CentOs web服务器安全防范经验总结

1禁用ROOT权限登录。(重要)

2安全组收缩不使用的端口，建议除443/80以及ssh登录等必要端口外全部关闭。

3防火墙收缩不使用的端口，建议除443/80以及ssh登录端口外全部关闭。

4更改ssh默认端口22

5除登录USER，禁止其他用户su到root进程，并且ssh开启秘钥及密码双层验证登录。(重要)

6限制除登录USER外的其他用户登录。

7安装DenyHosts，防止ddos攻击。

8禁止系统响应任何从外部/内部来的ping请求。

9保持每天自动检测更新。

10禁止除root之外的用户进程安装软件及服务，如有需要则root安装，chown给到用户。

11定时给服务器做快照。

12更改下列文件权限：

13限制普通用户使用特殊命令，比如wget，curl等命令更改使用权限，一般的挖矿程序主要使用这几种命令操作。

1nginx进程运行在最小权限的子用户中，禁止使用root用户启动nginx。(重要)

2配置nginxconf，防范常见漏洞：

1禁止root权限启动apache服务！禁止root权限启动apache服务！禁止root权限启动apache服务！重要的事情说三遍！因为这个问题被搞了两次。

2改掉默认端口。

3清空webapps下除自己服务外的其他文件，删除用户管理文件，防止给木马留下后门。

4限制apache启动进程su到root进程以及ssh登录，限制启动进程访问除/home/xx自身目录外的其他文件。

5限制apache启动进程操作删除以及编辑文件，一般a+x即可。

1关闭外网连接，与java/php服务使用内网连接。

2在满足java/php服务的基础上，新建最小权限USER给到服务使用，禁止USER权限访问其他项目的库。

3root密码不要与普通USER相同。

4建议使用云库，云库具备实时备份，动态扩容，数据回退等功能，减少操作风险。

1关闭外网连接，只允许内网交互，基本这个做了之后就已经稳了。

2禁止root权限启动，运行在普通用户进程里。

3更改默认端口。

4添加登录密码。

以上是自己做的防范手段，不成熟见解，有一些方案待验证，不定时更新，欢迎大佬补充！

一、维护数据库健康运行

　　使用香港服务器开展您的业务，投入精力确保您的数据库良性维护，并根据需求进行更新是非常必要的。具体来说，您应该确保您的数据库已受到SQL注入的保护，或者删除任何不需要的数据，并减少其他人对相关数据库的访问。如果您需要收集您网站上客户的任何敏感信息(如付款信息)，这一点尤为重要。您可以使用某些数据库管理工具做好这些工作。

　　二、及时更新软件版本

　　在香港服务器安全性方面最大的错误之一是没有保持软件更新。软件未及时更新，容易被黑客利用漏洞进行入侵。当您使用过时的软件时，需要及时进行安全更新、修补程序和其他保护措施，以保护您的信息安全。当您收到关于您的香港服务器上软件的可用新版本提示消息时，请尽快安装新版本。如果您将其忽略，很可能使你的香港服务器安全处于危险之中。使用专业的安全漏洞扫描程序是一种保持软件实时更新的方式之一。

　　三、保留数据备份

　　即使稳如香港服务器，也无法避免突发的硬件故障、突发攻击以及安全漏洞引发的数据丢失状况。这种重要数据丢失的事件每天都在大大小小的企业中发生。如果您要避免这种风险，请确保您的香港服务器已设置定期数据备份。这样，重要数据可在本地或其他位置生成副本，并在原始数据损坏、丢失等恶劣情况下仍可利用副本恢复业务运行。

　　四、内部管理安全风险举措

　　据悉，香港服务器出现的很多安全事件，大多数都是人为因素导致。为规避香港服务器因人为因素导致的风险，您必须制定公司内部数据泄露和其他类型的安全风险协议，包括分配不同部门不同人员的管理权限、帐户和密码权限以及其他举措。同时，还要注意管理帐户的安全保密，定期更新密码避免为黑客**。

　　通过以上这些步骤，可有效提升香港服务器安全性，保障您的数据安全。当然，您也可以购买服务器供应商制定的相关安全保护增值服务方案，雇佣专业的安全团队来处理安全性保护事宜。

泰海董辉为您解答！

1 从基本做起

从基本做起是最保险的方式。你必须将服务器上含有机密数据的区域通通转换成NTFS格式；同理，防毒程序也必须按时更新。建议同时在服务器和桌面电脑上安装防毒软件。服务器安全维护中这些软件还应该设定成每天自动下载最新的病毒定义文件。服务器安全维护中另外,Exchange Server（邮件服务器）也应该安装防毒软件，服务器安全维护中这类软件可扫描所有寄进来的电子邮件，寻找被病毒感染的附件，若发现病毒，邮件马上会被隔离，减低使用者被感染的机会。

另一个保护网络的好方法是依员工上班时间来限定使用者登录网络的权限。例如，上白天班的员工不该有权限在三更半夜登录网络。

最后，服务器安全维护中存取网络上的任何数据皆须通过密码登录。服务器安全维护中强迫大家在设定密码时，必须混用大小写字母、数字和特殊字符。在Windows NT Server Resource

Kit里就有这样的工具软件。你还应该设定定期更新密码，且密码长度不得少于八个字符。若你已经做了这些措施，但还是担心密码不安全，你可以试试从网络下载一些黑客工具，然后测试一下这些密码到底有多安全。

2 保护备份

大多数人都没有意识到，备份本身就是一个巨大的安全漏洞，怎么说呢？试想，大多数的备份工作多在晚上10点或11点开始，依数据多寡，备份完成后大概也是夜半时分了。现在，想像一下，现在是凌晨四点，备份工作已经结束。有心人士正好可趁此时偷走备份磁盘，并在自己家中或是你竞争对手办公室里的服务器上恢复。不过，你可以阻止这种事情发生。首先，你可利用密码保护你的磁盘，若你的备份程序支持加密功能，你还可以将数据进行加密。其次，你可以将备份完成的时间定在你早上进办公室的时间，这样的话，即使有人半夜想溜进来偷走磁盘的话也无法了，因为磁盘正在使用中；如果窃贼强行把磁盘拿走，他一样无法读取那些损毁的数据。

3使用RAS的回拨功能

Windows

NT最酷的功能之一就是支持服务器远端存取(RAS)，不幸的是，RAS服务器对黑客来说实在太方便了，他们只需要一个电话号码、一点耐心，然后就能通过RAS进入主机。不过你可以采取一些方法来保护RAS服务器的安全。

你所采用的技术主要端赖于远端存取者的工作方式。如果远端用户经常是从家里或是固定的地方上网，建议你使用回拨功能，它允许远端用户登录后即挂断，然后RAS服务器会拨出预设的电话号码接通用户，因为此一电话号码已经预先在程序中了，黑客也就没有机会指定服务器回拨的号码了。

另一个办法是限定远端用户只能存取单一服务器。你可以将用户经常使用到的数据复制到RAS服务器的一个特殊共用点上，再将远端用户的登录限制在一台服务器上，而非整个网络。如此一来，即使黑客入侵主机，他们也只能在单一机器上作怪，间接达到减少破坏的程度。

最后还有一个技巧就是在RAS服务器上使用“另类”网络协议。很都以TCP/IP协议当作RAS协议。利用TCP/IP协议本身的性质与接受程度，如此选择相当合理，但是RAS还支持IPX/SPX和NetBEUI协议，如果你使用NetBEUI当作RAS协议，黑客若一时不察铁定会被搞得晕头转向。

考虑工作站的安全问题

在服务器安全的文章里提及工作站安全感觉似乎不太搭边，但是，工作站正是进入服务器的大门，加强工作站的安全能够提高整体网络的安全性。对于初学者，建议在所有工作站上使用Windows

2000。Windows 2000是一个非常安全的操作系统，如果你没有Windows 2000，那至少使用Windows

NT。如此你便能将工作站锁定，若没有权限，一般人将很难取得网络配置信息。

另一个技巧是限制使用者只能从特定工作站登录。还有一招是将工作站当作简易型的终端机（dumb terminal）或者说，智慧型的简易终端机。换言之，工作站上不会存有任何数据或软件，当你将电脑当作dumb terminal使用时，服务器必须执行Windows NT 终端服务程序，而且所有应用程序都只在服务器上运作，工作站只能被动接收并显示数据而已。这意味着工作站上只有安装最少的Windows版本，和一份微软Terminal Server Client。这种方法应该是最安全的网络设计方案。

执行最新修补程序

微软内部有一组人力专门检查并修补安全漏洞，这些修补程序（补丁）有时会被收集成service

pack（服务包）发布。服务包通常有两种不同版本：一个任何人都可以使用的40位的版本，另一个是只能在美国和加拿大发行的128位版本。128位的版本使用128位的加密算法，比40位的版本要安全得多。

一个服务包有时得等上好几个月才发行一次，但要是有严重点的漏洞被发现，你当然希望立即进行修补，不想苦等姗姗来迟的服务包。好在你并不需要等待，微软会定期将重要的修补程序发布在它的FTP站上，这些最新修补程序都尚未收录到最新一版的服务包里，我建议你经常去看看最新修补程序，记住，修补程序一定要按时间顺序来使用，若使用错乱的话，可能导致一些文件的版本错误，也可能造成Windows当机。

颁布严格的安全政策

另一个提高安全性的方式就是制定一强有力的安全策略，确保每一个人都了解，并强制执行。若你使用Windows 2000

Server，你可以将部分权限授权给特定代理人，而无须将全部的网管权利交出。即使你核定代理人某些权限，你依然可县制其权限大小，例如无法开设新的使用者帐号，或改变权限等。

防火墙，检查，再检查

最后一个技巧是仔细检查防火墙的设置。防火墙是网络规划中很重要的一部份，因为它能使公司电脑不受外界恶意破坏。

首先，不要公布非必要的IP地址。你至少要有一个对外的IP地址，所有的网络通讯都必须经由此地址。如果你还有DNS注册的Web服务器或是电子邮件服务器，这些IP地址也要穿过防火墙对外公布。但是，工作站和其他服务器的IP地址则必须隐藏。

你还可以查看所有的通讯端口，确定不常用的已经全数关闭。例如，TCP/IP port 80是用于HTTP流量，因此不能堵掉这个端口，也许port

81应该永远都用不着吧，所以就应该关掉。你可以在网络上查到每个端口的详细用途。

服务器安全问题是个大议题，你总不希望重要数据遭病毒/黑客损毁，或被人偷走做为不利你的用途，本文介绍了7个重要的安全检查关卡，你不妨试试看。

1、防火墙

安装必要的防火墙，阻止各种扫描工具的试探和信息收集，甚至可以根据一些安全报告来阻止来自某些特定IP地址范围的机器连接，给服务器增加一个防护层，同时需要对防火墙内的网络环境进行调整，消除内部网络的安全隐患。

2、漏洞扫描

使用商用或免费的漏洞扫描和风险评估工具定期对服务器进行扫描，来发现潜在的安全问题，并确保由于升级或修改配置等正常的维护工作不会带来安全问题。

3、安全配置

关闭不必要的服务，最好是只提供所需服务，安装操作系统的最新补丁，将服务升级到最新版本并安装所有补丁，对根据服务提供者的安全建议进行配置等，这些措施将极大提供服务器本身的安全。

4、优化代码

优化网站代码，避免sql注入等攻击手段。检查网站漏洞，查找代码中可能出现的危险，经常对代码进行测试维护。

5、入侵检测系统

利用入侵检测系统的实时监控能力，发现正在进行的攻击行为及攻击前的试探行为，记录黑客的来源及攻击步骤和方法。

相关说明

网络安全性问题关系到未来网络应用的深入发展，它涉及安全策略、移动代码、指令保护、密码学、操作系统、软件工程和网络安全管理等内容。一般专用的内部网与公用的互联网的隔离主要使用“防火墙”技术。

与“防火墙”配合使用的安全技术还有数据加密技术。数据加密技术是为提高信息系统及数据的安全性和保密性，防止秘密数据被外部破坏所采用的主要技术手段之一。随着信息技术的发展，网络安全与信息保密日益引起人们的关注。

各国除了从法律上、管理上加强数据的安全保护外，从技术上分别在软件和硬件两方面采取措施，推动着数据加密技术和物理防范技术的不断发展。按作用不同，数据加密技术主要分为数据传输、数据存储、数据完整性的鉴别以及密钥管理技术4种。

-网络安全

通过下面各种手段进行保护：

服务器安全技巧一：从基本做起，及时安装系统补丁

不论是Windows还是Linux,任何操作系统都有漏洞，及时的打上补丁避免漏洞被蓄意攻击利用，是服务器安全最重要的保证之一。

服务器安全技巧二：安装和设置防火墙

现在有许多基于硬件或软件的防火墙，很多安全厂商也都推出了相关的产品。对服务器安全而言，安装防火墙非常必要。防火墙对于非法访问具有很好的预防作用，但是安装了防火墙并不等于服务器安全了。在安装防火墙之后，需要根据自身的网络环境，对防火墙进行适当的配置以达到最好的防护效果。

服务器安全技巧三：安装网络杀毒软件

现在网络上的病毒非常猖獗，这就需要在网络服务器上安装网络版的杀毒软件来控制病毒传播，同时，在网络杀毒软件的使用中，必须要定期或及时升级杀毒软件，并且每天自动更新病毒库。

服务器安全技巧四：关闭不需要的服务和端口

服务器操作系统在安装时，会启动一些不需要的服务，这样会占用系统的资源，而且也会增加系统的安全隐患。对于一段时间内完全不会用到的服务器，可以完全关闭;对于期间要使用的服务器，也应该关闭不需要的服务，如Telnet等。另外，还要关掉没有必要开的TCP端口。

服务器安全技巧五：定期对服务器进行备份

为防止不能预料的系统故障或用户不小心的非法操作，必须对系统进行安全备份。除了对全系统进行每月一次的备份外，还应对修改过的数据进行每周一次的备份。同时，应该将修改过的重要系统文件存放在不同服务器上，以便出现系统崩溃时(通常是硬盘出错)，可以及时地将系统恢复到正常状态。

服务器安全技巧六：账号和密码保护

账号和密码保护可以说是服务器系统的第一道防线，目前网上大部分对服务器系统的攻击都是从截获或猜测密码开始。一旦黑客进入了系统，那么前面的防卫措施几乎就失去了作用，所以对服务器系统管理员的账号和密码进行管理是保证系统安全非常重要的措施。

服务器安全技巧七：监测系统日志

通过运行系统日志程序，系统会记录下所有用户使用系统的情形，包括最近登录时间、使用的账号、进行的活动等。日志程序会定期生成报表，通过对报表进行分析，可以知道是否有异常现象。

安全的改变

随着云计算技术的普及，越来越多的企业将其系统向云端迁移，云计算便捷、可靠和廉价的特性被广大用户接受。

从另一方面来说，尽管距离商业化公有云业务的推出已经超过10年，根据CSA（CloudSecurityAlliance，云安全联盟）在今年年初发布的《CloudAdoption,PracticesandPrioritiesSurveyReport》调研报告，73%的受访对象表示安全仍旧是企业上云的首要顾虑。

对于很多企业用户来来说，由于云服务器替代传统服务器承载了与企业生存发展息息相关的互联网业务，使得用户对云安全的疑问很大程度上聚焦在云服务器的安全上。

云服务器安全吗？这个问题不仅仅限定在看不到摸不着的虚拟化层面，让用户感触更为深刻的是——突然发现，之前很多常见和常用的安全防护系统，特别是“硬件盒子”，都从采购名单上消失了。云计算环境对于安全防护的改变可见一斑。

这样一来，云服务器的安全该如何实现呢？

不变的安全

正像云计算对于互联网业务革命性的改变一样，对安全的改变也是彻底的，不仅体现在安全防护理念上，还对安全交付方式的改变。

不过，安全的本质并没有因为云计算技术的引入发生改变。事实上，部署在传统环境下的服务器和云环境下的服务器，从安全风险角度上讲没有太多不同。

从上图可见，云服务器的安全风险主要包括：

（1）自身存在的脆弱性，例如漏洞（包括虚拟化层面）、错误的配置、不该开放的端口等；

（2）外部威胁，例如后门、木马、暴力破解攻击等。

不管是部署在传统数据中心还是云数据中心中，服务器安全都要面对和解决上述两个方面的风险。

对于云服务器来说，首先需要解决的是自身脆弱性的问题，特别是漏洞。存在漏洞的系统就像一间打开窗户的房间，不管安装了多么先进的门禁系统，也无法阻挡小偷的光临。此外，对服务器关键配置和端口的检查和监控，一方面可以减少攻击面，另一个方面可以随时掌握系统安全状态。从外部威胁角度上讲，暴力破解仍旧是云服务器最大的网络威胁。暴力破解防护需要覆盖系统、应用和数据库三个层面，任何一个层面的缺失都会增大系统遭受入侵的概率。最后，能否快速发现和清除云服务器上的病毒、木马和后门是对防护能力的重大考验。

双重挑战

然而，现实是骨感的。云服务器安全面临来自内部和外部的双重挑战。

首先，云服务器的脆弱性突出体现在未被修复的漏洞上。根据国外某安全机构的统计，在金融行业，漏洞平均修复时间长达176天。采用云计算后这个数字稍微有所改善，然而，云服务器漏洞的平均修复时间仍旧是50天。无论是176天还是50天，对于进攻一方来说，足够遍历整个服务器。

其次，根据国外某安全公司的测试，“黑客”成功入侵AWS服务器只需要4个小时。表面看是系统脆弱性导致，背后实际上是黑客的暴力破解行为。在云计算环境中，大部分云服务提供商并不提供暴力破解防护服务，而是建议用户在服务器上安装三方防护软件。事实上，市面流行的云服务器安全软件一般只提供操作系统层面的暴力破解防护，并没有覆盖到应用和数据库层面。应用和数据库层面的缺失无疑是在云服务器防护上玩起了“锯箭”法——操作系统我管，上面的找别人。

第三，绝大多数云服务器安全系统／方案体现为单点防护。单点防护具有两个特点：横向上针对服务器个体的防护以及纵向上在服务器一个层面进行防护。横向上的单点防护体现为每个云服务器都是彼此孤立的个体。在木马、后门变异样本层出不穷的今天，如果恶意样本采集不是实时的，分析和策略分享、下发不能快速完成，将无异于将主动权拱手让给入侵者。纵向上的单点体现在，同时也是常见云服务器安全软件的“通病”，无论是网络、系统、应用和数据防护都依靠安装在云服务器上的软件来完成。先不说防护效果，启用防护功能需要调用大量的系统资源，等同于发起一场自残式的拒绝服务攻击。

最后，安全攻防的背后是人的技能、智慧以及经验的对抗。在特定情况下，要求人员介入，快速完成样本收集、取证、分析和攻击阻断。然而，对于大多数企业来说，建立一支具有专业技能的安全攻防团队是不现实的。

因此，云服务器的安全防护是对平台化、体系化以及包括快速响应、技术经验在内运营能力的全面挑战，而不是简简单单安装一个主机防护软件就可以实现的。

云服务器防护应该是什么样子？

一个完整和全面的云服务器防护方案应该包含对内部脆弱性（漏洞、配置、端口等）的快速定位、修复以及对外部威胁的迅速发现和阻断。

对于内部脆弱性，特别是严重威胁云服务器安全的漏洞，不仅要求精准定位，对于绝大部分漏洞来说，自动化的漏洞修复将有效提升安全防护的效率和效果。对于关键服务器或有严格合规／业务规定的服务器，云服务商应该提供漏洞修复的风险提示，这个工作不应该交给用户。云盾安骑士软件提供自动化漏洞修复功能，以及针对补丁的风险评估及修复建议。

其次，对于云服务器首要的外部威胁——暴力破解，防护系统必须涵盖系统、应用和数据库。云盾安骑士软件支持WINDOWS系统和LINUX系统两大平台，同时针对SSH，RDP，Telnet，Ftp，MySql，SqlServer等等常见应用和数据库提供安全监控，随时发现黑客的暴力破解行为。