在這網際網路無處不在的時代，資訊資料對於個人開發者或者各行各業的企業來說都是不可侵犯的財產，保護資訊保安始終是不可鬆懈的任務，為了讓你的資訊資料、業務更加安全，建議對你的伺服器做更多的安全工作，讓那些不法分子少一份可趁之機

一、系統加固

1. 建立DC2伺服器時建議使用只允許金鑰方式登入

* 建立時選擇金鑰登入：

![](https://docpics.s3.didiyunapi.com/security/security1.png)
    ![](https://docpics.s3.didiyunapi.com/security/security2.png)

* 由密碼登入方式修改為金鑰登入

> 登入伺服器使用root使用者執行

```
  ssh-keygen -t rsa #一直回車即可
  mv ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys #將生成的公鑰重新命名
 chmod 600 authorized_keys #修改許可權
  ```

![](https://oscimg.oschina.net/oscnet/up-74b12f91f6a4f725f6066181c5bfcb43f77.JPEG)

> 修改ssh服務配置檔案

```
	vim /etc/ssh/sshd_config 
	RSAAuthentication yes    #開啟金鑰登入的認證方式
	PubkeyAuthentication yes  #是否允許金鑰登入
	PasswordAuthentication  no #禁止密碼登入 
	:wq! #儲存退出
 ```

> 重啟ssh服務

```
  systemctl restart sshd
  ```

> 將公鑰檔案內容複製到本地

```
   cat ~/.ssh/id_rsa 
   ```

PS：在本地使用複製的內容建立一個檔案即可使用該檔案登陸伺服器

* 使用金鑰登陸測試（測試為MAC客戶端，其他系統或第三方工具，可以參考網上資料）

```
  ssh -i 'test' root@x.x.x.x
  
  ```

![](https://docpics.s3.didiyunapi.com/security/security4.png)

2. 加強密碼的管理（如使用密碼登陸方式時配置）

* 新口令不能與4個最近使用的相同

```
  vim /etc/pam.d/system-auth
  password    sufficient    #所在行的後面新增 remember=5
  :wq! #儲存退出
  
  ```

* 設定密碼策略（定期修改密碼）

```
  vim /etc/login.defs #修改以下引數
  PASS_MAX_DAYS   30        #使用者的密碼最長使用天數
  PASS_MIN_DAYS   0         #使用者的密碼最短使用天數
  PASS_WARN_AGE   7         #使用者的密碼到期提前提醒天數
  PASS_MIN_LEN    7         #最小密碼長度7
  :wq! #儲存退出
  ```

* 修改ssh服務埠

```
  vim /etc/ssh/sshd_config 
  Port 64906 #不使用預設的22埠
  PermitEmptyPasswords no #禁止空密碼登陸
  :wq! #儲存退出
  systemctl restart sshd #重啟ssh服務
  ```

PS: 切記不要使用弱密碼（例如：qwer1234、qazwsx123等），密碼組合應至少包含大小寫、數字、符號等

3. 設定Bash歷史命令的時間和條數

```
 vim /etc/profile
 HISTSIZE=10 #修改該值為10（建議不超1000）
 export HISTTIMEFORMAT="%F %T `whoami` " #記錄歷史命令執行時間
 :wq! #儲存退出
 source /etc/profile #重新載入配置檔案使其生效
 ```

4. 防止IP SPOOF

```
 vim /etc/host.conf
 nospoof on #不允許伺服器對IP地址進行欺騙
 :wq! #儲存退出
 ```

5. 關閉預設不必要的服務

```
 systemctl list-unit-files | grep enabled #檢視開啟啟動的服務
 systemctl stop postfix 建議關閉郵件服務
 systemctl disable postfix #建議關閉郵件服務的隨機啟動
 ```

二、應用加固

1. Mysql資料庫

* 新安裝的mysql服務預設是空密碼登陸，及時配置強密碼<font color="#FF0000">（密碼應至少包含三種組合）</font>

```
 mysql> use mysql;
 mysql> update user set password=password(‘密碼’) where user=’root’;
 mysql> flush privileges; //強制重新整理記憶體授權表，否則用的還是在記憶體緩衝的口令
 ```

* 刪除預設資料庫和資料庫使用者

```
 #mysql> show databases;
 #mysql> drop database test; //刪除資料庫test
 #use mysql;
 #delete from db; //刪除存放資料庫的表資訊，因為還沒有資料庫資訊。
 #mysql> delete from user where not (user=’root’) ; // 刪除初始非root的使用者
 #mysql> delete from user where user=’root’ and password=”; //刪除空密碼的root，儘量重複操作
 #mysql> flush privileges; //強制重新整理記憶體授權表。
 ```

* 限制連線使用者的數量和修改預設監聽埠

```
 vim /etc/my.cnf
 [mysqld]
 max_user_connections= 2 #允許使用者連線數
 port   = 15306 #監聽埠
 :wq! #儲存退出
 systemctl restart mysqld #重啟mysql服務
 ```

2. Redis資料庫

* 開啟redis密碼，並設定高複雜度密碼（不重啟Redis設定密碼）

```
   echo "didiyunredispassword" | sha256sum #生成複雜密碼
   redis 127.0.0.1:6379> config set requirepass 7ad93cc2522e26dc8f3f3be7771bf4c3a58ff6c92451036f1e071c4edff69640 #設定密碼
   redis 127.0.0.1:6379> config get requirepass #查詢密碼
   (error) ERR operation not permitted #查詢密碼失敗
   redis 127.0.0.1:6379> auth #密碼驗證
   
   redis 127.0.0.1:6379> config get requirepass #再次查詢
   1) "requirepass"
   2) "7ad93cc2522e26dc8f3f3be7771bf4c3a58ff6c92451036f1e071c4edff69640" #查詢成功
   ```

PS：如果配置檔案中沒新增該密碼，那麼Redis重啟後，密碼將會失效；

* 透過配置檔案設定密碼（重啟生效）

```
 vim redis.config
 requirepass 7ad93cc2522e26dc8f3f3be7771bf4c3a58ff6c92451036f1e071c4edff69640 #設定密碼
 :wq! #儲存退出
 ```

* 禁用和重新命名高危命令

```
 vim redis.config #修改配置檔案，禁用FLUSHDB、FLUSHALL兩個命令；重新命名CONFIG、SHUTDOWN命令
 rename-command CONFIG CONFIG_b9fc8327c4dee7 #重新命名
 rename-command SHUTDOWN SHUTDOWN_b9fc8327c4dee7 #重新命名
 rename-command FLUSHDB ""  #禁用此命令
 rename-command FLUSHALL ""  #禁用此命令
 :wq! 儲存退出
 ```

* 配置Redis僅監聽在本地地址

```
 vim redis.conf #修改配置檔案
 bind 127.0.0.1 10.255.0.215 #只監聽迴環地址和內網IP地址
 :wq! #儲存退出
 ```

* 修改預設6379監聽埠

```
 vim redis.conf #修改配置檔案
 port 16739 #
 :wq! #儲存退出
 
 ```

3. Nginx服務

* 設定timeout儘量防禦DDOS攻擊

```
	vim nginx.conf
	http
	{
	    client_body_timeout   10;
	    client_header_timeout  30;
	    keepalive_timeout     30  30;
	    send_timeout          10;
	}
 ```

* 限制客戶端訪問的方法

```
 server
 {
	 if($request_method !~ ^(GET|HEAD|POST)$) {   
	    return404;
	   }
}
 
 ```

* 自定義Nginx版本號

```
  vim src/core/nginx.h #修改版本
  #define NGINX_VERSION   "1.8.1"  #修改想要顯示的版本如：2.2.23
  #define NGINX_VER      "nginx/" NGINX_VERSION  #將nginx 修改成想要顯示的軟體名稱
#define NGINX_VAR      "NGINX" #將nginx修改成想要顯示的軟體名稱
:wq! #儲存退出

vim nginx.conf #隱藏版本號
  http{
      server_tokens off;
  }
 ```

* 開啟X-XSS-Protection HTTP響應頭

```
 vim nginx.conf
 add_header X-Xss-Protection "1; mode=block"; #0:不啟用，1:啟動，  mode=block 啟用XSS保護,並在檢查到XSS攻擊時,停止渲染頁面
 
 ```

* 設定X-Content-Options HTTP響應頭

```
 vim nginx.conf
 add_header X-Content-Type-Options nosniff; # 禁止嗅探檔案型別
 ```

* 設定X-Frame-Options HTTP響應頭

```
 vim nginx.conf
 add_header X-Frame-Options SAMEORIGIN;
 #DENY 表示該頁面不允許在frame中展示，即便是在相同域名的頁面中巢狀也是禁止的
 #SAMEORIGIN 表示該頁面可以在相同域名頁面的frame中展示
 #ALLOW-FROM url 表示該頁面可以在指定來源的frame中展示
 ```

<font color="#FF0000">PS：建議所有服務不使用預設埠</font>

三、定時備份資料和使用防護產品

1. 使用雲伺服器快照功能進行備份資料

* 參考官網文件：  [快照產品簡介](https://help.didiyun.com/hc/kb/article/1091034/)

2. Web應用防火牆

* 可以對各種主流的Web應用攻擊進行精確識別和實時防護，可以檢測攻擊型別包括但不僅限於如下型別：

```
  1、SQL隱碼攻擊、XSS攻擊、CSRF攻擊、SSRF攻擊、Webshell後門、弱口令探測、反序列化攻擊
  2、命令／程式碼執行、命令／程式碼注入、本地／遠端檔案包含攻擊
  3、檔案上傳攻擊、敏感資訊洩露、XML實體注入、XPATH注入、LDAP注入
  ```

* 支援使用者根據HTTP頭欄位，自定義精確防護規則，例如源IP、User-agent欄位等，使用者可根據網站被攻擊實際情況，配置防護策略，保障網站的安全

* 具備防護CC攻擊的能力，能夠根據來源IP、URL、UA、Referer的訪問頻度來有效降低大流量對網站的衝擊

* 提供網站質量監控功能，能夠準確清晰的瞭解當前網站的實時、歷史執行及訪問者情況

* 更多介紹和使用方法請參考官網文件：[Web應用防火牆（WAF）產品簡介](https://help.didiyun.com/hc/kb/article/1107211/)

3. 專業版主機安全客戶端

* 除了提供所有基礎版的安全能力，還提供更為高階的安全能力，例如主機異常檢測、病毒查殺、後門網站修復等

* 更多介紹和使用方法請參考官網文件：[主機安全專業版規格說明 ](https://help.didiyun.com/hc/kb/article/1202417/)

4. DDOS高防服務

* 基礎防護版

該版本無需使用者購買，只要使用滴滴雲帶有 EIP 的產品，都會預設免費開通

* 高防例項版

該版本主要為了防禦大流量的 DDOS 攻擊而推出的解決方案，單例項的最高畫質洗能力可達每秒100G，更多介紹和使用方法請參考官網文件：[DDOS高防產品簡介  ](https://help.didiyun.com/hc/kb/article/1163314/)

- [嘀～滴滴雲6.18狂歡季來啦，錯過今天，再等半年！](https://www.didiyun.com/?channel=14816)
- [滴滴雲使者專屬特惠，包年雲伺服器低至68元/年](https://www.didiyun.com/?channel=14816)

為研發提效，全是技術乾貨的滴滴雲技術沙龍報名中！

馬上關注滴滴雲公眾號：

回覆「上課」獲取免費報名資格

回覆「伺服器」免費獲得雲伺服器入門1個月體驗

讓你的伺服器更安全些(Linux篇)

相關文章