欢迎来到天天文库
浏览记录
ID:58807367
大小:80.00 KB
页数:7页
时间:2020-09-27
《Linux服务器安全防护措施.doc》由会员上传分享,免费在线阅读,更多相关内容在教育资源-天天文库。
1、Linux服务器安全防护措施王杰林2012-3-19目前公司已经确定,数据库应用层和中间键应用层。而服务器的安全是从两个方面来保障的。一个是网络安全方面,另一个是程序安全方面。当程序没有漏洞,但是网络安全没有保障,那么所有的程序和数据都可能被丢失或破解。如果程序留有漏洞和后门,就算网络配置的再安全,也是枉然。这两个安全得到了保障才能真正的保证服务器的安全,仅仅采用网络安全配置是没有作用的。下面对于公司的Linux服务器安全设置和程序开发及安全应用措施如下:一、网络安全配置1、服务器系统的安全配置uLinux操作系统的防火墙设置选择软件:由于公司采用的
2、是UbuntuServer64bitLinux操作系统。在这种操作系统下,有一个高级别安全性能的防火墙IPFire最新版,IPFire是基于状态检测的防火墙,采用了内容过滤引擎,通讯服务质量(QoS:解决网络延迟,阻塞,丢失数据包,传输顺序出错等问题的一种技术,确保重要业务量不受延迟或丢弃,同时保证网络的高效运行。),虚拟专用网络技术(VPN:主要功能是:信息包分类,带宽管理,通信量管理,公平带宽,传输保证)和大量的检测记录。而且设置简单,上手快。设置:a、开启数据库的端口,这个是可以根据公司的要求设置的,比如,3306,4580,8868等等从10
3、00-65535之间,一个终端只开放一个端口;b、开放22端口,即SSH远程管理端口,只针对某个终端开放;c、ubuntuservice版linux的最高权限用户root不要设置使用固定密码(系统会在每隔5分钟自动生成一个密码,连服务器管理员都不可能知道的);u安装杀毒软件目前网络上用的比较多的杀毒软件,像avast、卡巴斯基都有linux版本的。我这里推荐使用能够avast,因为其是免费的。在杀毒方面也比较强,下面是国内检测杀毒软件的2011年的数据:u多终端应用Linux是可以多终端独立应用的,为了保障服务器和数据的安全。在这里采用的是多终端多库
4、应用,进行权限分级。如:在Linux系统下增加一个终端用户,名为SSH,设置密码为:xxxxxxxx,在该用户下安装SSH服务端,并开放22端口。同样的数据库也可以采用这个方式设置,端口是由公司内部指定,比如:TJW(添健网)用户的密码是yyyyyy,在这个用户下安装MYSQL5.0,并设置端口为3306,数据库里面只针对添健网的数据库操作。JDW(机电网)用户的密码是sssssss,同样独立安装或者配置MYSQL5.0,设置端口为3307,通过这个用户进去只能操作机电网的数据库u让服务器定期更新漏洞操作系统可以设置为定期更新漏洞,这些漏洞往往成为黑
5、客攻击的目标。不必要担心系统会下载病毒,应为系统只会指定到官方网站上去现在更新。如果等到服务器能下载非法更新包时,操作系统早已经崩溃。u设置一些傀儡服务器这个是雅虎的做法,设置几台傀儡服务器(也可以叫中继服务器)具有程序自我回复和还原功能。每台服务器的系统和端口不一。由于系统设置了自我恢复功能和恢复时间。就算黑客攻击掉了其中一台,也可以保证网络系统不会停止运营。1、常见的服务器攻击手段即网络配置l拒绝服务(DDOS攻击)攻击方式:SYN(DDOS攻击)是最常见又最容易被利用的一种攻击手法,利用TCP协议缺陷,发送了大量伪造的TCP连接请求(由于服务器
6、TCP被请求,但是得不到客户机的确认,就会尝试3次),使得被攻击方资源耗尽,无法及时回应或处理正常的服务请求。判断方法:输入命令:netstat–n–pTCP
7、grepSYN_RECV
8、grep:22
9、wc–L其中22是指端口,如果显示的是10以下则是正常的,显示为10-30可能被攻击,30以上是绝对被攻击。防范配置:由于这种攻击是来源于TCP/IP协议的先天漏洞,完全规避是不可能的。只能通过一些手段减轻攻击产生的后果。A、通过物理防火墙和过滤网关防护这个与IDC机房有关,判断IDC机房是否具备防火墙。通过防火墙代理接收和发送请求来减少对服务器本身的
10、攻击压力。B、加固TCP/IP协议设置请求时间和连接次数,这个调整需要注意的是,如果修改了相关的值。可能造成操作系统其他的功能毁坏。在没有十足的把握前请不要去设置。下面是Linux下的基础设置不会影响到其他功能:1)防止各种端口扫描,因为请求和接收是与端口有关。首先要屏蔽扫描端口,这样限制外部计算机通过Ping和扫描端口来判定哪些端口是开放。iptables-AFORWARD-ptcp--tcp-flagsSYN,ACK,FIN,RSTRST-mlimit--limit1/s–jACCEPT2)禁止使用ping,同时防止ping云攻击iptables
11、-AFORWARD-ptcp--tcp-flagsSYN,ACK,FIN,RSTRST-mlimit--li
此文档下载收益归作者所有