这是一套 Linux 基金会为其系统管理员提供的推荐规范。
这个文档用于帮助那些使用 Linux 工作站来访问和管理项目的 IT 设施的系统管理员团队。
如果你的系统管理员是远程员工，你也许可以使用这套指导方针确保系统管理员的系统可以通过核心安全需求，降低你的IT 平台成为攻击目标的风险。
即使你的系统管理员不是远程员工，很多人也会在工作环境中通过便携笔记本完成工作，或者在家中设置系统以便在业余时间或紧急时刻访问工作平台。不论发生何种情况，你都能调整这个推荐规范来适应你的环境。
限制但是，这并不是一个详细的“工作站加固”文档，可以说这是一个努力避免大多数明显安全错误而不会导致太多不便的一组推荐基线（baseline）。你也许阅读这个文档后会认为它的方法太偏执，而另一些人也许会认为这仅仅是一些肤浅的研究。安全就像在高速公路上开车 -- 任何比你开的慢的都是一个傻瓜，然而任何比你开的快的人都是疯子。这个指南仅仅是一些列核心安全规则，既不详细又不能替代经验、警惕和常识。
我们分享这篇文档是为了将开源协作的优势带到 IT 策略文献资料中。如果你发现它有用，我们希望你可以将它用到你自己团体中，并分享你的改进，对它的完善做出你的贡献。
结构每一节都分为两个部分：
核对适合你项目的需求
形式不定的提示内容，解释了为什么这么做
严重级别在清单的每一个项目都包括严重级别，我们希望这些能帮助指导你的决定：
关键（ESSENTIAL） 该项应该在考虑列表上被明确的重视。如果不采取措施，将会导致你的平台安全出现高风险。
中等（NICE） 该项将改善你的安全形势，但是会影响到你的工作环境的流程，可能会要求养成新的习惯，改掉旧的习惯。
低等（PARANOID） 留作感觉会明显完善我们平台安全、但是可能会需要大量调整与操作系统交互的方式的项目。
记住，这些只是参考。如果你觉得这些严重级别不能反映你的工程对安全的承诺，你应该调整它们为你所合适的。
选择正确的硬件我们并不会要求管理员使用一个特殊供应商或者一个特殊的型号，所以这一节提供的是选择工作系统时的核心注意事项。
检查清单[ ] 系统支持安全启动（SecureBoot） (关键)
[ ] 系统没有火线（Firewire），雷电（thunderbolt）或者扩展卡（ExpressCard）接口 (中等)
[ ] 系统有 TPM 芯片 (中等)
注意事项 安全启动（SecureBoot）尽管它还有争议，但是安全引导能够预防很多针对工作站的攻击（Rootkits、“Evil Maid”，等等），而没有太多额外的麻烦。它并不能阻止真正专门的攻击者，加上在很大程度上，国家安全机构有办法应对它（可能是通过设计)，但是有安全引导总比什么都没有强。
作为选择，你也许可以部署 Anti Evil Maid 提供更多健全的保护，以对抗安全引导所需要阻止的攻击类型，但是它需要更多部署和维护的工作。
系统没有火线（Firewire），雷电（thunderbolt）或者扩展卡（ExpressCard）接口火线是一个标准，其设计上允许任何连接的设备能够完全地直接访问你的系统内存（参见）。雷电接口和扩展卡同样有问题，虽然一些后来部署的雷电接口试图限制内存访问的范围。如果你没有这些系统端口，那是最好的，但是它并不严重，它们通常可以通过 UEFI 关闭或内核本身禁用。
TPM 芯片可信平台模块（Trusted Platform Module ，TPM）是主板上的一个与核心处理器单独分开的加密芯片，它可以用来增加平台的安全性（比如存储全盘加密的密钥），不过通常不会用于日常的平台操作。充其量，这个是一个有则更好的东西，除非你有特殊需求，需要使用 TPM 增加你的工作站安全性。
预引导环境这是你开始安装操作系统前的一系列推荐规范。
检查清单[ ] 使用 UEFI 引导模式（不是传统 BIOS）(关键)
[ ] 进入 UEFI 配置需要使用密码 (关键)
[ ] 使用安全引导 (关键)
[ ] 启动系统需要 UEFI 级别密码 (中等)
注意事项 UEFI 和安全引导UEFI 尽管有缺点，还是提供了很多传统 BIOS 没有的好功能，比如安全引导。大多数现代的系统都默认使用 UEFI 模式。