17站長網(wǎng) › 首頁 ›網(wǎng)站› 服務(wù)器 › 查看內(nèi)容

CentOS服務(wù)器如何配置安全策略

2022-10-15 09:25| 查看: 1484 |來源: 互聯(lián)網(wǎng)

近期服務(wù)器頻繁有被暴力破解，大致分析了一下入侵行為，整理了常用的安全策略：最小的權(quán)限+最少的服務(wù)=最大的安全 1. 修改ssh默認(rèn)連接22端口和添加防火墻fi ...

近期服務(wù)器頻繁有被暴力破解，大致分析了一下入侵行為，整理了常用的安全策略：

最小的權(quán)限+最少的服務(wù)=最大的安全

1. 修改ssh默認(rèn)連接22端口和添加防火墻firewalld 通過端口
步驟：

1）修改ssh的默認(rèn)端口22：

vi /etc/ssh/sshd_config

這里寫圖片描述

2）讓防火墻通過這個端口

firewall-cmd --state【firewalld是否運行】
firewall-cmd --permanent --list-port【查看端口列表】
firewall-cmd --permanent --zone=public --add-port=48489/tcp【添加端口】
firewall-cmd --permanent --remove-port=48489/tcp【刪除端口】

3）重啟SSH服務(wù)，并退出當(dāng)前連接的SSH端口

service sshd restart

4）然后通過putty ssh連接軟件鏈接一下，使用默認(rèn)22號端口無法進入SSH，達到目的，就OK了~

2. 禁止root帳號直接登錄

Linux的默認(rèn)管理員名即是root，只需要知道ROOT密碼即可直接登錄SSH。禁止Root從SSH直接登錄可以提高服務(wù)器安全性。經(jīng)過以下操作后即可實現(xiàn)。

1）新建帳戶和設(shè)置帳戶密碼

useradd ityangs
passwd ityangs

2）不允許root直接登陸

vi /etc/ssh/sshd_config

查找“#PermitRootLogin yes”，將前面的“#”去掉，短尾“Yes”改為“No”，并保存文件。

這里寫圖片描述

systemctl restart sshd.service【重啟ssh,另一種方法重啟】

3）下次登陸

先使用新建賬號“ityangs”以普通用戶登陸。

若要獲得ROOT權(quán)限，在SSH中執(zhí)行以下命令

su root

執(zhí)行以上命令并輸入root密碼后即可獲得root權(quán)限。

4）WinSCP下su切換到root的技巧（禁止root遠(yuǎn)程ssh登錄時）

限制了root用戶的遠(yuǎn)程登錄，但是重要的數(shù)據(jù)文件都是700。更可悲的是，WinSCP完全失去了用武之地。因為root賬戶無法登陸，而像是FTP，SFTP，SCP這些協(xié)議都不支持在登錄以后切換用戶。
SCP協(xié)議在登錄的時候可以指定shell，一般默認(rèn)的也就是推薦的是/bin/bash，但是我們可以修改它來玩花樣，比如改成sudo su -
但是新問題又來了，sudo需要輸入密碼，但是WinSCP在登錄的時候并沒有交互過程。但是天無絕人只要在root權(quán)限之路，只要在root權(quán)限下visudo，添加如下一行即可取消sudu時的密碼：
yourusername ALL=NOPASSWD: ALL
為了可以在非putty的環(huán)境下sudo，我們還需要注釋掉下面一行：
Defaults requiretty
然后保存，即可在登錄到WinSCP的時候享受root的快感啦！

步驟：

普通用戶ssh到服務(wù)器，切換到root權(quán)限
visudo，然后添加 yourusername ALL=NOPASSWD: ALL 這一行，注釋掉Defaults requiretty

[root@iZ252wo3Z ~]# visudo
ityangs ALL=NOPASSWD: ALL
#Defaults requiretty 【沒有可不用管】

修改WinSCP的文件協(xié)議為SCP

這里寫圖片描述

修改環(huán)境-SCP/Shell下的shell為sudo su-

這里寫圖片描述

登錄WinSCP即可。

3. 安裝DenyHosts【攔截獲取攻擊的IP，生成黑名單，防止再次攻擊】

DenyHosts（項目主頁：http://denyhosts.sourceforge.net/）是運行于Linux上的一款預(yù)防SSH暴力破解的軟件，可以從http://sourceforge.net/projects/denyhosts/files/進行下載，然后將下載回來的DenyHosts-2.6.tar.gz源碼包上傳到Linux系統(tǒng)中。

下面是安裝過程
****************************************************************
tar zxvf DenyHosts-2.6.tar.gz #解壓源碼包
cd DenyHosts-2.6 #進入安裝解壓目錄
python setup.py install #安裝DenyHosts
cd /usr/share/denyhosts/ #默認(rèn)安裝路徑
cp denyhosts.cfg-dist denyhosts.cfg #denyhosts.cfg為配置文件
cp daemon-control-dist daemon-control #daemon-control為啟動程序
chown root daemon-control #添加root權(quán)限
chmod 700 daemon-control #修改為可執(zhí)行文件
ln -s /usr/share/denyhosts/daemon-control /etc/init.d #對daemon-control進行軟連接，方便管理
安裝到這一步就完成了。
/etc/init.d/daemon-control start #啟動denyhosts
chkconfig daemon-control on #將denghosts設(shè)成開機啟動
******************************************************************
vi /usr/share/denyhosts/denyhosts.cfg #編輯配置文件，另外關(guān)于配置文件一些參數(shù)，通過grep -v "^#" denyhosts.cfg查看
SECURE_LOG = /var/log/secure #ssh 日志文件，redhat系列根據(jù)/var/log/secure文件來判斷；Mandrake、FreeBSD根據(jù) /var/log/auth.log來判斷
#SUSE則是用/var/log/messages來判斷，這些在配置文件里面都有很詳細(xì)的解釋。
HOSTS_DENY = /etc/hosts.deny #控制用戶登陸的文件
PURGE_DENY = 30m #過多久后清除已經(jīng)禁止的，設(shè)置為30分鐘；
# ‘m' = minutes
# ‘h' = hours
# ‘d' = days
# ‘w' = weeks
# ‘y' = years
BLOCK_SERVICE = sshd #禁止的服務(wù)名，當(dāng)然DenyHost不僅僅用于SSH服務(wù)
DENY_THRESHOLD_INVALID = 1 #允許無效用戶失敗的次數(shù)
DENY_THRESHOLD_VALID = 3 #允許普通用戶登陸失敗的次數(shù)
DENY_THRESHOLD_ROOT = 3 #允許root登陸失敗的次數(shù)
DAEMON_LOG = /var/log/denyhosts #DenyHosts日志文件存放的路徑，默認(rèn)
更改DenyHosts的默認(rèn)配置之后，重啟DenyHosts服務(wù)即可生效: 
/etc/init.d/daemon-control restart #重啟denyhosts

好了，以上就是小編給大家介紹的CentOS服務(wù)器如何配置安全策略，希望對大家有所幫助，如果大家有任何疑問歡迎給我留言，小編會及時回復(fù)大家的！

本文最后更新于 2022-10-15 09:25，某些文章具有時效性，若有錯誤或已失效，請在網(wǎng)站留言或聯(lián)系站長：17tui@17tui.com

·END·

站長網(wǎng)微信號：w17tui，關(guān)注站長、創(chuàng)業(yè)、關(guān)注互聯(lián)網(wǎng)人 - 互聯(lián)網(wǎng)創(chuàng)業(yè)者營銷服務(wù)中心

免責(zé)聲明：本站部分文章和圖片均來自用戶投稿和網(wǎng)絡(luò)收集，旨在傳播知識，文章和圖片版權(quán)歸原作者及原出處所有，僅供學(xué)習(xí)與參考，請勿用于商業(yè)用途，如果損害了您的權(quán)利，請聯(lián)系我們及時修正或刪除。謝謝！

下一篇：Linux root設(shè)置初始值的方法步驟上一篇：如何設(shè)置centos7服務(wù)器基本的安全操作

17站長網(wǎng)微信二維碼

始終以前瞻性的眼光聚焦站長、創(chuàng)業(yè)、互聯(lián)網(wǎng)等領(lǐng)域，為您提供最新最全的互聯(lián)網(wǎng)資訊，幫助站長轉(zhuǎn)型升級，為互聯(lián)網(wǎng)創(chuàng)業(yè)者提供更加優(yōu)質(zhì)的創(chuàng)業(yè)信息和品牌營銷服務(wù)，與站長一起進步！讓互聯(lián)網(wǎng)創(chuàng)業(yè)者不再孤獨！

掃一掃，關(guān)注站長網(wǎng)微信

青草久久影院-青草久久伊人-青草久久久-青草久久精品亚洲综合专区-SM双性精跪趴灌憋尿调教H-SM脚奴调教丨踩踏贱奴

CentOS服務(wù)器如何配置安全策略

大家都在看

相關(guān)分類

熱門排行

最近更新