安全基线

UEFI 安全启动加固实战教程：用 sbctl 自建 PK/KEK/db 密钥、签名引导链与内核、批量 sign-all 自动化 hook，并结合 TPM 2.0 PCR 度量绑定 LUKS 自动解密，附状态验证与第三方驱动 MOK 签名排错。

配置漂移检测教程：定义黄金基线，采集 sysctl、SSH、账号、防火墙与监听端口，定时 diff 比对并告警，Ansible check 模式做变更前预检，附漂移复现与回归验证命令。

默认 GRUB 配置下，任何接触控制台或带外管理台的人都能用 init=/bin/bash 或 rd.break 拿到 root shell 并重置管理员密码。本文给出 grub2-setpassword 超级用户口令、菜单项权限、引导文件权限收紧、systemd sulogin 校验与固件层加固

文件 capabilities 是 SUID 之外容易被忽略的特权通道，常规 SUID 扫描查不到。本文给出 getcap 全盘盘点、高危能力收敛、systemd AmbientCapabilities 与 NoNewPrivileges 迁移、容器 cap-drop 白名单，以及 auditd

服务被攻破后限制横向移动，是纵深防御的关键一环。本文详解 systemd 服务沙箱加固：ProtectSystem 只读文件系统、PrivateTmp 私有 /tmp、NoNewPrivileges 禁提权、CapabilityBoundingSet 收窄能力，配合 systemd-analyze security 量化评分，含路径漏配与 CentOS 7 指令兼容排查。

攻击者利用 Web 漏洞写入的恶意文件大多落在 /tmp 或 /dev/shm，一旦可执行即可反弹 Shell 横向渗透。本文详解 /tmp 目录加固方案：noexec、nodev、nosuid 挂载选项配置、systemd tmp.mount 内存盘方案、/dev/shm 同步加固，含 MySQL 与 PHP 依赖排查、误伤处理与 fstab 自救方法。