搜索

[24055] 2015-07-04_Linux服务器安全技巧

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2015-07-04_Linux服务器安全技巧 L i n u x   服 务 器 安 全 技 巧 原 创   K a y G u o W h   L i n u x 中 国   2 0 1 5 - 0 7 - 0 4 毋 庸 置 疑 ， 对 于 系 统 管 理 员 ， 提 高 服 务 器 的 安 全 性 是 最 重 要 的 事 情 之 一 。 因 此 ， 也 就 有 了 许 多 针 对 这 个 话 题 而 生 的 文 章 、 博 客 和 论 坛 帖 子 。 一 台 服 务 器 由 大 量 功 能 各 异 的 部 件 组 成 ， 这 一 点 使 得 很 难 根 据 每 个 人 的 需 求 去 提 供 定 制 的 解 决 方 案 。 这 篇 文 章 尽 可 能 涵 盖 一 些 有 所 裨 益 的 小 技 巧 来 帮 助 管 理 员 保 证 服 务 器 和 用 户 安 全 。 有 一 些 常 识 是 每 个 系 统 管 理 员 都 应 该 烂 熟 于 心 的 ， 所 以 下 面 的 几 点 在 本 文 将 不 会 提 及 ： 务 必 保 证 系 统 是 最 新 的 最 新 的 经 常 更 换 密 码   -   使 用 数 字 、 字 母 和 非 字 母 的 符 号 组 合 给 予 用 户 最 小 最 小 的 权 限 ， 满 足 他 们 日 常 使 用 所 需 即 可 只 安 装 那 些 真 正 需 要 的 软 件 包 下 面 是 一 些 更 有 意 思 的 内 容 ： 更 改 S S H 默 认 端 口 在 搭 建 好 一 台 全 新 的 服 务 器 后 要 做 的 第 一 件 事 情 就 是 更 改 S S H 的 默 认 端 口 。 这 个 小 小 的 改 动 能 够 使 你 的 服 务 器 避 免 受 到 成 千 上 万 的 暴 力 攻 击 （ L C T T   译 注 ： 不 更 改 默 认 端 口 相 当 于 黑 客 们 知 道 你 家 的 门 牌 号 ， 这 样 他 们 只 需 要 一 把 一 把 的 试 钥 匙 就 可 能 打 开 你 家 的 锁 ） 。 要 更 改 默 认 的 S S H 端 口 ， 先 打 开 s s h d _ c o n f i g 文 件 ： 找 到 下 面 这 行 ： “ # ” 号 表 示 这 行 是 注 释 。 首 先 删 除 # 号 ， 然 后 把 端 口 号 改 成 目 的 端 口 。 端 口 号 不 能 超 过 6 5 5 3 5 ， 确 保 要 指 定 的 端 口 号 没 有 被 系 统 或 其 它 服 务 占 用 。 建 议 在 [ 维 基 百 科 ] 上 查 看 常 用 端 口 号 列 表 。 在 本 文 中 ， 使 用 这 个 端 口 号 ： 然 后 保 存 并 关 闭 文 件 ， 等 待 更 改 生 效 。 接 下 来 的 一 步 是 ： 使 用 S S H 密 钥 认 证 在 通 过 S S H 访 问 服 务 器 时 ， 使 用 S S H 密 钥 进 行 认 证 是 尤 其 重 要 的 。 这 样 做 为 服 务 器 增 加 了 额 外 的 保 护 ， 确 保 只 有 那 些 拥 有 密 钥 的 人 才 能 访 问 服 务 器 。 在 本 地 机 器 上 运 行 下 面 命 令 以 生 成 S S H 密 钥 ： 1 .   s u d o   v i m   / e t c / s s h / s s h d _ c o n f i g 1 .   # P o r t   2 2 1 .   P o r t   1 6 5 4 3
你 会 看 到 下 面 的 输 出 ， 询 问 要 将 密 钥 写 到 哪 一 个 文 件 里 ， 并 且 设 置 一 个 密 码 ： 完 成 之 后 ， 就 得 到 两 个 文 件 ： m y _ k e y m y _ k e y . p u b 接 下 来 把 m y _ k e y . p u b 拷 贝 到 ~ / . s s h / a u t h o r i z e d _ k e y 中 然 后 使 用 下 面 命 令 将 密 钥 上 传 到 服 务 器 ： 至 此 ， 你 就 可 以 从 这 台 本 地 机 器 上 无 密 码 地 访 问 服 务 器 了 。 关 闭 S S H 的 密 码 认 证 既 然 已 经 有 了 S S H 密 钥 ， 那 么 关 闭 S S H 的 密 码 认 证 就 会 更 安 全 了 。 再 次 打 开 并 编 辑 s s h d _ c o n f i g ， 按 如 下 设 置 ： 关 闭 R o o t 登 录 下 面 关 键 的 一 步 是 关 闭 r o o t 用 户 的 直 接 访 问 ， 而 使 用 s u d o 或 s u 来 执 行 管 理 员 任 务 。 首 先 需 要 添 加 一 个 有 r o o t 权 限 的 新 用 户 ， 所 以 编 辑 这 个 路 径 下 的 s u d o e r s 文 件 ： 推 荐 使 用 如 v i s u d o 这 样 的 命 令 编 辑 该 文 件 ， 因 为 它 会 在 关 闭 文 件 之 前 检 查 任 何 可 能 出 现 的 语 法 错 误 。 当 你 在 编 辑 文 件 时 出 错 了 ， 这 就 很 有 用 了 。 接 下 来 赋 予 某 个 用 户 r o o t 权 限 。 在 本 文 中 ， 使 用 用 户 s y s a d m i n 。 确 保 在 编 辑 后 这 个 文 件 时 使 用 的 用 户 是 系 统 已 有 的 用 户 。 找 到 下 面 这 行 ： 拷 贝 这 行 ， 然 后 粘 贴 在 下 一 行 ， 然 后 把 r o o t 更 改 为 “ s y s a d m i n ” ， 如 下 所 示 ： 现 在 解 释 一 下 这 行 的 每 一 个 选 项 的 含 义 ： ( 1 )   指 定 用 户 ( 2 )   指 定 用 户 使 用 s u d o 的 终 端 1 .   s s h - k e y g e n   - t   r s a 1 .   G e n e r a t i n g   p u b l i c / p r i v a t e   r s a   k e y   p a i r . 2 .   E n t e r   f i l e   i n   w h i c h   t o   s a v e   t h e   k e y   ( / r o o t / . s s h / i d _ r s a ) :   m y _ k e y 3 .   E n t e r   p a s s p h r a s e   ( e m p t y   f o r   n o   p a s s p h r a s e ) :   4 .   E n t e r   s a m e   p a s s p h r a s e   a g a i n :   5 .   Y o u r   i d e n t i f i c a t i o n   h a s   b e e n   s a v e d   i n   m y _ k e y . 6 .   Y o u r   p u b l i c   k e y   h a s   b e e n   s a v e d   i n   m y _ k e y . p u b . 7 .   T h e   k e y   f i n g e r p r i n t   i s : 8 .   S H A 2 5 6 : M q D / p z z T R s C j Z b 6 m p f j y r r 5 v 1 p J L B c g p r R 5 t j N o I 2 0 A 1 .   c p   m y _ k e y . p u b   ~ / . s s h / a u t h o r i z e d _ k e y s 1 .   s c p   - P 1 6 5 4 3   a u t h o r i z e d _ k e y s   u s e r @ y o u r s e r v e r - i p : / h o m e / u s e r / . s s h / 1 .   C h a l l e n g e R e s p o n s e A u t h e n t i c a t i o n   n o 2 .   P a s s w o r d A u t h e n t i c a t i o n   n o 3 .   U s e P A M   n o 1 .   / e t c / s u d o e r s / 1 .   r o o t   A L L = ( A L L )   A L L 1 .   r o o t   A L L = ( A L L )   A L L 2 .   s y s a d m i n   A L L = ( A L L )   A L L 1 .   ( 1 )   r o o t     ( 2 ) A L L = ( 3 ) ( A L L )   ( 4 ) A L L
( 3 )   指 定 用 户 可 以 担 任 的 用 户 角 色 ( 4 )   这 个 用 户 可 以 使 用 的 命 令 （ L C T T   译 注 ： 所 以 上 面 的 配 置 是 意 思 是 ： r o o t   用 户 可 以 在 任 何 终 端 担 任 任 何 用 户 ， 执 行 任 何 命 令 。 ） 使 用 这 个 配 置 可 以 给 用 户 访 问 一 些 系 统 工 具 的 权 限 。 这 时 ， 可 以 放 心 保 存 文 件 了 。 为 了 关 闭 通 过 S S H 直 接 访 问 r o o t ， 需 要 再 次 打 开 s s h d _ c o n f i g ， 找 到 下 面 这 行 ： 更 改 为 ： 然 后 保 存 文 件 ， 重 启 s s h d 守 护 进 程 使 改 动 生 效 。 执 行 下 面 命 令 即 可 ： 设 置 防 火 墙 防 火 墙 有 助 于 过 滤 出 入 端 口 和 阻 止 使 用 暴 力 法 的 登 录 尝 试 。 我 倾 向 于 使 用 S C F ( C o n f i g   S e r v e r   F i r e w a l l ) 这 个 强 力 防 火 墙 。 它 使 用 了 i p t a b l e s ， 易 于 管 理 ， 而 且 对 于 不 擅 于 输 入 命 令 的 用 户 提 供 了 w e b 界 面 。 要 安 装 C S F ， 先 登 录 到 服 务 器 ， 切 换 到 这 个 目 录 下 ： 然 后 以 r o o t 权 限 执 行 下 面 命 令 ： 只 需 等 待 安 装 程 序 完 成 ， 然 后 编 辑 C S F 的 配 置 文 件 ： 默 认 情 况 下 C S F 是 以 测 试 模 式 运 行 。 通 过 将 “ T E S T I N G ” 的 值 设 置 成 0 ， 切 换 到 p r o d u c t 模 式 。 下 面 要 设 置 的 就 是 服 务 器 上 允 许 通 过 的 端 口 。 在 c s f . c o n f 中 定 位 到 下 面 的 部 分 ， 根 据 需 要 修 改 端 口 ： 请 根 据 需 要 逐 一 设 置 ， 推 荐 只 使 用 那 些 需 要 的 端 口 ， 避 免 设 置 对 端 口 进 行 大 范 围 设 置 。 此 外 ， 也 要 避 免 使 用 不 安 全 服 务 的 不 安 全 端 口 。 比 如 只 允 许 端 口 4 6 5 和 5 8 7 来 发 送 电 子 邮 件 ， 取 代 默 认 的 S M T P 端 口 2 5 。 （ L C T T   译 注 ： 前 提 是 你 的 邮 件 服 务 器 支 持   S M T P S ） 重 要 重 要 ： 千 万 不 要 忘 记 允 许 自 定 义 的   s s h   端 口 。 1 .   # P e r m i t R o o t L o g i n   y e s 1 .   P e r m i t R o o t L o g i n   n o 1 .   s u d o   / e t c / i n i t . d / s s h d   r e s t a r t 1 .   c d   / u s r / l o c a l / s r c / 1 .   w g e t   h t t p s : / / d o w n l o a d . c o n f i g s e r v e r . c o m / c s f . t g z 2 .   t a r   - x z f   c s f . t g z 3 .   c d   c s f 4 .   s h   i n s t a l l . s h 1 .   / e t c / c s f / c s f . c o n f 1 .   T E S T I N G   =   " 0 " 1 .   #   允 许 入 站 的   T C P   端 口 2 .   T C P _ I N   =   " 2 0 , 2 1 , 2 5 , 5 3 , 8 0 , 1 1 0 , 1 4 3 , 4 4 3 , 4 6 5 , 5 8 7 , 9 9 3 , 9 9 5 , 1 6 5 4 3 " 3 .   #   允 许 出 站 的   T C P   端 口 4 .   T C P _ O U T   =   " 2 0 , 2 1 , 2 2 , 2 5 , 5 3 , 8 0 , 1 1 0 , 1 1 3 , 4 4 3 , 5 8 7 , 9 9 3 , 9 9 5 , 1 6 5 4 3 " 5 .   #   允 许 入 站 的   U D P   端 口 6 .   U D P _ I N   =   " 2 0 , 2 1 , 5 3 " 7 .   #   允 许 出 站 的   U D P   端 口 8 .   #   要 允 许 发 出   t r a c e r o u t e   请 求 ， 请 加   3 3 4 3 4 : 3 3 5 2 3   端 口 范 围 到 该 列 表   9 .   U D P _ O U T   =   " 2 0 , 2 1 , 5 3 , 1 1 3 , 1 2 3 "
允 许 你 的 I P 地 址 通 过 防 火 墙 ， 而 绝 不 被 屏 蔽 ， 这 一 点 很 重 要 。 I P 地 址 定 义 在 下 面 的 文 件 中 ： 被 屏 蔽 了 的 I P 地 址 会 出 现 在 这 个 文 件 中 ： 一 旦 完 成 更 改 ， 使 用 这 个 命 令 重 启 c s f ： 下 面 是 在 某 台 服 务 器 上 的 c s f . d e n y 文 件 的 部 分 内 容 ， 来 说 明 C S F 是 很 有 用 的 ： 可 以 看 到 ， 尝 试 通 过 暴 力 法 登 录 的 I P 地 址 都 被 屏 蔽 了 ， 真 是 眼 不 见 心 不 烦 啊 ！ 锁 住 账 户 如 果 某 个 账 户 在 很 长 一 段 时 间 内 都 不 会 被 使 用 了 ， 那 么 可 以 将 其 锁 住 以 防 止 其 它 人 访 问 。 使 用 如 下 命 令 ： 当 然 ， 这 个 账 户 依 然 可 以 被 r o o t 用 户 使 用 （ L C T T   译 注 ： 可 用   s u   切 换 为 该 账 号 ） 。 了 解 服 务 器 上 的 服 务 服 务 器 的 本 质 是 为 各 种 服 务 提 供 访 问 功 能 。 使 服 务 器 只 运 行 所 需 的 服 务 ， 关 闭 没 有 使 用 的 服 务 。 这 样 做 不 仅 会 释 放 一 些 系 统 资 源 ， 而 且 也 会 使 服 务 器 变 得 更 加 安 全 。 比 如 ， 如 果 只 是 运 行 一 个 简 单 的 服 务 器 ， 显 然 不 需 要 X 显 示 或 者 桌 面 环 境 。 如 果 不 需 要 W i n d o w s 网 络 共 享 功 能 ， 则 可 以 放 心 关 闭 S a m b a 。 使 用 下 面 的 命 令 能 查 看 伴 随 系 统 启 动 而 启 动 的 服 务 ： 如 果 系 统 运 行 了 s y s t e m d ， 执 行 这 条 命 令 ： 然 后 使 用 下 面 的 命 令 关 闭 服 务 ： 在 上 面 的 例 子 中 ， 把 “ s e r v i c e ” 替 换 成 真 正 想 要 停 止 的 服 务 名 称 。 实 例 如 下 ： 小 结 这 篇 文 章 的 目 的 是 涵 盖 一 些 通 用 的 安 全 步 骤 以 便 帮 助 你 保 护 服 务 器 。 你 可 以 采 取 更 多 方 式 去 增 强 对 服 务 器 的 保 护 。 请 记 住 保 证 服 务 器 安 全 是 你 的 责 任 ， 在 维 护 服 务 器 安 全 时 尽 量 做 出 明 智 的 选 择 ， 尽 管 并 没 有 什 么 容 易 的 方 式 去 完 成 这 件 事 情 ， 而 建 立 “ 完 善 的 ” 安 全 需 要 花 费 大 量 的 时 间 和 测 试 直 到 达 到 想 要 的 结 果 。 1 .   / e t c / c s f / c s f . i g n o r e 1 .   / e t c / c s f / c s f . d e n y 1 .   s u d o   / e t c / i n i t . d / c s f   r e s t a r t 1 .   2 1 1 . 2 1 6 . 4 8 . 2 0 5   #   l f d :   ( s s h d )   F a i l e d   S S H   l o g i n   f r o m   2 1 1 . 2 1 6 . 4 8 . 2 0 5   ( K R / K o r e a ,   R e p u b l i c   o f / - ) :   5   i n   t h e   l a s t   3 6 0 0   s e c s   -   F r i   M a r   6   0 0 : 3 0 : 3 5   2 0 1 5 2 .   1 0 3 . 4 1 . 1 2 4 . 5 3   #   l f d :   ( s s h d )   F a i l e d   S S H   l o g i n   f r o m   1 0 3 . 4 1 . 1 2 4 . 5 3   ( H K / H o n g   K o n g / - ) :   5   i n   t h e   l a s t   3 6 0 0   s e c s   -   F r i   M a r   6   0 1 : 0 6 : 4 6   2 0 1 5 3 .   1 0 3 . 4 1 . 1 2 4 . 4 2   #   l f d :   ( s s h d )   F a i l e d   S S H   l o g i n   f r o m   1 0 3 . 4 1 . 1 2 4 . 4 2   ( H K / H o n g   K o n g / - ) :   5   i n   t h e   l a s t   3 6 0 0   s e c s   -   F r i   M a r   6   0 1 : 5 9 : 0 4   2 0 1 5 4 .   1 0 3 . 4 1 . 1 2 4 . 2 6   #   l f d :   ( s s h d )   F a i l e d   S S H   l o g i n   f r o m   1 0 3 . 4 1 . 1 2 4 . 2 6   ( H K / H o n g   K o n g / - ) :   5   i n   t h e   l a s t   3 6 0 0   s e c s   -   F r i   M a r   6   0 2 : 4 8 : 2 6   2 0 1 5 5 .   1 0 9 . 1 6 9 . 7 4 . 5 8   #   l f d :   ( s s h d )   F a i l e d   S S H   l o g i n   f r o m   1 0 9 . 1 6 9 . 7 4 . 5 8   ( G B / U n i t e d   K i n g d o m / m a i l 2 . a l g e o s . c o m ) :   5   i n   t h e   l a s t   3 6 0 0   s e c s   -   F r i   M a r   6   0 3 : 4 9 : 0 3   2 0 1 5 1 .   p a s s w d   - l   a c c o u n t N a m e 1 .   c h k c o n f i g   - - l i s t   |   g r e p   " 3 : o n " 1 .   s y s t e m c t l   l i s t - u n i t - f i l e s   - - t y p e = s e r v i c e   |   g r e p   e n a b l e d 1 .   c h k c o n f i g   s e r v i c e   o f f 2 .   或 3 .   s y s t e m c t l   d i s a b l e   s e r v i c e 1 .   c h k c o n f i g   h t t p d   o f f 2 .   或 3 .   s y s t e m c t l   d i s a b l e   h t t p d
v i a :   h t t p : / / w w w . l i n u x v e d a . c o m / 2 0 1 5 / 0 6 / 0 3 / s e c u r e - l i n u x - s e r v e r / 作 者 ： M a r i n   T o d o r o w   译 者 ： K a y G u o W h u   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理