运维快速入门必备的 Linux 服务器安全简明指南!

发布时间:2019年02月16日 阅读:162 次

现在让我们强化你的服务器以防止未授权访问。

经常升级系统

将软件更新到最新版本通常是任何操作系统所必需的安全预防措施。软件在更新时通常会在大到关键漏洞补丁、小到bug修复的范围内进行,很多漏洞实际上在被公布时就已经被修复了。

自动安全更新

你可以调节服务器关于自动更新的的参数。Fedora 的 Wiki页面上有一篇文章对自动更新进行了深入解读,文章里提到我们可以通过调整参数为安全更新会把自动更新的风险降低至最少。

当然,是否选择自动更新必须由你自己决定,因为这取决于你将要在你的服务器上进行何种工作。自动更新只能通过仓库里的包才能进行,你自己编译的程序可不能用。你会需要一个与生产环境一致的测试环境,在进行最终部署之前,一定要在测试环境确认无误才行。

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第1张

添加一个受限用户账户

我们假定你已经使用 root 权限进入了服务器中,你此时拥有服务器的至高权限,一个不小心就会把服务器搞瘫痪。所以,你应该有一个受限制账户而不是一直使用 root 账户。这不会给你的操作带来多大麻烦,因为你可以通过 sudo来进行任何你想要的操作。

有的发行版可能并不把 sudo设为默认选项,不过你还是可以在软件包仓库中找到。如果你获得的提示是 sudo:command not found,请在继续之前安装 sudo。

记住,添加新用户你要通过 SSH 登录服务器才行。

CentOS / Fedora

1、 创建用户,用你想要的名字替换 example_user,并分配一个密码:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第2张

2、 将用户添加到具有 sudo 权限的 wheel 组:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第3张

Ubuntu

1、 创建用户,用你想要的名字替换 example_user。你将被要求输入用户密码:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第4张

2、 添加用户到 sudo 组,这样你就有管理员权限了:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第5张

Debian

1、 Debian 默认的包中没有 sudo, 使用 apt-get 来安装:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第6张

2、 创建用户,用你想要的名字替换 example_user。你将被要求输入用户密码:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第7张

3、 添加用户到 sudo 组,这样你就有管理员权限了:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第8张

创建完有限权限的用户后,断开你的服务器连接:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第9张

重新用你的新用户登录。用你的用户名代替 example_user,用你的服务器 IP 地址代替例子中的 IP 地址:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第10张

现在你可以用你的新用户帐户管理你的服务器,而不是 root。 几乎所有超级用户命令都可以用 sudo(例如:sudo iptables -L -nv)来执行,这些命令将被记录到 /var/log/auth.log中。

加固 SSH 访问

你可以使用密码认证登录服务器。但是更安全的方法是通过加密的密钥对。你将彻底放弃密码,用私钥可以防止暴力破解。我们将告诉你如何创建密钥对。

创建验证密钥对

1、创建密钥对可以在你自己的电脑上完成,现在我们开始创建一个 4096 位的 RSA 密钥对。即使有了密钥,你仍然可以通过密码方式加密你的私钥,这样除非你把密码存在密钥管理器里,不然就必须通过输入正确的密码使用你的私钥。用了密码能有一个双重保险,不想用的话你直接把密码字段留空就可以了。

Linux / OS X

现在我们开始第一步,请注意:如果你之前已经创建过 RSA 密钥对,则这个命令将会覆盖它,带来的结果很可能是你不能访问其它的操作系统。如果你已创建过密钥对,请跳过此步骤。要检查现有的密钥,请运行 ls〜/ .ssh / id_rsa *。

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第11张

在输入密码之前,按下 回车使用 /home/your_username/.ssh 中的默认名称 id_rsa 和 id_rsa.pub。

Windows

这可以使用 PuTTY 完成,在我们指南中已有描述:使用 SSH 公钥验证。

2、将公钥上传到您的服务器上。 将 example_user 替换为你用来管理服务器的用户名称,将 203.0.113.10 替换为你的服务器的 IP 地址。

Linux

在本机上:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第12张

OS X

在你的服务器上(用你的权限受限用户登录):

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第13张

在本机上:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第14张

如果相对于 scp 你更喜欢 ssh-copy-id 的话,那么它也可以在 Hemebrew 中找到。使用 brew install ssh-copy-id 安装。

Windows

系统会提示你输入要将文件放在服务器上的路径。 将文件上传到 /home/example_user/.ssh /authorized_keys,用你的用户名替换 example_user。

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第15张

最后,你需要为公钥目录和密钥文件本身设置权限:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第16张

这些命令通过阻止其他用户访问公钥目录以及文件本身来提供额外的安全性。有关它如何工作的更多信息,请参阅我们的指南如何修改文件权限。

3、 现在退出并重新登录你的服务器。如果你为私钥指定了密码,则需要输入密码。

SSH 守护进程选项

1、 不允许 root 用户通过 SSH 登录。

这要求所有的 SSH 连接都是通过非 root 用户进行。当以受限用户帐户连接后,可以通过使用 sudo 或使用 su - 切换为 root shell 来使用管理员权限。

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第17张

2、 禁用 SSH 密码认证。

这要求所有通过 SSH 连接的用户使用密钥认证。根据 Linux 发行版的不同,它可能需要添加 PasswordAuthentication 这行,或者删除前面的 # 来取消注释。

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第18张

如果你从许多不同的计算机连接到服务器,你可能想要继续启用密码验证。这将允许你使用密码进行身份验证,而不是为每个设备生成和上传密钥对。

3、 只监听一个互联网协议。

在默认情况下,SSH 守护进程同时监听 IPv4 和 IPv6 上的传入连接。除非你需要使用这两种协议进入你的服务器,否则就禁用你不需要的。 这不会禁用系统范围的协议,它只用于 SSH 守护进程。

使用选项:

AddressFamily inet 只监听 IPv4。

AddressFamily inet6 只监听 IPv6。

默认情况下,AddressFamily 选项通常不在 sshd_config 文件中。将它添加到文件的末尾:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第19张

4、 重新启动 SSH 服务以加载新配置。

如果你使用的 Linux 发行版使用 systemd(CentOS 7、Debian 8、Fedora、Ubuntu 15.10+)

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第20张

如果您的 init 系统是 SystemV 或 Upstart(CentOS 6、Debian 7、Ubuntu 14.04):

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第21张

使用 Fail2Ban 保护 SSH 登录

Fail2Ban是一个应用程序,会把频繁出现登陆失败的IP地址进行自动封禁。一般情况下,人们都不会连续三次以上输错密码(如果使用 SSH 密钥,那不会超过一个),因此如果服务器充满了登录失败的请求那就表示有恶意访问。

这个软件的监听范围很广,包括我们熟知的 SSH、HHTP或者SMTP。不过在默认仅监视 SSH,并且因为 SSH 守护程序通常配置为持续运行并监听来自任何远程 IP 地址的连接,所以对于任何服务器都是一种安全威慑。

删除未使用的面向网络的服务

大部分 Linux 发行版都可以使用网络服务,你可以选择把不再需要的那部分删除掉,这样可以减少被攻击的概率。

查明运行的服务

要查看服务器中运行的服务:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第22张

如果默认情况下 netstat 没有包含在你的 Linux 发行版中,请安装软件包 net-tools 或使用 ss -tulpn命令。

以下是 netstat 的输出示例。 请注意,因为默认情况下不同发行版会运行不同的服务,你的输出将有所不同:

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第23张

netstat 告诉我们服务正在运行 RPC(rpc.statd 和 rpcbind)、SSH(sshd)、NTPdate(ntpd)和Exim(exim4)。

TCP

请参阅 netstat 输出的 Local Address 那一列。进程 rpcbind 正在侦听 0.0.0.0:111 和 :::111,外部地址是 0.0.0.0:* 或者 :::* 。这意味着它从任何端口和任何网络接口接受来自任何外部地址(IPv4 和 IPv6)上的其它 RPC 客户端的传入 TCP 连接。 我们看到类似的 SSH,Exim 正在侦听来自回环接口的流量,如所示的 127.0.0.1 地址。

UDP

UDP 套接字是无状态的,这意味着它们只有打开或关闭,并且每个进程的连接是独立于前后发生的连接。这与 TCP 的连接状态(例如 LISTEN、ESTABLISHED和 CLOSE_WAIT)形成对比。

我们的 netstat输出说明 NTPdate :1)接受服务器的公网 IP 地址的传入连接;2)通过本地主机进行通信;3)接受来自外部的连接。这些连接是通过端口 123 进行的,同时支持 IPv4 和 IPv6。我们还看到了 RPC 打开的更多的套接字。

查明该移除哪个服务

如果你在没有启用防火墙的情况下对服务器进行基本的 TCP 和 UDP 的 nmap 扫描,那么在打开端口的结果中将出现 SSH、RPC 和 NTPdate 。通过配置防火墙,你可以过滤掉这些端口,但 SSH 除外,因为它必须允许你的传入连接。但是,理想情况下,应该禁用未使用的服务。

本节针对 Debian 8。默认情况下,不同的 Linux 发行版具有不同的服务。如果你不确定某项服务的功能,请尝试搜索互联网以了解该功能是什么,然后再尝试删除或禁用它。

卸载监听的服务

如何移除包取决于发行版的包管理器:

Arch

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第24张

CentOS

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第25张

Debian / Ubuntu

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第26张

Fedora

 运维快速入门必备的 Linux 服务器安全简明指南! Linux 第27张

再次运行 sudo netstat -tulpn,你看到监听的服务就只会有 SSH(sshd)和 NTP(ntpdate,网络时间协议)。

配置防火墙

使用防火墙阻止不需要的入站流量能为你的服务器提供一个高效的安全层。 通过指定入站流量,你可以阻止入侵和网络测绘。 最佳做法是只允许你需要的流量,并拒绝一切其他流量。请参阅我们的一些关于最常见的防火墙程序的文档:

接下来

这些是加固 Linux 服务器的最基本步骤,但是进一步的安全层将取决于其预期用途。 其他技术可以包括应用程序配置,使用入侵检测或者安装某个形式的访问控制。

现在你可以按你的需求开始设置你的服务器了。

本文标题:运维快速入门必备的 Linux 服务器安全简明指南!
本文链接:https://malonghua.com/post/105.html
作者授权:除特别说明外,本文由 SylarM 原创编译并授权 猪逻辑公园工作室 刊载发布。
版权声明:本文不使用任何协议授权,您可以任何形式自由转载或使用。
Tag:Linux 企业运维
相关文章

发表评论: