搜索

[25894] 2016-12-30_Linux服务器安全简明指南

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2016-12-30_Linux服务器安全简明指南 - -   P h i l   Z o n a 0 0 % 0 2 % 0 7 % 1 1 % 1 3 % 1 5 % 2 1 % 2 3 % 4 3 % 5 4 % 5 8 % 5 9 % 8 0 % 8 7 % 9 0 % 9 5 % L i n u x   服 务 器 安 全 简 明 指 南 原 创   译 者 ： g e e k p i   L i n u x 中 国   2 0 1 6 - 1 2 - 3 0 现 在 让 我 们 强 化 你 的 服 务 器 以 防 止 未 授 权 访 问 。 本 文 导 航 - 经 常 升 级 系 统 - 自 动 安 全 更 新 - 添 加 一 个 受 限 用 户 账 户 - C e n t O S   /   F e d o r a - U b u n t u - D e b i a n - 加 固   S S H   访 问 - 创 建 验 证 密 钥 对 - S S H   守 护 进 程 选 项 - 使 用   F a i l 2 B a n   保 护   S S H   登 录 - 删 除 未 使 用 的 面 向 网 络 的 服 务 - 查 明 运 行 的 服 务 - 查 明 该 移 除 哪 个 服 务 - 卸 载 监 听 的 服 务 - 配 置 防 火 墙 - 接 下 来 编 译 自 ：   h t t p s : / / w w w . l i n o d e . c o m / d o c s / s e c u r i t y / s e c u r i n g - y o u r - s e r v e r /   作 者 ：   P h i l   Z o n a 译 者 ：   g e e k p i 现 在 让 我 们 强 化 你 的 服 务 器 以 防 止 未 授 权 访 问 。 经 常 升 级 系 统 经 常 升 级 系 统 保 持 最 新 的 软 件 是 你 可 以 在 任 何 操 作 系 统 上 采 取 的 最 大 的 安 全 预 防 措 施 。 软 件 更 新 的 范 围 从 关 键 漏 洞 补 丁 到 小   b u g   的 修 复 ， 许 多 软 件 漏 洞 实 际 上 是 在 它 们 被 公 开 的 时 候 得 到 修 补 的 。
自 动 安 全 更 新 自 动 安 全 更 新 有 一 些 用 于 服 务 器 上 自 动 更 新 的 参 数 。 F e d o r a   的   W i k i [ 1 ]   上 有 一 篇 很 棒 的 剖 析 自 动 更 新 的 利 弊 的 文 章 ， 但 是 如 果 你 把 它 限 制 到 安 全 更 新 上 ， 自 动 更 新 的 风 险 将 是 最 小 的 。 自 动 更 新 的 可 行 性 必 须 你 自 己 判 断 ， 因 为 它 归 结 为 你 在 你 的 服 务 器 上 做 什 么 。 请 记 住 ， 自 动 更 新 仅 适 用 于 来 自 仓 库 的 包 ， 而 不 是 自 行 编 译 的 程 序 。 你 可 能 会 发 现 一 个 复 制 了 生 产 服 务 器 的 测 试 环 境 是 很 有 必 要 的 。 可 以 在 部 署 到 生 产 环 境 之 前 ， 在 测 试 环 境 里 面 更 新 来 检 查 问 题 。 C e n t O S   使 用   y u m - c r o n [ 2 ]   进 行 自 动 更 新 。 D e b i a n   和   U b u n t u   使 用   无 人 值 守 升 级 [ 3 ] 。 F e d o r a   使 用   d n f - a u t o m a t i c [ 4 ] 。 添 加 一 个 受 限 用 户 账 户 添 加 一 个 受 限 用 户 账 户 到 目 前 为 止 ， 你 已 经 作 为     用 户 访 问 了 你 的 服 务 器 ， 它 有 无 限 制 的 权 限 ， 可 以 执 行 任 何 命 令   -   甚 至 可 能 意 外 中 断 你 的 服 务 器 。   我 们 建 议 创 建 一 个 受 限 用 户 帐 户 ， 并 始 终 使 用 它 。   管 理 任 务 应 该 使 用   来 完 成 ， 它 可 以 临 时 提 升 受 限 用 户 的 权 限 ， 以 便 管 理 你 的 服 务 器 。 不 是 所 有 的   L i n u x   发 行 版 都 在 系 统 上 默 认 包 含   ， 但 大 多 数 都 在 其 软 件 包 仓 库 中 有   。   如 果 得 到 这 样 的 输 出   ， 请 在 继 续 之 前 安 装   。 要 添 加 新 用 户 ， 首 先 通 过   S S H   登 录 到 你 的 服 务 器 。 C e n t O S   /   F e d o r a 1 、   创 建 用 户 ， 用 你 想 要 的 名 字 替 换   ， 并 分 配 一 个 密 码 ： r o o t s u d o s u d o s u d o s u d o ： c o m m a n d   n o t   f o u n d s u d o e x a m p l e _ u s e r 1 .   u s e r a d d   e x a m p l e _ u s e r   & &   p a s s w d   e x a m p l e _ u s e r
2 、   将 用 户 添 加 到 具 有   s u d o   权 限 的     组 ： U b u n t u 1 、   创 建 用 户 ， 用 你 想 要 的 名 字 替 换   。 你 将 被 要 求 输 入 用 户 密 码 ： 2 、   添 加 用 户 到     组 ， 这 样 你 就 有 管 理 员 权 限 了 ： D e b i a n 1 、   D e b i a n   默 认 的 包 中 没 有   ，   使 用     来 安 装 ： 2 、   创 建 用 户 ， 用 你 想 要 的 名 字 替 换   。 你 将 被 要 求 输 入 用 户 密 码 ： w h e e l 1 .   u s e r m o d   - a G   w h e e l   e x a m p l e _ u s e r e x a m p l e _ u s e r 1 .   a d d u s e r   e x a m p l e _ u s e r s u d o 1 .   a d d u s e r   e x a m p l e _ u s e r   s u d o s u d o a p t - g e t 1 .   a p t - g e t   i n s t a l l   s u d o e x a m p l e _ u s e r 1 .   a d d u s e r   e x a m p l e _ u s e r
3 、   添 加 用 户 到     组 ， 这 样 你 就 有 管 理 员 权 限 了 ： 创 建 完 有 限 权 限 的 用 户 后 ， 断 开 你 的 服 务 器 连 接 ： 重 新 用 你 的 新 用 户 登 录 。 用 你 的 用 户 名 代 替   ， 用 你 的 服 务 器   I P   地 址 代 替 例 子 中 的   I P   地 址 ： 现 在 你 可 以 用 你 的 新 用 户 帐 户 管 理 你 的 服 务 器 ， 而 不 是   。   几 乎 所 有 超 级 用 户 命 令 都 可 以 用   （ 例 如 ： ） 来 执 行 ， 这 些 命 令 将 被 记 录 到   中 。 加 固 加 固   S S H   访 问 访 问 默 认 情 况 下 ， 密 码 认 证 用 于 通 过   S S H   连 接 到 您 的 服 务 器 。 加 密 密 钥 对 更 加 安 全 ， 因 为 它 用 私 钥 代 替 了 密 码 ， 这 通 常 更 难 以 暴 力 破 解 。 在 本 节 中 ， 我 们 将 创 建 一 个 密 钥 对 ， 并 将 服 务 器 配 置 为 不 接 受   S S H   密 码 登 录 。 创 建 验 证 密 钥 对 创 建 验 证 密 钥 对 1 、 这 是 在 你 本 机 上 完 成 的 ， 不 是 在 你 的 服 务 器 上 ， 这 里 将 创 建 一 个   4 0 9 6   位 的   R S A   密 钥 对 。 在 创 建 过 程 中 ， 您 可 以 选 择 使 用 密 码 加 密 私 钥 。 这 意 味 着 它 不 能 在 没 有 输 入 密 码 的 情 况 下 使 用 ， 除 非 将 密 码 保 存 到 本 机 桌 面 的 密 钥 管 理 器 中 。 我 们 建 议 您 使 用 带 有 密 码 的 密 钥 对 ， 但 如 果 你 不 想 使 用 密 码 ， 则 可 以 将 此 字 段 留 空 。 s u d o 1 .   a d d u s e r   e x a m p l e _ u s e r   s u d o 1 .   e x i t e x a m p l e _ u s e r 1 .   s s h   e x a m p l e _ u s e r @ 2 0 3 . 0 . 1 1 3 . 1 0 r o o t s u d o s u d o   i p t a b l e s   - L   - n v / v a r / l o g / a u t h . l o g
L i n u x   /   O S   X 如 果 你 已 经 创 建 了   R S A   密 钥 对 ， 则 这 个 命 令 将 会 覆 盖 它 ， 这 可 能 会 导 致 你 不 能 访 问 其 它 的 操 作 系 统 。 如 果 你 已 创 建 过 密 钥 对 ， 请 跳 过 此 步 骤 。 要 检 查 现 有 的 密 钥 ， 请 运 行   。 在 输 入 密 码 之 前 ， 按 下   回 车 使 用     中 的 默 认 名 称     和   。 W i n d o w s 这 可 以 使 用   P u T T Y   完 成 ， 在 我 们 指 南 中 已 有 描 述 ： 使 用   S S H   公 钥 验 证 [ 5 ] 。 2 、 将 公 钥 上 传 到 您 的 服 务 器 上 。   将     替 换 为 你 用 来 管 理 服 务 器 的 用 户 名 称 ， 将     替 换 为 你 的 服 务 器 的   I P   地 址 。 L i n u x 在 本 机 上 ： O S   X 在 你 的 服 务 器 上 （ 用 你 的 权 限 受 限 用 户 登 录 ） ： l s 〜 /   . s s h   /   i d _ r s a   * 1 .   s s h - k e y g e n   - b   4 0 9 6 / h o m e / y o u r _ u s e r n a m e / . s s h i d _ r s a i d _ r s a . p u b e x a m p l e _ u s e r 2 0 3 . 0 . 1 1 3 . 1 0 1 .   s s h - c o p y - i d   e x a m p l e _ u s e r @ 2 0 3 . 0 . 1 1 3 . 1 0 1 .   m k d i r   - p   ~ / . s s h   & &   s u d o   c h m o d   - R   7 0 0   ~ / . s s h /
在 本 机 上 ： 如 果 相 对 于     你 更 喜 欢     的 话 ， 那 么 它 也 可 以 在   H o m e b r e w [ 6 ]   中 找 到 。 使 用     安 装 。 W i n d o w s 选 择   1 ： 使 用   W i n S C P [ 7 ]   来 完 成 。   在 登 录 窗 口 中 ， 输 入 你 的 服 务 器 的   I P   地 址 作 为 主 机 名 ， 以 及 非   r o o t   的 用 户 名 和 密 码 。 单 击 “ 登 录 ” 连 接 。 一 旦   W i n S C P   连 接 后 ， 你 会 看 到 两 个 主 要 部 分 。   左 边 显 示 本 机 上 的 文 件 ， 右 边 显 示 服 务 区 上 的 文 件 。   使 用 左 侧 的 文 件 浏 览 器 ， 导 航 到 你 已 保 存 公 钥 的 文 件 ， 选 择 公 钥 文 件 ， 然 后 点 击 上 面 工 具 栏 中 的 “ 上 传 ” 。 系 统 会 提 示 你 输 入 要 将 文 件 放 在 服 务 器 上 的 路 径 。   将 文 件 上 传 到   ， 用 你 的 用 户 名 替 换   。 选 择   2 ： 将 公 钥 直 接 从   P u T T Y   键 生 成 器 复 制 到 连 接 到 你 的 服 务 器 中 （ 作 为 非   r o o t   用 户 ） ： m k d i r   ~ / . s s h ;   n a n o   ~ / . s s h / a u t h o r i z e d _ k e y s 上 面 命 令 将 在 文 本 编 辑 器 中 打 开 一 个 名 为     的 空 文 件 。   将 公 钥 复 制 到 文 本 文 件 中 ， 确 保 复 制 为 一 行 ， 与   P u T T Y   所 生 成 的 完 全 一 样 。   按 下   ， 然 后 按 下   ， 然 后 回 车 保 存 文 件 。 最 后 ， 你 需 要 为 公 钥 目 录 和 密 钥 文 件 本 身 设 置 权 限 ： 1 .   s c p   ~ / . s s h / i d _ r s a . p u b   e x a m p l e _ u s e r @ 2 0 3 . 0 . 1 1 3 . 1 0 : ~ / . s s h / a u t h o r i z e d _ k e y s s c p s s h - c o p y - i d b r e w   i n s t a l l   s s h - c o p y - i d / h o m e / e x a m p l e _ u s e r / . s s h   / a u t h o r i z e d _ k e y s e x a m p l e _ u s e r a u t h o r i z e d _ k e y s C T R L   +   X Y
这 些 命 令 通 过 阻 止 其 他 用 户 访 问 公 钥 目 录 以 及 文 件 本 身 来 提 供 额 外 的 安 全 性 。 有 关 它 如 何 工 作 的 更 多 信 息 ， 请 参 阅 我 们 的 指 南 如 何 修 改 文 件 权 限 [ 8 ] 。 3 、   现 在 退 出 并 重 新 登 录 你 的 服 务 器 。 如 果 你 为 私 钥 指 定 了 密 码 ， 则 需 要 输 入 密 码 。 S S H   守 护 进 程 选 项 守 护 进 程 选 项 1 、   不 允 许   r o o t   用 户 通 过   S S H   登 录 。   这 要 求 所 有 的   S S H   连 接 都 是 通 过 非   r o o t   用 户 进 行 。 当 以 受 限 用 户 帐 户 连 接 后 ， 可 以 通 过 使 用     或 使 用     切 换 为   r o o t   s h e l l   来 使 用 管 理 员 权 限 。 2 、   禁 用   S S H   密 码 认 证 。   这 要 求 所 有 通 过   S S H   连 接 的 用 户 使 用 密 钥 认 证 。 根 据   L i n u x   发 行 版 的 不 同 ， 它 可 能 需 要 添 加     这 行 ， 或 者 删 除 前 面 的     来 取 消 注 释 。 如 果 你 从 许 多 不 同 的 计 算 机 连 接 到 服 务 器 ， 你 可 能 想 要 继 续 启 用 密 码 验 证 。 这 将 允 许 你 使 用 密 码 进 行 身 份 验 证 ， 而 不 是 为 每 个 设 备 生 成 和 上 传 密 钥 对 。 3 、   只 监 听 一 个 互 联 网 协 议 。   在 默 认 情 况 下 ， S S H   守 护 进 程 同 时 监 听   I P v 4   和   I P v 6   上 的 传 入 连 接 。 除 非 你 需 要 使 用 这 两 种 协 议 进 入 你 的 服 务 器 ， 否 则 就 禁 用 你 不 需 要 的 。   这 不 会 禁 用 系 统 范 围 的 协 议 ， 它 只 用 于   S S H   守 护 进 程 。 使 用 选 项 ： 1 .   s u d o   c h m o d   7 0 0   - R   ~ / . s s h   & &   c h m o d   6 0 0   ~ / . s s h / a u t h o r i z e d _ k e y s s u d o s u   - 1 .   #   A u t h e n t i c a t i o n : 2 .   . . . 3 .   P e r m i t R o o t L o g i n   n o P a s s w o r d A u t h e n t i c a t i o n # 1 .   #   C h a n g e   t o   n o   t o   d i s a b l e   t u n n e l l e d   c l e a r   t e x t   p a s s w o r d s 2 .   P a s s w o r d A u t h e n t i c a t i o n   n o
  只 监 听   I P v 4 。   只 监 听   I P v 6 。 默 认 情 况 下 ，   选 项 通 常 不 在     文 件 中 。 将 它 添 加 到 文 件 的 末 尾 ： 4 、   重 新 启 动   S S H   服 务 以 加 载 新 配 置 。 如 果 你 使 用 的   L i n u x   发 行 版 使 用   s y s t e m d （ C e n t O S   7 、 D e b i a n   8 、 F e d o r a 、 U b u n t u   1 5 . 1 0 + ） 如 果 您 的   i n i t   系 统 是   S y s t e m V   或   U p s t a r t （ C e n t O S   6 、 D e b i a n   7 、 U b u n t u   1 4 . 0 4 ） ： 使 用 使 用   F a i l 2 B a n   保 护 保 护   S S H   登 录 登 录 F a i l 2 B a n [ 9 ]   是 一 个 应 用 程 序 ， 它 会 在 太 多 的 失 败 登 录 尝 试 后 禁 止   I P   地 址 登 录 到 你 的 服 务 器 。 由 于 合 法 登 录 通 常 不 会 超 过 三 次 尝 试 （ 如 果 使 用   S S H   密 钥 ， 那 不 会 超 过 一 个 ） ， 因 此 如 果 服 务 器 充 满 了 登 录 失 败 的 请 求 那 就 表 示 有 恶 意 访 问 。 F a i l 2 B a n   可 以 监 视 各 种 协 议 ， 包 括   S S H 、 H T T P   和   S M T P 。 默 认 情 况 下 ， F a i l 2 B a n   仅 监 视   S S H ， 并 且 因 为   S S H   守 护 程 序 通 常 配 置 为 持 续 运 行 并 监 听 来 自 任 何 远 程   I P   地 址 的 连 接 ， 所 以 对 于 任 何 服 务 器 都 是 一 种 安 全 威 慑 。 有 关 安 装 和 配 置   F a i l 2 B a n   的 完 整 说 明 ， 请 参 阅 我 们 的 指 南 ： 使 用   F a i l 2 b a n   保 护 服 务 器 [ 1 0 ] 。 删 除 未 使 用 的 面 向 网 络 的 服 务 删 除 未 使 用 的 面 向 网 络 的 服 务 大 多 数   L i n u x   发 行 版 都 安 装 并 运 行 了 网 络 服 务 ， 监 听 来 自 互 联 网 、 回 环 接 口 或 两 者 兼 有 的 传 入 连 接 。   将 不 需 要 的 面 向 网 络 的 服 务 从 系 统 中 删 除 ， 以 减 少 对 运 行 进 程 和 对 已 安 装 软 件 包 攻 击 的 概 率 。 查 明 运 行 的 服 务 查 明 运 行 的 服 务 A d d r e s s F a m i l y   i n e t A d d r e s s F a m i l y   i n e t 6 A d d r e s s F a m i l y s s h d _ c o n f i g 1 .   e c h o   ' A d d r e s s F a m i l y   i n e t '   |   s u d o   t e e   - a   / e t c / s s h / s s h d _ c o n f i g 1 .   s u d o   s y s t e m c t l   r e s t a r t   s s h d s u d o   s e r v i c e   s s h   r e s t a r t
要 查 看 服 务 器 中 运 行 的 服 务 ： 如 果 默 认 情 况 下     没 有 包 含 在 你 的   L i n u x   发 行 版 中 ， 请 安 装 软 件 包     或 使 用   命 令 。 以 下 是     的 输 出 示 例 。   请 注 意 ， 因 为 默 认 情 况 下 不 同 发 行 版 会 运 行 不 同 的 服 务 ， 你 的 输 出 将 有 所 不 同 ： 1 .   s u d o   n e t s t a t   - t u l p n n e t s t a t n e t - t o o l s s s   - t u l p n n e t s t a t 1 .   P r o t o   R e c v - Q   S e n d - Q   L o c a l   A d d r e s s                       F o r e i g n   A d d r e s s                   S t a t e               P I D / P r o g r a m   n a m e 2 .   t c p                 0             0   0 . 0 . 0 . 0 : 1 1 1                           0 . 0 . 0 . 0 : *                               L I S T E N             7 3 1 5 / r p c b i n d 3 .   t c p                 0             0   0 . 0 . 0 . 0 : 2 2                             0 . 0 . 0 . 0 : *                               L I S T E N             3 2 7 7 / s s h d 4 .   t c p                 0             0   1 2 7 . 0 . 0 . 1 : 2 5                         0 . 0 . 0 . 0 : *                               L I S T E N             3 1 7 9 / e x i m 4 5 .   t c p                 0             0   0 . 0 . 0 . 0 : 4 2 5 2 6                       0 . 0 . 0 . 0 : *                               L I S T E N             2 8 4 5 / r p c . s t a t d 6 .   t c p 6               0             0   : : : 4 8 7 4 5                                 : : : *                                         L I S T E N             2 8 4 5 / r p c . s t a t d 7 .   t c p 6               0             0   : : : 1 1 1                                     : : : *                                         L I S T E N             7 3 1 5 / r p c b i n d 8 .   t c p 6               0             0   : : : 2 2                                       : : : *                                         L I S T E N             3 2 7 7 / s s h d 9 .   t c p 6               0             0   : : 1 : 2 5                                     : : : *                                         L I S T E N             3 1 7 9 / e x i m 4 1 0 .   u d p                 0             0   1 2 7 . 0 . 0 . 1 : 9 0 1                       0 . 0 . 0 . 0 : *                                                       2 8 4 5 / r p c . s t a t d 1 1 .   u d p                 0             0   0 . 0 . 0 . 0 : 4 7 6 6 3                       0 . 0 . 0 . 0 : *                                                       2 8 4 5 / r p c . s t a t d 1 2 .   u d p                 0             0   0 . 0 . 0 . 0 : 1 1 1                           0 . 0 . 0 . 0 : *                                                       7 3 1 5 / r p c b i n d 1 3 .   u d p                 0             0   1 9 2 . 0 . 2 . 1 : 1 2 3                       0 . 0 . 0 . 0 : *                                                       3 3 2 7 / n t p d 1 4 .   u d p                 0             0   1 2 7 . 0 . 0 . 1 : 1 2 3                       0 . 0 . 0 . 0 : *                                                       3 3 2 7 / n t p d 1 5 .   u d p                 0             0   0 . 0 . 0 . 0 : 1 2 3                           0 . 0 . 0 . 0 : *                                                       3 3 2 7 / n t p d 1 6 .   u d p                 0             0   0 . 0 . 0 . 0 : 7 0 5                           0 . 0 . 0 . 0 : *                                                       7 3 1 5 / r p c b i n d u d p 6               0             0   : : : 1 1 1                                     : : : *                                                                 7 3 1 5 / r p c b i n d
  告 诉 我 们 服 务 正 在 运 行   R P C [ 1 1 ] （   和   ） 、 S S H （ ） 、 N T P d a t e [ 1 2 ] （ ） 和 E x i m [ 1 3 ] （ ） 。 T C P 请 参 阅     输 出 的     那 一 列 。 进 程     正 在 侦 听     和   ， 外 部 地 址 是     或 者     。 这 意 味 着 它 从 任 何 端 口 和 任 何 网 络 接 口 接 受 来 自 任 何 外 部 地 址 （ I P v 4   和   I P v 6 ） 上 的 其 它   R P C   客 户 端 的 传 入   T C P   连 接 。 我 们 看 到 类 似 的   S S H ， E x i m   正 在 侦 听 来 自 回 环 接 口 的 流 量 ， 如 所 示 的     地 址 。 U D P 1 7 .   u d p 6               0             0   : : : 1 1 1                                     : : : *                                                                 7 3 1 5 / r p c b i n d 1 8 .   u d p 6               0             0   f e 8 0 : : f 0 3 c : 9 1 f f : f e c : 1 2 3   : : : *                                                                 3 3 2 7 / n t p d 1 9 .   u d p 6               0             0   2 0 0 1 : D B 8 : : 1 2 3                       : : : *                                                                 3 3 2 7 / n t p d 2 0 .   u d p 6               0             0   : : 1 : 1 2 3                                   : : : *                                                                 3 3 2 7 / n t p d 2 1 .   u d p 6               0             0   : : : 1 2 3                                     : : : *                                                                 3 3 2 7 / n t p d 2 2 .   u d p 6               0             0   : : : 7 0 5                                     : : : *                                                                 7 3 1 5 / r p c b i n d 2 3 .   u d p 6               0             0   : : : 6 0 6 7 1                                 : : : *                                                                 2 8 4 5 / r p c . s t a t d n e t s t a t r p c . s t a t d r p c b i n d s s h d n t p d e x i m 4 n e t s t a t L o c a l   A d d r e s s r p c b i n d 0 . 0 . 0 . 0 : 1 1 1 : : : 1 1 1 0 . 0 . 0 . 0 : * : : : * 1 2 7 . 0 . 0 . 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理