25个Linux服务器安全小贴士，总有一条用得上！
各人都认为 Linux 默认是安全的，我大要是认可的 (这是个有争议的话题)。Linux默认确实有内置的安全模型。你需要打开它而且对其举行定制，如许才气得到更安全的体系。Linux更难管理，不外相应也更灵活，有更多的配置选项。对于体系管理员，让产品的体系更安全，免于骇客和黑客的攻击，一直是一项挑衅。这是我们关于“怎样让Linux体系更安全” 或者 “加固Linux体系“之类话题的第一篇文章。本文将先容 25个有效的本领和秘诀 ，帮助你让Linux体系更加安全。希望下面的这些本领和秘诀可以帮助你增强你的体系的安全。
1. 物理体系的安全性
配置BIOS，禁用从CD/DVD、外部设备、软驱启动。下一步，启用BIOS暗码，同时启用GRUB的暗码保护，如许可以限制对体系的物理访问。
2. 磁盘分区
使用差异的分区很重要，对于大概得灾难，这可以包管更高的数据安全性。通过分别差异的分区，数据可以举行分组并隔离开来。当不测发生时，只有出题目的分区的数据才会被破坏，其他分区的数据可以保留下来。你最好有以下的分区，而且第三方程序最好安装在单独的文件体系/opt下。
https://img-blog.csdnimg.cn/img_convert/7bc2b15d16f1cc0c303580e39be7c3df.png
3. 最小包安装，最少毛病
你真的需要安装所有的服务么？建议不要安装无用的包，避免由这些包带来的毛病。这将最小化风险，由于一个服务的毛病大概会危害到其他的服务。找到并去除或者停止不消的服务，把体系毛病减少到最小。使用‘chkconfig‘命令列出运行级别3的运行所有服务。
https://img-blog.csdnimg.cn/img_convert/aa2c79b5c49002a336142ae9aa16a52a.png
当你发现一个不需要的服务在运行时，使用下面的命令停止这个服务。
https://img-blog.csdnimg.cn/img_convert/1f7fe1afa9ebf50fe55578173503666c.png
使用RPM包管理器，例如YUM或者apt-get 工具来列出所有安装的包，而且利用下的命令来卸载他们。
https://img-blog.csdnimg.cn/img_convert/b308f368e3a085d5f3e388f48d3b6d92.png
https://img-blog.csdnimg.cn/img_convert/27e8e499bd4354f4a8f2d1a696316a51.png
4. 查抄网络监听端口
在网络命令 ‘netstat‘ 的帮助下，你将能够看到所有开启的端口，以及干系的程序。使用我上面提到的 ‘chkconfig‘ 命令关闭体系中不想要的网络服务。
https://img-blog.csdnimg.cn/img_convert/21677007663278b9d49b3c23b79bff2a.png
5. 使用 SSH（Secure Shell）
Telnet 和 rlogin 协议只能用于纯文本，不能使用加密的格式，这或将导致安全毛病的产生。SSH 是一种在客户端与服务器端通讯时使用加密技能的安全协议。
除非必要，永远都不要直接登录 root 账户。使用 “sudo” 实行命令。sudo 由 /etc/sudoers 文件订定，同时也可以使用 “visudo” 工具编辑，它将通过 VI 编辑器打开配置文件。
同时，建议将默认的 SSH 22 端口号改为其他更高的端口号。打开重要的 SSH 配置文件并做如下修改，以限制用户访问。
https://img-blog.csdnimg.cn/img_convert/e7418a34db0a75f00b6bf59a6cfa1548.png
关闭 root 用户登录
https://img-blog.csdnimg.cn/img_convert/40faa00ec5d3223eeb9cb728fe4deb3f.png
特定用户通过
https://img-blog.csdnimg.cn/img_convert/1e2311f817c9644a7cef1af11999e227.png
使用第二版 SSH 协议
https://img-blog.csdnimg.cn/img_convert/0c39c3d0ad74dc96ec8c31ae8dadcb6b.png
6. 包管体系是最新的
得一直包管体系包含了最新版本的补丁、安全修复和可用内核。
https://img-blog.csdnimg.cn/img_convert/ca9ae6166f626bc45dcafe0a1cd5a635.png
7. 锁定 Cron使命
Cron有它本身内建的特性，这特性允许界说哪些人能哪些人不能跑使命。这是通过两个文件/etc/cron.allow 和 /etc/cron.deny 控制的。要锁定在用Cron的用户时可以简朴的将其名字写到corn.deny里，而要允许用户跑cron时将其名字加到cron.allow即可。如果你要禁止所有效户使用corn，那么可以将“ALL”作为一行加到cron.deny里。
https://img-blog.csdnimg.cn/img_convert/eee65ceb46180b050afed16d136ae185.png
8. 禁止USB探测
很多情况下我们想去限制用户使用USB，来保障体系安全和数据的泄漏。创建一个文件‘/etc/modprobe.d/no-usb‘而且利用下面的命令来禁止探测USB存储。
https://img-blog.csdnimg.cn/img_convert/689701a81229cefff63f46a67a742a81.png
9.打开SELinux
SELinux(安全增强linux)是linux内核提供的一个强制的访问控制安全机制。禁用SELinux意味着体系丢掉了安全机制。要去除SELinux之前过细思量下，如果你的体系需要发布到网络，而且要在公网访问，你就要更加注意一下。
SELinux 提供了三个基本的操作模式，他们是：
[*] 强制实行：这是默认是模式，用来启用和强制实行SELinux安全措略。
[*] 许可模式：这种模式下SELinux不会强制实行安全措略，只有警告和日志记录。这种模式在SELinux干系题目的故障排除时候非常有效。
[*] 关闭模式：SELinux被关闭。
你可以使用命令行‘system-config-selinux‘, ‘getenforce‘ or ‘sestatus‘来浏览当前的SEliux的状态。
https://img-blog.csdnimg.cn/img_convert/d98b309daee7a724f3d76ee057f6774b.png
如果是关闭模式，通过下面的命令开启SELinux
https://img-blog.csdnimg.cn/img_convert/f0b3d44ae1841befb928edec45c3bdb2.png
你也可以通过配置文件‘/etc/selinux/config‘来举行SELinux的开关操作。
10. 移除KDE或GNOME桌面
没必要在专用的LAMP服务器上运行X Window桌面比如KDE和GNOME。可以移掉或关闭它们，以提高体系安全性和性能。打开/etc/inittab然后将run level改成3就可以关闭这些桌面。如果你将它彻底的从体系中移走，可以用下面这个命令：
https://img-blog.csdnimg.cn/img_convert/57dc83171bcc14a2db8160ef494920c5.png
11. 关闭IPv6
如果不消IPv6协议，那就应该关闭掉它，由于大部分的应用和策略都不会用到IPv6，而且当前它不是服务器必需的。可以在网络配置文件中加入如下几行来关掉它。
https://img-blog.csdnimg.cn/img_convert/5275c0fef29866f9c7588684c31b5718.png
https://img-blog.csdnimg.cn/img_convert/6fd239c521787611e45e7fd8e551283b.png
12. 限制用户使用旧暗码
如果你不希望用户继续使用老暗码，这一条很有效。老的暗码文件位于 /etc/security/opasswd。你可以使用 PAM 模块实现。
RHEL / CentOS / Fedora 中打开 ‘/etc/pam.d/system-auth‘ 文件。
https://img-blog.csdnimg.cn/img_convert/bb3346fe715b112f72a8e186d808f233.png
Ubuntu/Debian/Linux Mint 中打开 ‘/etc/pam.d/common-password‘ 文件。
https://img-blog.csdnimg.cn/img_convert/effe2c07ca393f15e973b0cd938205ba.png
在 ‘auth‘ 块中添加下面一行。
https://img-blog.csdnimg.cn/img_convert/f4b26cbd9f80be722a88124ca7a1dd7a.png
在 ‘password‘ 块添加下面一行，禁止用户重新使用其已往最后用过的 5个暗码。
https://img-blog.csdnimg.cn/img_convert/21b2853ee47e0d5e731e79204b8de91d.png
服务器只记录最后的 5 个暗码。如果你试图使用曾用的最后 5个老暗码中的恣意一个，你将看到如下的错误提示。
https://img-blog.csdnimg.cn/img_convert/08701d7dbcbf971426b29be311dcc172.png
13. 怎样查抄用户暗码过期？
在 Linux 中，用户的暗码以加密的情势生存在 ‘/etc/shadow‘ 文件中。要查抄用户的暗码是否过期，你需要使用 ‘chage‘ 命令。它将表现暗码的最后修改日期及暗码限期的细节信息。这些细节就是体系决定用户是否必须修改其暗码的依据。
要查看任一存在用户的老化信息，如 过期日 和 时长，使用如下命令。
https://img-blog.csdnimg.cn/img_convert/4fe3ed40502ba093e45363e17cd1d4e5.png
要修改任一用户的暗码老化，使用如下命令。
https://img-blog.csdnimg.cn/img_convert/0b3adb1856492091c8f771c83a3e1bb9.png
参数
[*] -M 设置天数最大数字
[*] -m 设定天数最小数字
[*] -W 设定想要的天数
14. 手动锁定或解锁用户账号
锁定和解锁功能黑白常有效的，你可以锁定一个账号一周或一个月，而不是将这个账号从体系中剔除。可以用下面这个命令锁定一个特定用户。
https://img-blog.csdnimg.cn/img_convert/5b436df503e07fa464ee9b4c9db0b9dd.png
提示：这个被锁定的用户仅对root用户仍然可见。这个锁定是通过将加密过的暗码替换成（！）来实现的。如果有个想用这个账号来进入体系，他会得到类似下面这个错误的提示。
https://img-blog.csdnimg.cn/img_convert/e73727f0a44a640eca996c7467eb30ca.png
解锁一个被锁定的账号时，用下面这个命令。这命令会将被替换成（！）的暗码改返来。
https://img-blog.csdnimg.cn/img_convert/4952c5db2bd5f5bf6bfbdbcb138faa59.png
15. 增强暗码
有相称数量的用户使用很弱智的暗码，他们的暗码都可以通过字典攻击或者暴力攻击攻破。‘pam_cracklib‘模块存于在PAM 中，它可以强制用户设置复杂的暗码。通过编辑器打开下面的文件。
https://img-blog.csdnimg.cn/img_convert/f0415d4f43af1d0765a8489d68f30882.png
在文件中增加一行，使用认证参数(lcredit, ucredit, dcredit 或者 ocredit 对应小写字母、大写字母，数字和其他字符)
https://img-blog.csdnimg.cn/img_convert/49ba5f70c32707a05363f65ebbbcf9e5.png
16. 启用Iptable（防火墙）
高度保举启用linux防火墙来禁止非法程序访问。使用iptable的规则来过滤入站、出站和转发的包。我们可以针对来源和目的地点举行特定udp/tcp端口的准许和拒绝访问。
17. 禁止Ctrl+Alt+Delete重启
在大多数的linux发行版中，按下‘CTRL-ALT-DELETE’将会让你的体系重启。只说生产服务器上这是不是一个很好的做法，这大概导致误操作。
这个配置是在‘ /etc/inittab‘文件，如果你打开这个文件，你可以看到下面类似的段落。默认的行已经被注释掉了。我们必须注释掉他。这个特定按键会让体系重启。
https://img-blog.csdnimg.cn/img_convert/7260b56eb9807dc95fdb2e527c88146d.png
18. 查抄空暗码帐号
任何空暗码的账户意味这可以让Web上任何无授权的用户访问，这是linux服务器的一个安全威胁。所以，确定所有的用户拥有一个复杂的暗码而且不存在特权用户。空暗码帐号是安全风险，可以被容易的攻克。可以利用下面的命令来查抄是否有空暗码账户存在。
https://img-blog.csdnimg.cn/img_convert/c42d8fba5998f48bc4b9159b3ae31eec.png
19. 登录前表现SSH提示
在ssh认证时候，使用一个法律和安全警示是很好的建议。
20. 监督用户活动
如果你有很多的用户，去网络每一个用户的活动和和他们的进程消耗的信息非常重要。可以随后和一些性能优化和安全题目处理时举行用户分析。但是如果监督和搜集用户活动信息呢 ？
有两个很有效的工具‘psacct‘ 和 ‘acct‘可以用来监督体系中用户的活动和进程。这些工具在体系后台实行而且不断记录体系中每一个用户的活动和各个服务比如Apache, MySQL, SSH, FTP, 等的资源消耗。
21. 定期查看日志
将日志移动到专用的日志服务器里，这可避免入侵者容易的改动本地日志。下面是常见linux的默认日志文件及其用处：
https://img-blog.csdnimg.cn/img_convert/32550b442aecf82b09269c3198749041.png
22. 重要文件备份
在生产环境里，为了灾难恢复，有必要将重要文件备份并生存在安全的长途磁带保险库、长途站点或异地硬盘。
23. NIC 绑定
有两种范例的NIC绑定模式，需要在绑定接口用得到。
mode=0 – 循环赛模式
mode=1 – 激活和备份模式
NIC绑定可以帮助我们避免单点失败。在NIC绑定中，我们把两个或者更多的网卡绑定到一起，提供一个假造的接口，这个接口设置ip地点，而且和其他服务器会话。如许在一个NIC卡down掉或者由于其他原因不能使用的时候，我们的网络将能保持可用。
24. 保持 /boot 只读
linux内核和他的干系的文件都生存在/boot目下，默认情况下是可以读写的。把它设为了只读可以减少一些由于非法修改重要boot文件而导致的风险。
https://img-blog.csdnimg.cn/img_convert/76e82235b3c57bb83d201d3b562bfcb8.png
在文件最后增加下面的行，而且生存
https://img-blog.csdnimg.cn/img_convert/a79a213ac7036db4859de2f96978e376.png
如果你以后需要升级内核的话，你需要修回到读写模式。
25.忽略ICMP和Broadcast哀求
在/etc/sysctl.conf中添加下面几行，屏蔽掉ping和broadcast哀求。
https://img-blog.csdnimg.cn/img_convert/ddad756beef5cc4ff43c5a5375f74df9.png
运行下面这一行加载修改或更新
https://img-blog.csdnimg.cn/img_convert/2bf249f39b3540cfc9bab63d1ead5fd6.png
如果你觉得了上述安全小贴士很好用，或另有什么其它需要补充进去，请在下面的批评框里写写，不断追求进步的TecMint一如既往地乐意听到您的批评、建议以及讨论。
*声明：推送内容及图片来源于网络，部分内容会有所改动，版权归原作者所有，如来源信息有误或侵占权益，请接洽我们删除或授权事件。
- 结束 -
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
网络安全学习资源分享:
最后给各人分享我本身学习的一份全套的网络安全学习资料，希望对想学习 网络安全的小同伴们有帮助！
零底子入门
对于从来没有接触过网络安全的同学，我们帮你预备了详细的学习成长路线图。可以说是最科学最体系的学习路线，各人跟着这个大的方向学习准没题目。
读者福利 |CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 （安全链接，放心点击）
https://i-blog.csdnimg.cn/direct/057b7e0b5c5b442ea77d0f1ac23c0fd4.jpeg#pic_center
1.网络安全学习路线图
要学习一门新的技能，作为新手一定要先学习成长路线图，方向不对，努力白费。
对于从来没有接触过网络安全的同学，我们帮你预备了详细的学习成长路线图&学习规划。可以说是最科学最体系的学习路线，各人跟着这个大的方向学习准没题目。
https://i-blog.csdnimg.cn/direct/73381587b71a4fcca460e6f3249da272.webp
2.视频教程
网上固然也有很多的学习资源，但基本上都残缺不全的，这是我本身录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
技能文档也是我本身整理的，包括我到场大型网安行动、CTF和挖SRC毛病的经验和技能要点，电子书也有200多本【点击领取技能文档】
https://i-blog.csdnimg.cn/direct/f86928c4051649c380cab368ad9f54df.webp
（都打包成一块的了，不能逐一睁开，统共300多集）
3.技能文档和电子书
技能文档也是我本身整理的，包括我到场大型网安行动、CTF和挖SRC毛病的经验和技能要点，电子书也有200多本【点击领取书籍】
https://img-blog.csdnimg.cn/e772b987f7ab46c18dd20d1bfa4af5fa.jpeg#pic_center
4.工具包、口试题和源码
“工欲善其事必先利其器”我为各人总结出了最受欢迎的几十款款黑客工具。涉及范围重要会合在 信息网络、Android黑客工具、主动化工具、网络钓鱼等，感爱好的同学不容错过。
https://img-blog.csdnimg.cn/f5a170b6e07e4f4da1c6ec7637a935ac.png#pic_center
最后就是我这几年整理的网安方面的口试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。
这些标题都是各人在口试深信服、奇安信、腾讯或者其它大厂口试时常常遇到的，如果各人有好的标题或者好的看法欢迎分享。
参考剖析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表示更加易懂。
内容概要：包括 内网、操作体系、协议、排泄测试、安服、毛病、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑毛病、工具、SQLmap、NMAP、BP、MSF…
https://img-blog.csdnimg.cn/direct/7715abdd49af4c1c9966f8da21b5a7f7.gif#pic_center
https://i-blog.csdnimg.cn/direct/27770c6fffb9445480455e0f3c193552.jpeg#pic_center
读者福利 |CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享 （安全链接，放心点击）
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。
页:
[1]