linux系统初始化后的安全策略加固

本文涉及的产品
全局流量管理 GTM,标准版 1个月
云解析 DNS,旗舰版 1个月
公共DNS(含HTTPDNS解析),每月1000万次HTTP解析
简介: 系统安装后经过上一步初始化,还需进行安全策略加固。《linux系统安装后的优化操作》访问地址:https://developer.aliyun.com/article/857838
  1. 物理层安全
#原理:物理安全是系统安全的关键基础
#应对风险:被盗窃、被破坏、自然灾害、人为错误导致的灾难、意外导致的损坏
#安全措施:服务器双电源、服务器使用独占机柜、独占机柜加锁;退出服务器的本地shell登录;规范化机房维护操作步骤;重要服务器必须和一般服务器隔离;定期评估物理安全措施和实施进度;交换机端口设置,放在不可信设备接入、防止恶意嗅探和ARP欺骗攻击;重要数据异地备份或异地同步
  1. 网络层安全
原理:服务器通过网络对外提供服务,网络层安全可减少被入侵的可能
#通过防火墙映射需提供外网服务的NAT策略,无需对外提供服务的服务器放行访问权限即可。
#服务器iptables限制网络访问
+ 允许icmp协议+ 允许所有IP访问本机对外服务端口的服务+ 允许本机访问本地DNS和公共DNS服务+ 允许内网堡垒机ip、内网VPNip和办公固定IP访问本机sshd服务+ 禁止其他任何通信
#!/bin/bashiptables -Fiptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -s127.0.0.1 -d127.0.0.1 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type any -j ACCEPT #允许icmp协议,pingiptables -A INPUT -p tcp --dport80-j ACCEPT #允许所有IP访问80端口iptables -A INPUT -p tcp -s202.101.172.35 --sport53-j ACCEPT #允许访问DNSiptables -A INPUT -p udp -s202.101.172.35 --sport53-j ACCEPT #允许访问DNSiptables -A INPUT -p tcp -s114.114.114.114 --sport53-j ACCEPT #允许访问DNSiptables -A INPUT -p udp -s114.114.114.114 --sport53-j ACCEPT #允许访问DNSiptables -A INPUT -p tcp -s192.168.0.194 --dport22-j ACCEPT #限制对22端口的访问iptables -A INPUT -p tcp -s192.168.0.176 --dport22-j ACCEPT #限制对22端口的访问iptables -A INPUT -p tcp -s115.236.38.80 --dport22-j ACCEPT #限制对22端口的访问iptables -A INPUT -j DROP #禁止其他任何通信iptables -A FORWARD -j DROP #禁止转发
核心交换机配置内网ACL策略进行精细化限制网络访问,实例参考A段访问B段,但B段不能访问A段
参考链接:https://support.huawei.com/enterprise/zh/doc/EDOC1100127132/a506cef0
#使用nmap检查端口存活nmap -sS192.168.1.0 -p1-65535--max-retries1--host-timeout 10m
# -sS指定TCP Syn方式探测# -p1-65535指定端口范围# --max-retries 1重试1次# --host-timeout 10m该主机探测在10m完成,否则退出
  1. 应用层安全
包括对账号密码的保护、sshd的安全配置、web服务器安全、数据库安全等
密码安全
+ 及时修改默认密码+ 测试账号不可过于简单+ 密码符合一定复杂度要求大小写、数字、位数达12位以上+ 免密加密存储+ 定期更换密码90天+ 启用验证码+ 定期密码检查如JohntheRipper工具+ 对外文档做好发布前涉敏感数据处理
#sshd配置,使用TCP Wrappers增加安全性# 原理:先读取/etc/hosts.allow匹配即允许,后读取/etc/hosts.deny匹配即拒绝echo"sshd:192.168.0.0/255.255.255.0" >> /etc/hosts.allow
echo"sshd:115.236.38.80/255.255.255.255" >> /etc/hosts.allow
echo"sshd:ALL" >> /etc/hosts.deny

web防护思路:url解析错误、目录遍历、非Web文件获取、源代码泄露、SQL注入,通过WAF加固

数据库思路:删除测试数据库、检测数据库密码、授权最小化原则。

  1. Linux备份与恢复

linux系统备份与恢复参考:https://cloud.tencent.com/developer/article/1685102#:~:text=CentOS7%E4%B8%8B%E4%BD%BF%E7%94%A8Mondo%20Rescue%E5%AE%9E%E7%8E%B0%E7%B3%BB%E7%BB%9F%E5%85%A8%E5%A4%87%E4%BB%BD%201%20%E3%80%81%E5%9C%A8%E7%BA%BF%E5%AE%89%E8%A3%85%202,%E3%80%81%E4%BF%AE%E6%94%B9%E5%88%86%E5%8C%BA%E6%8C%82%E8%BD%BD%E6%96%87%E4%BB%B6%2Fetc%2Ffstab%203%20%E3%80%81%E8%BF%90%E8%A1%8Cmondoarchive%E8%BF%9B%E8%A1%8C%E5%A4%87%E4%BB%BD%204%20%E3%80%81%E5%88%A9%E7%94%A8%E5%A4%87%E4%BB%BD%E9%95%9C%E5%83%8F%E8%BF%9B%E8%A1%8C%E6%81%A2%E5%A4%8D

注意事项:备份恢复硬件一致,系统分区一致,/etc/fstab不使用UUID指定

全系统备份后,后续应用调整仅备份应用数据和配置即可。


目录
相关文章
|
1月前
|
存储 缓存 监控
Linux缓存管理:如何安全地清理系统缓存
在Linux系统中,内存管理至关重要。本文详细介绍了如何安全地清理系统缓存,特别是通过使用`/proc/sys/vm/drop_caches`接口。内容包括清理缓存的原因、步骤、注意事项和最佳实践,帮助你在必要时优化系统性能。
194 78
|
5天前
|
缓存 安全 Linux
Linux系统查看操作系统版本信息、CPU信息、模块信息
在Linux系统中,常用命令可帮助用户查看操作系统版本、CPU信息和模块信息
52 23
|
1月前
|
Linux Shell 网络安全
Kali Linux系统Metasploit框架利用 HTA 文件进行渗透测试实验
本指南介绍如何利用 HTA 文件和 Metasploit 框架进行渗透测试。通过创建反向 shell、生成 HTA 文件、设置 HTTP 服务器和发送文件,最终实现对目标系统的控制。适用于教育目的,需合法授权。
73 9
Kali Linux系统Metasploit框架利用 HTA 文件进行渗透测试实验
|
1月前
|
存储 监控 Linux
嵌入式Linux系统编程 — 5.3 times、clock函数获取进程时间
在嵌入式Linux系统编程中,`times`和 `clock`函数是获取进程时间的两个重要工具。`times`函数提供了更详细的进程和子进程时间信息,而 `clock`函数则提供了更简单的处理器时间获取方法。根据具体需求选择合适的函数,可以更有效地进行性能分析和资源管理。通过本文的介绍,希望能帮助您更好地理解和使用这两个函数,提高嵌入式系统编程的效率和效果。
105 13
|
2月前
|
缓存 网络协议 Linux
深入探索Linux操作系统的内核优化策略####
本文旨在探讨Linux操作系统内核的优化方法,通过分析当前主流的几种内核优化技术,结合具体案例,阐述如何有效提升系统性能与稳定性。文章首先概述了Linux内核的基本结构,随后详细解析了内核优化的必要性及常用手段,包括编译优化、内核参数调整、内存管理优化等,最后通过实例展示了这些优化技巧在实际场景中的应用效果,为读者提供了一套实用的Linux内核优化指南。 ####
61 1
|
1月前
|
Ubuntu Linux C++
Win10系统上直接使用linux子系统教程(仅需五步!超简单,快速上手)
本文介绍了如何在Windows 10上安装并使用Linux子系统。首先,通过应用商店安装Windows Terminal和Linux系统(如Ubuntu)。接着,在控制面板中启用“适用于Linux的Windows子系统”并重启电脑。最后,在Windows Terminal中选择安装的Linux系统即可开始使用。文中还提供了注意事项和进一步配置的链接。
47 0
|
1月前
|
存储 Oracle 安全
服务器数据恢复—LINUX系统删除/格式化的数据恢复流程
Linux操作系统是世界上流行的操作系统之一,被广泛用于服务器、个人电脑、移动设备和嵌入式系统。Linux系统下数据被误删除或者误格式化的问题非常普遍。下面北亚企安数据恢复工程师简单聊一下基于linux的文件系统(EXT2/EXT3/EXT4/Reiserfs/Xfs) 下删除或者格式化的数据恢复流程和可行性。
|
安全 Linux 网络安全
一个简单的Linux系统加固方案
一、系统默认帐号及组管理 删除系统默认不使用的帐号,包括:lp、mail、games、ftp、nobody、postfix等。
1287 0
|
2月前
|
Linux 网络安全 数据安全/隐私保护
Linux 超级强大的十六进制 dump 工具:XXD 命令,我教你应该如何使用!
在 Linux 系统中,xxd 命令是一个强大的十六进制 dump 工具,可以将文件或数据以十六进制和 ASCII 字符形式显示,帮助用户深入了解和分析数据。本文详细介绍了 xxd 命令的基本用法、高级功能及实际应用案例,包括查看文件内容、指定输出格式、写入文件、数据比较、数据提取、数据转换和数据加密解密等。通过掌握这些技巧,用户可以更高效地处理各种数据问题。
222 8
|
2月前
|
监控 Linux
如何检查 Linux 内存使用量是否耗尽?这 5 个命令堪称绝了!
本文介绍了在Linux系统中检查内存使用情况的5个常用命令:`free`、`top`、`vmstat`、`pidstat` 和 `/proc/meminfo` 文件,帮助用户准确监控内存状态,确保系统稳定运行。
891 6