怎么才能使linux服务器安全？

Question

如题所述

Answer 1

一、系统安全记录文件

操作系统内部的记录文件是检测是否有网络入侵的重要线索。如果您的系统是直接连到Internet，您发现有很多人对您的系统做Telnet/FTP登录尝试，可以运行“#more /var/log/secure grep refused”来检查系统所受到的攻击，以便采取相应的对策，如使用SSH来替换Telnet/rlogin等。

二、启动和登录安全性

1．BIOS安全IXPUB

设置BIOS密码且修改引导次序禁止从软盘启动系统。

2．用户口令

用户口令是Linux安全的一个基本起点，很多人使用的用户口令过于简单，这等于给侵入者敞开了大门，虽然从理论上说，只要有足够的时间和资源可以利用，就没有不能破解的用户口令，但选取得当的口令是难于破解的。较好的用户口令是那些只有他自己容易记得并理解的一串字符，并且绝对不要在任何地方写出来。

3．默认账号

应该禁止所有默认的被操作系统本身启动的并且不必要的账号，当您第一次安装系统时就应该这么做，Linux提供了很多默认账号，而账号越多，系统就越容易受到攻击。

可以用下面的命令删除账号。

〔root@server /〕# userdel 用户名

或者用以下的命令删除组用户账号。

〔root@server /〕# groupdel username

4．口令文件

chattr命令给下面的文件加上不可更改属性，从而防止非授权用户获得权限。

〔root@server /〕# chattr +i /etc/passwd

〔root@server /〕# chattr +i /etc/shadow

〔root@server /〕# chattr +i /etc/group

〔root@server /〕# chattr +i /etc/gshadow

5．禁止Ctrl+Alt+Delete重新启动机器命令

6．限制su命令

如果您不想任何人能够su作为root，可以编辑/etc/pam.d/su文件，增加如下两行：

auth sufficient /lib/security/pam_rootok.so debug

auth required /lib/security/pam_wheel.so group=isd

这时，仅isd组的用户可以su作为root。此后，如果您希望用户admin能够su作为root，可以运行如下命令：

〔root@server /〕# usermod -G10 admin

7．删减登录信息

默认情况下，登录提示信息包括Linux发行版、内核版本名和服务器主机名等。对于一台安全性要求较高的机器来说这样泄漏了过多的信息。可以编辑/etc/rc.d/rc.local将输出系统信息的如下行注释掉。
三、限制网络访问

1．NFS访问如果您使用NFS网络文件系统服务，应该确保您的/etc/exports具有最严格的访问权限设置，也就是意味着不要使用任何通配符、不允许root写权限并且只能安装为只读文件系统。
2．Inetd设置

首先要确认/etc/inetd.conf的所有者是root，且文件权限设置为600。设置完成后，可以使用“stat”命令进行检查。

3．登录终端设置

4．避免显示系统和版本信息。

5.不允许root用户登录服务器

四、防止攻击

1．阻止ping 如果没人能ping通您的系统，安全性自然增加了。

2．防止IP欺骗

3．防止DoS攻击

上面的命令禁止调试文件，限制进程数为50并且限制内存使用为5MB。

参考资料：上海快网

Answer 2

1、更新软件包
保持服务器软件包的最新版本是确保安全性的关键步骤之一。通过运行以下命令，我们可以更新服务器上的软件包：
sudo apt update
sudo apte upgrade
第一条命令用于更新软件包的列表，第二条命令则将包含在列表中的软件包升级到最新版本。请注意，有时候升级过程可能需要一些时间。
2、配置防火墙
防火墙是保护服务器免受恶意网络活动的重要工具。在配置防火墙之前，我们需要安装一个叫做ufw的工具。
sudo apt install ufw
安装完成后，我们可以使用以下命令启用防火墙并配置规则：
sudo ufw enable
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https
第一条命令启用防火墙，第二至四条命令允许SSH、HTTP和HTTPS流量通过防火墙。你也可以根据需要配置额外的规则。
3、禁用不必要的服务
服务器上运行的每个服务都可能成为潜在的攻击目标。因此，我们应该仅仅启用必要的服务，并禁用不必要的服务。以下是禁用一个服务的命令示例：
sudo systemctl disable
4、使用强密码和密钥
为了防止恶意用户猜测密码和避免密码被暴力破解，我们应该设置一个强密码策略。以下是设置密码策略和使用密钥的命令示例：
sudo nano /ect/ssh/sshd_config
在打开的文件中找到以下行并进行适当的修改：
# PasswordAuthentication yes
# PubkeyAuthentication yes
将PasswordAuthentication的值改为no，将PubkeyAuthentication的值改为yes。保存文件并退出。接下来，重新启动SSH服务：
sudo service ssh restart
5、设置登录限制
为了限制登录服务器的尝试次数，我们可以配置登录限制。以下是设置登录限制的命令示例：
sudo nano /etc/ssh/sshd_config
在打开的文件中找到以下行并进行适当的修改：
# MaxAuthTries 6
# MaxSessions 10
将MaxAuthTries的值改为3，将MaxSessions的值改为5。保存文件并退出。接下来，重新启动SSH服务：
sudo service ssh restart
6、监控日志文件
监控服务器的日志文件可以帮助我们及时发现和应对潜在的安全威胁。以下是监控日志文件的命令示例：
sudo tail -f /var/log/auth.log
这个命令将实时显示/var/log/auth.log文件的内容，其中包含了与用户认证相关的日志信息。

Answer 3

有很多方面 可以简单说成 及时升级 控制端口 经常扫描
鸟哥的linux私房菜 服务器架设篇 里面有详细的介绍

Answer 4

最小安装，最小服务。