Linux服務(wù)器安全技巧有哪些

　　一臺服務(wù)器由大量功能各異的部件組成，這一點(diǎn)使得很難根據每個(gè)人的需求去提供定制的解決方案。這篇文章盡可能涵蓋一些有所裨益的小技巧來(lái)幫助管理員保證服務(wù)器和用戶(hù)安全。下面是yjbys小編為大家分享的Linux服務(wù)器安全技巧，希望對大家有所幫助!

　　更改SSH默認端口

　　在搭建好一臺全新的服務(wù)器后要做的第一件事情就是更改SSH的默認端口。這個(gè)小小的改動(dòng)能夠使你的服務(wù)器避免受到成千上萬(wàn)的暴力攻擊(LCTT 譯注：不更改默認端口相當于黑客們知道你家的門(mén)牌號，這樣他們只需要一把一把的試鑰匙就可能打開(kāi)你家的鎖)。

　　要更改默認的SSH端口，先打開(kāi)sshd_config文件：

　　sudo vim /etc/ssh/sshd_config

　　找到下面這行：

　　#Port 22

　　“#”號表示這行是注釋。首先刪除#號，然后把端口號改成目的端口。端口號不能超過(guò)65535，確保要指定的端口號沒(méi)有被系統或其它服務(wù)占用。建議在[維基百科]上查看常用端口號列表。在本文中，使用這個(gè)端口號：

　　Port 16543

　　然后保存并關(guān)閉文件。

　　接下來(lái)的一步是：

　　使用SSH密鑰認證

　　在通過(guò)SSH訪(fǎng)問(wèn)服務(wù)器時(shí)，使用SSH密鑰進(jìn)行認證是尤其重要的。這樣做為服務(wù)器增加了額外的保護，確保只有那些擁有密鑰的人才能訪(fǎng)問(wèn)服務(wù)器。

　　在本地機器上運行下面命令以生成SSH密鑰：

　　ssh-keygen -t rsa

　　你會(huì )看到下面的輸出，詢(xún)問(wèn)要將密鑰寫(xiě)到哪一個(gè)文件里，并且設置一個(gè)密碼：

　　Generating public/private rsa key pair.

　　Enter file in which to save the key (/root/.ssh/id_rsa): my_key

　　Enter passphrase (empty for no passphrase):

　　Enter same passphrase again:

　　Your identification has been saved in my_key.

　　Your public key has been saved in my_key.pub.

　　The key fingerprint is:

　　SHA256:MqD/pzzTRsCjZb6mpfjyrr5v1pJLBcgprR5tjNoI20A

　　完成之后，就得到兩個(gè)文件：

　　my_key

　　my_key.pub

　　接下來(lái)把my_key.pub拷貝到~/.ssh/authorized_key中

　　cp my_key.pub ~/.ssh/authorized_keys

　　然后使用下面命令將密鑰上傳到服務(wù)器：

　　scp -P16543 authorized_keys user@yourserver-ip:/home/user/.ssh/

　　至此，你就可以從這臺本地機器上無(wú)密碼地訪(fǎng)問(wèn)服務(wù)器了。

　　關(guān)閉SSH的密碼認證

　　既然已經(jīng)有了SSH密鑰，那么關(guān)閉SSH的密碼認證就會(huì )更安全了。再次打開(kāi)并編輯sshd_config，按如下設置：

　　ChallengeResponseAuthentication no

　　PasswordAuthentication no

　　UsePAM no

　　關(guān)閉Root登錄

　　下面關(guān)鍵的一步是關(guān)閉root用戶(hù)的直接訪(fǎng)問(wèn)，而使用sudo或su來(lái)執行管理員任務(wù)。首先需要添加一個(gè)有root權限的新用戶(hù)，所以編輯這個(gè)路徑下的sudoers文件：

　　/etc/sudoers/

　　推薦使用如visudo這樣的命令編輯該文件，因為它會(huì )在關(guān)閉文件之前檢查任何可能出現的語(yǔ)法錯誤。當你在編輯文件時(shí)出錯了，這就很有用了。

　　接下來(lái)賦予某個(gè)用戶(hù)root權限。在本文中，使用用戶(hù)sysadmin。確保在編輯后這個(gè)文件時(shí)使用的用戶(hù)是系統已有的用戶(hù)。找到下面這行：

　　root ALL=(ALL) ALL

　　拷貝這行，然后粘貼在下一行，然后把root更改為“sysadmin”，如下所示：

　　root ALL=(ALL) ALL

　　sysadmin ALL=(ALL) ALL

　　現在解釋一下這行的每一個(gè)選項的含義：

　　(1) root (2)ALL=(3)(ALL) (4)ALL

　　(1) 指定用戶(hù)

　　(2) 指定用戶(hù)使用sudo的終端

　　(3) 指定用戶(hù)可以擔任的用戶(hù)角色

　　(4) 這個(gè)用戶(hù)可以使用的命令

　　(LCTT 譯注：所以上面的配置是意思是：root 用戶(hù)可以在任何終端擔任任何用戶(hù)，執行任何命令。)

　　使用這個(gè)配置可以給用戶(hù)訪(fǎng)問(wèn)一些系統工具的權限。

　　這時(shí)，可以放心保存文件了。

　　為了關(guān)閉通過(guò)SSH直接訪(fǎng)問(wèn)root，需要再次打開(kāi)sshd_config，找到下面這行：

　　#PermitRootLogin yes

　　更改為：

　　PermitRootLogin no

　　然后保存文件，重啟sshd守護進(jìn)程使改動(dòng)生效。執行下面命令即可：

　　sudo /etc/init.d/sshd restart

　　設置防火墻

　　防火墻有助于過(guò)濾出入端口和阻止使用暴力法的登錄嘗試。我傾向于使用SCF(Config Server Firewall)這個(gè)強力防火墻。它使用了iptables，易于管理，而且對于不擅于輸入命令的用戶(hù)提供了web界面。

　　要安裝CSF，先登錄到服務(wù)器，切換到這個(gè)目錄下：

　　cd /usr/local/src/

　　然后以root權限執行下面命令：

　　wget https://download.configserver.com/csf.tgz

　　tar -xzf csf.tgz

　　cd csf

　　sh install.sh

　　只需等待安裝程序完成，然后編輯CSF的配置文件：

　　/etc/csf/csf.conf

　　默認情況下CSF是以測試模式運行。通過(guò)將“TESTING”的值設置成0，切換到product模式。

　　TESTING = "0"

　　下面要設置的就是服務(wù)器上允許通過(guò)的端口。在csf.conf中定位到下面的部分，根據需要修改端口：

　　# 允許入站的 TCP 端口

　　TCP_IN = "20,21,25,53,80,110,143,443,465,587,993,995,16543"

　　# 允許出站的 TCP 端口

　　TCP_OUT = "20,21,22,25,53,80,110,113,443,587,993,995,16543"

　　# 允許入站的 UDP 端口

　　UDP_IN = "20,21,53"

　　# 允許出站的 UDP 端口

　　# 要允許發(fā)出 traceroute 請求，請加 33434:33523 端口范圍到該列表

　　UDP_OUT = "20,21,53,113,123"

　　請根據需要逐一設置，推薦只使用那些需要的端口，避免設置對端口進(jìn)行大范圍設置。此外，也要避免使用不安全服務(wù)的不安全端口。比如只允許端口465和587來(lái)發(fā)送電子郵件，取代默認的SMTP端口25。(LCTT 譯注：前提是你的郵件服務(wù)器支持 SMTPS)

　　重要：千萬(wàn)不要忘記允許自定義的 ssh 端口。

　　允許你的IP地址通過(guò)防火墻，而絕不被屏蔽，這一點(diǎn)很重要。IP地址定義在下面的文件中：

　　/etc/csf/csf.ignore

　　被屏蔽了的IP地址會(huì )出現在這個(gè)文件中：

　　/etc/csf/csf.deny

　　一旦完成更改，使用這個(gè)命令重啟csf：

　　sudo /etc/init.d/csf restart

　　下面是在某臺服務(wù)器上的csf.deny文件的部分內容，來(lái)說(shuō)明CSF是很有用的：

　　211.216.48.205 # lfd: (sshd) Failed SSH login from 211.216.48.205 (KR/Korea, Republic of/-): 5 in the last 3600 secs - Fri Mar 6 00:30:35 2015

　　103.41.124.53 # lfd: (sshd) Failed SSH login from 103.41.124.53 (HK/Hong Kong/-): 5 in the last 3600 secs - Fri Mar 6 01:06:46 2015

　　103.41.124.42 # lfd: (sshd) Failed SSH login from 103.41.124.42 (HK/Hong Kong/-): 5 in the last 3600 secs - Fri Mar 6 01:59:04 2015

　　103.41.124.26 # lfd: (sshd) Failed SSH login from 103.41.124.26 (HK/Hong Kong/-): 5 in the last 3600 secs - Fri Mar 6 02:48:26 2015

　　109.169.74.58 # lfd: (sshd) Failed SSH login from 109.169.74.58 (GB/United Kingdom/mail2.algeos.com): 5 in the last 3600 secs - Fri Mar 6 03:49:03 2015

　　可以看到，嘗試通過(guò)暴力法登錄的IP地址都被屏蔽了，真是眼不見(jiàn)心不煩啊!

　　鎖住賬戶(hù)

　　如果某個(gè)賬戶(hù)在很長(cháng)一段時(shí)間內都不會(huì )被使用了，那么可以將其鎖住以防止其它人訪(fǎng)問(wèn)。使用如下命令：

　　passwd -l accountName

　　當然，這個(gè)賬戶(hù)依然可以被root用戶(hù)使用(LCTT 譯注：可用 su 切換為該賬號)。

　　了解服務(wù)器上的服務(wù)

　　服務(wù)器的本質(zhì)是為各種服務(wù)提供訪(fǎng)問(wèn)功能。使服務(wù)器只運行所需的服務(wù)，關(guān)閉沒(méi)有使用的服務(wù)。這樣做不僅會(huì )釋放一些系統資源，而且也會(huì )使服務(wù)器變得更加安全。比如，如果只是運行一個(gè)簡(jiǎn)單的服務(wù)器，顯然不需要X顯示或者桌面環(huán)境。如果不需要Windows網(wǎng)絡(luò )共享功能，則可以放心關(guān)閉Samba。

　　使用下面的命令能查看伴隨系統啟動(dòng)而啟動(dòng)的服務(wù)：

　　chkconfig --list | grep "3:on"

　　如果系統運行了systemd，執行這條命令：

　　systemctl list-unit-files --type=service | grep enabled

　　然后使用下面的命令關(guān)閉服務(wù)：

　　chkconfig service off

　　或

　　systemctl disable service

　　在上面的例子中，把“service”替換成真正想要停止的服務(wù)名稱(chēng)。實(shí)例如下：

　　chkconfig httpd off

　　或

　　systemctl disable httpd

　　小結

　　這篇文章的目的是涵蓋一些通用的安全步驟以便幫助你保護服務(wù)器。你可以采取更多方式去增強對服務(wù)器的保護。請記住保證服務(wù)器安全是你的責任，在維護服務(wù)器安全時(shí)盡量做出明智的選擇，盡管并沒(méi)有什么容易的方式去完成這件事情，而建立“完善的”安全需要花費大量的時(shí)間和測試直到達到想要的結果。

【Linux服務(wù)器安全技巧有哪些】相關(guān)文章：

化妝的技巧有哪些09-08

唱歌的技巧有哪些08-10

速寫(xiě)的技巧有哪些01-02

跳高有哪些技巧07-16

口才技巧有哪些10-23

跑步的技巧有哪些09-22

登山的技巧有哪些10-16

演講的技巧有哪些?08-22

沖浪有哪些技巧05-22