣”，精确规定它们能做什么、不能做什么。这不是理论，而是立竿见影的提升系统韧性的具体操作。

一、内核参数调优：从系统层面筑牢防线

Linux内核通过/proc/sys/目录下的虚拟文件暴露了数百个可调参数（sysctl），这些参数控制着网络、内存、文件系统等核心行为。不当的配置可能成为拒绝服务或权限提升的漏洞。我们的目标是遵循最小权限原则，收紧系统。

1.1 网络栈安全加固

网络是常见的入侵渠道。调整相关参数可以抵御多种网络攻击。

# 编辑配置文件，使更改永久生效
sudo nano /etc/sysctl.d/99-security-hardening.conf

# 禁止ICMP重定向，防止路由表被恶意修改
net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0

# 开启反向路径过滤，防范IP地址欺骗（DDoS）
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# 关闭源路由，防止数据包绕过预设路由
net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0

# 忽略ICMP广播和回显请求，减少smurf攻击风险
net.ipv4.icmp_echo_ignore_broadcasts = 1

# 保护TCP栈：启用SYN Cookie防御SYN洪水攻击
net.ipv4.tcp_syncookies = 1
# 减少SYN+ACK重试次数，加速释放半连接
net.ipv4.tcp_synack_retries = 2
# 不记录未响应的TCP连接请求，节省资源
net.ipv4.tcp_max_syn_backlog = 2048

保存后，执行 sudo sysctl -p /etc/sysctl.d/99-security-hardening.conf 立即生效。这些设置能有效缓解网络层的基础攻击。

1.2 进程与内核行为限制

控制内核如何暴露信息和处理用户进程同样关键。

# 禁止非特权用户使用dmesg查看内核日志，防止信息泄漏
kernel.dmesg_restrict = 1

# 开启内核地址空间布局随机化（KASLR），增加漏洞利用难度
kernel.randomize_va_space = 2

# 限制核心转储文件大小，避免敏感信息通过coredump泄漏
kernel.core_uses_pid = 1
fs.suid_dumpable = 0

# 禁止通过ptrace调试非子进程，防止进程注入
kernel.yama.ptrace_scope = 1

# 开启ExecShield保护（兼容性设置）
kernel.exec-shield = 1

对于运行容器的服务器，可能需将kernel.yama.ptrace_scope设为0，但需评估安全风险。

二、 AppArmor深度调优：为应用戴上精准枷锁

AppArmor是一个基于路径的强制访问控制（MAC）系统。如果说内核参数是调整整个城市的交通规则，那么AppArmor就是为每一辆具体的汽车（应用程序）规定其专属的行车路线和禁行区域。Ubuntu默认已安装并启用了AppArmor，并为许多系统服务（如Nginx, MySQL, snap应用）提供了配置文件，但默认策略可能偏宽松，且自定义应用需要自己编写策略。

2.1 理解与操作AppArmor基础

首先检查状态：sudo apparmor_status。你会看到许多配置文件处于“enforce”（强制）或“complain”（抱怨）模式。强制模式会拒绝违规行为，而抱怨模式仅记录日志，用于策略调试。使用sudo aa-complain /path/to/binary或sudo aa-enforce /path/to/binary切换模式。

2.2 剖析与定制AppArmor策略文件

策略文件位于/etc/apparmor.d/。以自定义一个Python Web应用（位于/opt/myapp/app.py）为例。最佳实践是从一个宽松的“抱怨模式”配置文件开始，通过分析日志来收紧策略。

# 1. 生成一个初始配置文件模板
sudo aa-genprof /opt/myapp/app.py
# 按照提示操作，启动你的应用并执行所有正常功能，让AppArmor学习。

# 2. 手动编写或修改策略。一个强化后的示例文件 /etc/apparmor.d/opt.myapp.app.py
#include <tunables/global>

/opt/myapp/app.py {
  #include <abstractions/base>
  #include <abstractions/python> # 提供Python运行所需的基本权限

  # 应用自身文件权限
  /opt/myapp/app.py r,
  /opt/myapp/ r,
  /opt/myapp/*.py r,
  /opt/myapp/static/ r,
  /opt/myapp/templates/ r,

  # 网络规则：允许绑定TCP 8080端口
  network inet tcp,

  # 允许写入日志文件（限制路径）
  /var/log/myapp.log w,
  /var/log/myapp/*.log w,

  # 明确拒绝敏感目录的访问，即使有抽象规则也覆盖
  deny /etc/passwd r,
  deny /etc/shadow r,
  deny /proc/ r,
  deny /sys/ r,

  # 允许读取必要的系统库（通常已被abstractions/base覆盖）
  /usr/lib/x86_64-linux-gnu/ rm,

  # Capability限制：只授予必要的能力，禁止如挂载、调试等危险能力
  deny capability sys_module,
  deny capability dac_override,
  capability setuid,
  capability net_bind_service,
}

加载并启用此策略：sudo apparmor_parser -r /etc/apparmor.d/opt.myapp.app.py。之后，该Python应用任何超出策略的行为都会被阻止并记录到/var/log/syslog或/var/log/audit/audit.log中。

2.3 高级技巧：策略抽象与包含

AppArmor支持使用#include引入预定义的抽象规则集（位于/etc/apparmor.d/abstractions/），如abstractions/nameservice（DNS解析）、abstractions/ssl_keys等。但需注意，过度依赖抽象可能引入不必要的权限。在生产环境中，建议基于抽象开始，但最终目标是尽可能细化、明确地列出每条规则，实现“最小权限”。定期审查日志sudo grep DENIED /var/log/syslog，并据此迭代更新策略。

三、集成与持续安全：让加固措施生效并持续3.1 测试与验证

所有更改都必须经过严格测试。修改内核参数后，重启相关服务或系统，确保业务应用正常运行。对于AppArmor，可以先将关键应用置于“complain”模式运行一个完整的业务周期，收集所有日志，再分析生成强制的策略。使用aa-logprof工具可以交互式地根据日志生成策略。

3.2 自动化与版本控制

将最终确定的/etc/sysctl.d/99-security-hardening.conf和/etc/apparmor.d/下的自定义策略文件纳入配置管理工具（如Ansible, SaltStack）或版本控制系统（如Git）。这确保了环境的一致性，并能在系统重建或扩展时快速复现安全基线。

3.3 监控与更新

安全不是一次性的。你需要监控系统日志，关注AppArmor的拒绝记录和内核警告。同时，关注Ubuntu安全通告，因为内核和AppArmor抽象规则的更新可能会引入新的行为或需要调整现有配置。定期（如每季度）重新评估你的安全策略，以适应应用和威胁环境的变化。

总结来说，Ubuntu的安全加固是一个从全局（内核）到局部（应用）的精细化过程。内核参数调优提供了系统级的广泛保护，而AppArmor规则定制则实现了应用级的纵深防御。两者结合，能显著提升攻击者渗透和横向移动的难度。关键在于理解你的业务需求，基于最小权限原则，通过迭代测试来制定策略，并将其作为基础设施代码的一部分进行管理。这不仅仅是技术操作，更是构建安全运维文化的重要一环。

Ubuntu安全加固之内核参数与AppArmor规则调优

服务指南

帮助中心