<返回更多

Linux 系统安装完后就可以用了吗?其实还有一些后续工作需要做

2023-03-08  微信公众号   TIAP
加入收藏

云计算极大地改变了服务器应用场景,许多平台都提供免费的 linux 云服务器,你可以在几分钟内通过这些平台部署一台 Linux 服务器。

不过,作为云服务器,也有弊端。因为它是在互联网上可见的,所以一旦你启动了一台新服务器,黑客便会通过脚本自动扫描错误的配置或者漏洞。

所以,在安装完 Linux 系统后,还需要做一些安全相关的配置,以提升系统的安全性。

下面是一张使用 Fail2ban 工具查看系统信息的截图:

图片

如上图所示,有 212 次失败的登录尝试和 6 个被阻止的 IP 地址,这些都是未经授权的人或脚本对系统进行的入侵。

所以,对系统做一些安全的配置是十分有必要的。如下我们总结了一些在安装 Linux 系统后建议采取的措施。

1,确保设置了非 root 用户

root 用户具有最高权限,但是我们并不是所有工作都需要使用 root 用户。

同时,几乎所有 Linux 系统中都有 root 用户,所以攻击者通常会使用 root 用户名来尝试登录系统。

所以,在平时工作中最好以非 root 用户登录,且 ssh 禁用远程访问的 root 登录。

那么怎么添加用户呢?我们在先前的文章中介绍过添加用户的方法,大家可以参考:​​使用 useradd 命令在 Linux 中添加新用户​​

添加用户可使用 root 用户登录系统,然后使用 useradd 命令添加新用户,如下所示:

useradd <username>

使用 passwd 命令为新添加的用户设置密码:

passwd <username>

2,确保非 root 用户具有 sudo 权限

如果需要使用 ssh 远程登录系统,且需要执行 root 权限的活动,那么所使用的登录账户需要具有 sudo 权限。

在 Ubuntu 和 centos 中创建 sudo 用户的过程是相似的,但是 sudo 用户组是不同的。

首先以 root 身份登录系统。

在 CentOS 和 Red  Hat 上,wheel 组是具有 sudo 权限的用户组,可以使用 usermod 命令将用户添加到该用户组中。

usermod -aG wheel <username>

Ubuntu 使用 sudo 用户组来管理 sudo 用户:

usermod -aG sudo <username>

3,启用基于密钥的 ssh 身份验证

为 ssh 启用基于密钥的身份验证非常重要,这样当我们禁用基于密码的身份验证时,它就可以正常工作。

暴力破解或者盗取密码是入侵者获取系统访问权限的常用方式,如果我们禁用基于密码的 ssh 登录,采用基于密钥的 ssh 连接,那么攻击者就无法根据用户名和密码访问服务器了。

启用 ssh 后,需要做的就是在个人计算机上生成 ssh 密钥,有了 ssh 密钥,就需要为非 root 用户将公钥添加到服务器的 authorized_keys 中。

4,确保允许 ssh 通过 ufw 防火墙

在系统启用防火墙之前,应确保让其允许 ssh,要不然就无法通过 ssh 访问系统。

关于防火墙,Ubuntu 使用 ufw(Uncomplicated Firewall),CentOS 和 Red Hat 使用 firewalld。

在 CentOS 和 Red Hat 中,使用 firewall-cmd 命令:

sudo firewall-cmd --znotallow=public --add-service=ssh --permanent

在 Ubuntu 中,使用 uwf 命令:

sudo ufw allow ssh

5,启用防火墙(在允许 ssh 之后)

迄今为止,防火墙仍是系统安全的一道屏障,在 CentOS 和 Red Hat 中,启用  firewalld systemd 服务:​

sudo systemctl start firewalld
sudo systemctl enable firewalld

在 Ubuntu 中,使用如下命令:

sudo ufw enable

6,设置 ssh 不显示 banner 信息

攻击者可以通过运行服务的软件中的漏洞来危害服务器。banner 会显示正在运行的 OpenSSH 或操作系统版本的信息。所以我们需要设置 ssh 不显示 banner。

在 CentOS 和 Red Hat 中默认就是不显示 banner,所以关于这点不需要做额外的工作。但是在 Ubuntu 中,需要使用如下命令来禁用 banner:

sudo echo "DebianBanner no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

7,禁用所有 ssh 转发

经常会有系统管理员通过 ssh 转发来加密可能传递的明文信息,如果你不用的话,应该将其关闭。攻击者可能会使用转发来加密信息,所以你很难查看,或者使用授权的端口和服务获取可能被阻止传递的信息。

在 CentOS 或 Red Hat 中,将如下内容添加到 /etc/ssh/sshd_config 中:

DisableForwarding yes

在 Ubuntu 中,添加 DisableForwarding yes 到 10-my-sshd-settings.conf 文件中,如下:

sudo echo "DisableForwarding yes" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

8,禁止 root 用户登录 ssh

几乎每个 Linux 系统中都有 root 用户,允许其登录 ssh 是比较危险的。

在 CentOS 或 Red Hat 中,在文件 /etc/ssh/sshd_config 中找到 PermitRootLogin yes,将其改为:

PermitRootLogin no

Ubuntu 中,在10-my-sshd-settings.conf 文件中添加 PermitRootLogin no:

sudo echo "PermitRootLogin no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

9,禁用基于密码的 ssh 身份验证

在禁用 ssh 密码验证之前,首先需要按照第 3 点中所属配置和测试了基于密钥的身份验证。

我们在先前的文章中介绍过如何禁用基于密码的 ssh 身份验证,可参考:​​如何禁止使用密码通过 ssh 连接远程服务器​​

CentOS 或 Red Hat 中,在文件 /etc/ssh/sshd_config 中找到 PasswordAuthentication yes,将其改为:

PasswordAuthentication no

在 Ubuntu 中,在文件 10-my-sshd-settings.conf 中添加内容 PasswordAuthentication no:

sudo echo "PasswordAuthentication no" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

10,忽略 rhosts

rhosts 与 rsh 相关联,rsh 是一种被 secure shell 取代的遗留协议。如果用户试图创建恶意 rhosts 文件,此设置将忽略它。

CentOS 或 Red Hat 系统中,在文件 /etc/ssh/sshd_config 中找到 #IgnoreRhosts yes 将前面的#删掉(即注释打开):

IgnoreRhosts yes

Ubuntu 中,在文件 10-my-sshd-settings.conf 中添加 IgnoreRhosts yes:

sudo echo "IgnoreRhosts yes" >> /etc/ssh/sshd_config.d/10-my-sshd-settings.conf

11,安装配置 fail2ban 来加强 ssh 安全性

Fail2ban会监视已配置服务(如SSH)的日志文件,并阻止恶意用户的IP地址在设定的时间内多次尝试后连接到您的服务器。

例如,如果攻击者在三小时内进行了5次以上的失败尝试,他的IP地址将被封锁12小时。

Fail2ban 也可以配置为保护其他服务,例如由 Nginx web 服务器或 Apache web 服务器支持的网站

12,配置自动安全更新(适用于Red Hat和CentOS)

如前所述,如果漏洞比较多,带有漏洞的过时服务可能会让攻击者进入你的服务器,甚至无需登录!快速应用安全更新以降低此风险至关重要。

Ubuntu 会默认启用自动安全更新,所以无需执行更新操作。

要在 CentOS 和 Red Hat 上配置自动更新,需要安装一个名为 dnf-automatic  的应用程序,并使用以下命令为其启用计时器:​

sudo dnf upgrade
sudo dnf install dnf-automatic -y
sudo systemctl enable --now dnf-automatic.timer

然后通过如下命令来检查一下:

sudo systemctl status dnf-automatic.timer
声明:本站部分内容来自互联网,如有版权侵犯或其他问题请与我们联系,我们将立即删除或处理。
▍相关推荐
更多资讯 >>>