建站
咨詢
售后
建站咨詢
新聞中心
CentOs web服務(wù)器安全防范經(jīng)驗(yàn)總結(jié)
1.禁用ROOT權(quán)限登錄。(重要)
創(chuàng)新互聯(lián)公司專業(yè)為企業(yè)提供新林網(wǎng)站建設(shè)、新林做網(wǎng)站、新林網(wǎng)站設(shè)計(jì)、新林網(wǎng)站制作等企業(yè)網(wǎng)站建設(shè)、網(wǎng)頁設(shè)計(jì)與制作、新林企業(yè)網(wǎng)站模板建站服務(wù)，10余年新林做網(wǎng)站經(jīng)驗(yàn)，不只是建網(wǎng)站，更提供有價(jià)值的思路和整體網(wǎng)絡(luò)服務(wù)。
2.安全組收縮不使用的端口，建議除443/80以及ssh登錄等必要端口外全部關(guān)閉。
3.防火墻收縮不使用的端口，建議除443/80以及ssh登錄端口外全部關(guān)閉。
4.更改ssh默認(rèn)端口22
5.除登錄USER，禁止其他用戶su到root進(jìn)程，并且ssh開啟秘鑰及密碼雙層驗(yàn)證登錄。(重要)
6.限制除登錄USER外的其他用戶登錄。
7.安裝DenyHosts，防止ddos攻擊。
8.禁止系統(tǒng)響應(yīng)任何從外部/內(nèi)部來的ping請(qǐng)求。
9.保持每天自動(dòng)檢測更新。
10.禁止除root之外的用戶進(jìn)程安裝軟件及服務(wù)，如有需要?jiǎng)troot安裝，chown給到用戶。
11.定時(shí)給服務(wù)器做快照。
12.更改下列文件權(quán)限：
13.限制普通用戶使用特殊命令，比如wget，curl等命令更改使用權(quán)限，一般的挖礦程序主要使用這幾種命令操作。
1.nginx進(jìn)程運(yùn)行在最小權(quán)限的子用戶中，禁止使用root用戶啟動(dòng)nginx。(重要)
2.配置nginx.conf，防范常見漏洞：
1.禁止root權(quán)限啟動(dòng)apache服務(wù)！禁止root權(quán)限啟動(dòng)apache服務(wù)！禁止root權(quán)限啟動(dòng)apache服務(wù)！重要的事情說三遍！因?yàn)檫@個(gè)問題被搞了兩次。
2.改掉默認(rèn)端口。
3.清空webapps下除自己服務(wù)外的其他文件，刪除用戶管理文件，防止給木馬留下后門。
4.限制apache啟動(dòng)進(jìn)程su到root進(jìn)程以及ssh登錄，限制啟動(dòng)進(jìn)程訪問除/home/xx自身目錄外的其他文件。
5.限制apache啟動(dòng)進(jìn)程操作刪除以及編輯文件，一般a+x即可。
1.關(guān)閉外網(wǎng)連接，與java/php服務(wù)使用內(nèi)網(wǎng)連接。
2.在滿足java/php服務(wù)的基礎(chǔ)上，新建最小權(quán)限USER給到服務(wù)使用，禁止USER權(quán)限訪問其他項(xiàng)目的庫。
3.root密碼不要與普通USER相同。
4.建議使用云庫，云庫具備實(shí)時(shí)備份，動(dòng)態(tài)擴(kuò)容，數(shù)據(jù)回退等功能，減少操作風(fēng)險(xiǎn)。
1.關(guān)閉外網(wǎng)連接，只允許內(nèi)網(wǎng)交互，基本這個(gè)做了之后就已經(jīng)穩(wěn)了。
2.禁止root權(quán)限啟動(dòng)，運(yùn)行在普通用戶進(jìn)程里。
3.更改默認(rèn)端口。
4.添加登錄密碼。
以上是自己做的防范手段，不成熟見解，有一些方案待驗(yàn)證，不定時(shí)更新，歡迎大佬補(bǔ)充！
centos7 服務(wù)器基本的安全設(shè)置步驟
關(guān)閉ping掃描，雖然沒什么卵用
先切換到root
echo 1 /proc/sys/net/ipv4/icmp_echo_ignore_all
1代表關(guān)閉
0代表開啟
用iptables
iptables -I INPUT -p icmp -j DROP
簡單介紹下基本的 dedecms _aq/' target='_blank'安全設(shè)置
一、創(chuàng)建普通用戶，禁止root登錄，只允許普通用戶使用su命令切換到root
這樣做的好處是雙重密碼保護(hù)，黑客就算知道了普通用戶的密碼，如果沒有root密碼，對(duì)服務(wù)器上攻擊也比較有限
以下是具體做法(需要在root下)
添加普通用戶
useradd xxx
設(shè)置密碼
passwd xxx
這樣就創(chuàng)建好了一個(gè)普通用戶
禁止root登錄
vi /etc/ssh/sshd_config
PermitRootLogin no
Systemctl restart sshd
這樣就完成了第一步，之后root就無法登錄服務(wù)器只能通過普通用戶su切換
二、修改ssh的默認(rèn)端口22，因?yàn)閟sh的端口是22，我們?nèi)绻薷牧嗽摱丝冢麄兙托枰ㄙM(fèi)一點(diǎn)時(shí)間來掃描，稍微增加了點(diǎn)難度
以下將端口改為51866可以根據(jù)需要自己更改，最好選擇10000-65535內(nèi)的端口
step1 修改/etc/ssh/sshd_config
vi /etc/ssh/sshd_config
#Port 22 //這行去掉#號(hào)
Port 51866 //下面添加這一行
為什么不先刪除22，以防其他端口沒配置成功，而又把22的刪除了，無法再次進(jìn)入服務(wù)器
step2 修改SELinux
安裝semanage
$ yum provides semanage
$ yum -y install policycoreutils-python
使用以下命令查看當(dāng)前SElinux 允許的ssh端口：
semanage port -l | grep ssh
添加51866端口到 SELinux
semanage port -a -t ssh_port_t -p tcp 51866
注：操作不成功，可以參考：
失敗了話應(yīng)該是selinux沒有打開
然后確認(rèn)一下是否添加進(jìn)去
semanage port -l | grep ssh
如果成功會(huì)輸出
ssh_port_t tcp 51866, 22
step3 重啟ssh
systemctl restart sshd.service
查看下ssh是否監(jiān)聽51866端口
netstat -tuln
Step4 防火墻開放51866端口
firewall-cmd --permanent --zone=public --add-port=51866/tcp
firewall-cmd --reload
然后測試試試，能不能通過51866登錄，若能登錄進(jìn)來，說明成功，接著刪除22端口
vi /etc/ssh/sshd_config
刪除22端口 wq
systemctl restart sshd.service
同時(shí)防火墻也關(guān)閉22端口
firewall-cmd --permanent --zone=public --remove-port=22/tcp
注意如果是使用阿里的服務(wù)器需要到阿里里面的安全組添加新的入站規(guī)則(應(yīng)該是因?yàn)榘⒗锏姆?wù)器是用的內(nèi)網(wǎng)，需要做端口映射)
三、使用一些類似DenyHosts預(yù)防SSH暴力破解的軟件(不詳細(xì)介紹)
其實(shí)就是一個(gè)python腳本，查看非法的登錄，次數(shù)超過設(shè)置的次數(shù)自動(dòng)將ip加入黑名單。
四、使用云鎖(不詳細(xì)介紹)
參考自
總的來說做好了前兩步能夠減少至少百分之五十的入侵，在做好第三步之后，基本可以杜絕百分之八十以上的入侵。當(dāng)然最重要的還是自己要有安全意識(shí)，要多學(xué)習(xí)一些安全知識(shí)和linux的知識(shí)。
第三第四其中都有稍微提到一點(diǎn)，感興趣可以看看
centos是什么
CentOS是Community Enterprise Operating System的縮寫。CentOS（Community Enterprise Operating System，中文意思是社區(qū)企業(yè)操作系統(tǒng)）是Linux發(fā)行版之一。
CentOS 是RHEL（Red Hat Enterprise Linux）源代碼再編譯的產(chǎn)物，而且在RHEL的基礎(chǔ)上修正了不少已知的 Bug ，相對(duì)于其他 Linux 發(fā)行版，其穩(wěn)定性值得信賴。
擴(kuò)展資料：
CentOS 的特點(diǎn)
1、可以把CentOS理解為Red Hat AS系列！它完全就是對(duì)Red Hat AS進(jìn)行改進(jìn)后發(fā)布的！各種操作、使用和RED HAT沒有區(qū)別！
2、CentOS完全免費(fèi)，不存在RED HAT AS4需要序列號(hào)的問題。
3、CentOS獨(dú)有的yum命令支持在線升級(jí)，可以即時(shí)更新系統(tǒng)，不像RED HAT那樣需要花錢購買支持服務(wù)！
參考資料來源：百度百科-CentOS?
參考資料來源：百度百科-linux
文章標(biāo)題：centos服務(wù)器安全系統(tǒng)的簡單介紹
轉(zhuǎn)載注明：http://www.dlmjj.cn/article/dddhejh.html
