阿里雲CentOS服務器安全設置

時間 2019-11-10

標籤阿里 centos 服務器安全設置欄目阿里巴巴简体版

原文原文鏈接

阿里雲CentOS服務器安全設置

centos 系統安全防護 2015年7月13日html

463 0 0linux

一、開啓雲盾全部服務web

二、經過防火牆策略限制對外掃描行爲ubuntu

請您根據您的服務器操做系統，下載對應的腳本運行，運行後您的防火牆策略會封禁對外發包的行爲，確保您的主機不會再出現惡意發包的狀況，爲您進行後續數據備份操做提供足夠的時間。windows

Window2003的批處理文件下載地址：http://oss.aliyuncs.com/aliyunecs/windows2003_drop_port.batcentos

Window2008的批處理文件下載地址：http://oss.aliyuncs.com/aliyunecs/windows2008_drop_port.bat安全

Linux系統腳本：http://oss.aliyuncs.com/aliyunecs/linux_drop_port.shbash

上述文件下載到機器內部直接執行便可。服務器

文件內容以下：網絡

#!/bin/bash
#########################################
#Function: linux drop port
#Usage: bash linux_drop_port.sh
#Author: Customer Service Department
#Company: Alibaba Cloud Computing
#Version: 2.0
#########################################
check_os_release()
{
while true
do
os_release=$(grep "Red Hat Enterprise Linux Server release"/etc/issue 2>/dev/null)
os_release_2=$(grep "Red Hat Enterprise Linux Server release"/etc/redhat-release 2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "release 5" >/dev/null2>&1
then
os_release=redhat5
echo "$os_release"
elif echo "$os_release"|grep "release 6">/dev/null 2>&1
then
os_release=redhat6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep "Aliyun Linux release" /etc/issue2>/dev/null)
os_release_2=$(grep "Aliyun Linux release" /etc/aliyun-release2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "release 5" >/dev/null2>&1
then
os_release=aliyun5
echo "$os_release"
elif echo "$os_release"|grep "release 6">/dev/null 2>&1
then
os_release=aliyun6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep "CentOS release" /etc/issue 2>/dev/null)
os_release_2=$(grep "CentOS release" /etc/*release2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "release 5" >/dev/null2>&1
then
os_release=centos5
echo "$os_release"
elif echo "$os_release"|grep "release 6">/dev/null 2>&1
then
os_release=centos6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep -i "ubuntu" /etc/issue 2>/dev/null)
os_release_2=$(grep -i "ubuntu" /etc/lsb-release2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "Ubuntu 10" >/dev/null2>&1
then
os_release=ubuntu10
echo "$os_release"
elif echo "$os_release"|grep "Ubuntu 12.04">/dev/null 2>&1
then
os_release=ubuntu1204
echo "$os_release"
elif echo "$os_release"|grep "Ubuntu 12.10">/dev/null 2>&1
then
os_release=ubuntu1210
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep -i "debian" /etc/issue 2>/dev/null)
os_release_2=$(grep -i "debian" /proc/version 2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep "Linux 6" >/dev/null2>&1
then
os_release=debian6
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
os_release=$(grep "openSUSE" /etc/issue 2>/dev/null)
os_release_2=$(grep "openSUSE" /etc/*release 2>/dev/null)
if [ "$os_release" ] && [ "$os_release_2" ]
then
if echo "$os_release"|grep"13.1" >/dev/null 2>&1
then
os_release=opensuse131
echo "$os_release"
else
os_release=""
echo "$os_release"
fi
break
fi
break
done
}
exit_script()
{
echo -e "\033[1;40;31mInstall $1 error,will exit.\n\033[0m"
rm-f $LOCKfile
exit 1
}
config_iptables()
{
iptables -I OUTPUT 1 -p tcp -m multiport --dport21,22,23,25,53,80,135,139,443,445 -j DROP
iptables -I OUTPUT 2 -p tcp -m multiport --dport 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186-j DROP
iptables -I OUTPUT 3 -p udp -j DROP
iptables -nvL
}
ubuntu_config_ufw()
{
ufwdeny out proto tcp to any port 21,22,23,25,53,80,135,139,443,445
ufwdeny out proto tcp to any port 1433,1314,1521,2222,3306,3433,3389,4899,8080,18186
ufwdeny out proto udp to any
ufwstatus
}
####################Start###################
#check lock file ,one time only let thescript run one time
LOCKfile=/tmp/.$(basename $0)
if [ -f "$LOCKfile" ]
then
echo -e "\033[1;40;31mThe script is already exist,please next timeto run this script.\n\033[0m"
exit
else
echo -e "\033[40;32mStep 1.No lock file,begin to create lock fileand continue.\n\033[40;37m"
touch $LOCKfile
fi
#check user
if [ $(id -u) != "0" ]
then
echo -e "\033[1;40;31mError: You must be root to run this script,please use root to execute this script.\n\033[0m"
rm-f $LOCKfile
exit 1
fi
echo -e "\033[40;32mStep 2.Begen tocheck the OS issue.\n\033[40;37m"
os_release=$(check_os_release)
if [ "X$os_release" =="X" ]
then
echo -e "\033[1;40;31mThe OS does not identify,So this script isnot executede.\n\033[0m"
rm-f $LOCKfile
exit 0
else
echo -e "\033[40;32mThis OS is $os_release.\n\033[40;37m"
fi
echo -e "\033[40;32mStep 3.Begen toconfig firewall.\n\033[40;37m"
case "$os_release" in
redhat5|centos5|redhat6|centos6|aliyun5|aliyun6)
service iptables start
config_iptables
;;
debian6)
config_iptables
;;
ubuntu10|ubuntu1204|ubuntu1210)
ufwenable <<EOF
y
EOF
ubuntu_config_ufw
;;
opensuse131)
config_iptables
;;
esac
echo -e "\033[40;32mConfig firewallsuccess,this script now exit!\n\033[40;37m"
rm -f $LOCKfile

三、設置iptables，限制訪問

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -Z
/sbin/iptables -A INPUT -i lo -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 8080 -j ACCEPT
/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
/sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
/sbin/iptables -P INPUT DROP
service iptables save

以上腳本，在每次重裝完系統後執行一次便可，其配置會保存至/etc/sysconfig/iptables

此步驟參考http://www.netingcn.com/aliyun-iptables.html

因爲做爲web服務器來使用，因此對外要開放 80 端口，另外確定要經過ssh進行服務器管理，22 端口也要對外開放，固然最好是把ssh服務的默認端口改掉，在公網上會有不少人試圖破解密碼的，若是修改端口，記得要把該端口對外開發，不然連不上就悲劇了。下面提供配置規則的詳細說明：

第一步：清空全部規則

當Chain INPUT (policy DROP)時執行/sbin/iptables -F後，你將和服務器斷開鏈接
全部在清空全部規則前把policy DROP該爲INPUT，防止悲劇發生，當心當心再當心
/sbin/iptables -P INPUT ACCEPT
清空全部規則
/sbin/iptables -F
/sbin/iptables -X
計數器置0
/sbin/iptables -Z

第二步：設置規則

容許來自於lo接口的數據包，若是沒有此規則，你將不能經過127.0.0.1訪問本地服務，例如ping 127.0.0.1
/sbin/iptables -A INPUT -i lo -j ACCEPT 

開放TCP協議22端口，以便能ssh，若是你是在有固定ip的場所，可使用 -s 來限定客戶端的ip
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT

開放TCP協議80端口供web服務
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT

10.241.121.15是另一臺服務器的內網ip，因爲之間有通訊，接受全部來自10.241.121.15的TCP請求
/sbin/iptables -A INPUT -p tcp -s 10.241.121.15 -j ACCEPT

接受ping
/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT

這條規則參看：http://www.netingcn.com/iptables-localhost-not-access-internet.html
/sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT

屏蔽上述規則覺得的全部請求，不可缺乏，不然防火牆沒有任何過濾的功能
/sbin/iptables -P INPUT DROP

可使用 iptables -L -n 查看規則是否生效

至此防火牆就算配置好，可是這是臨時的，當重啓iptables或重啓機器，上述配置就會被清空，要想永久生效，還須要以下操做：

/etc/init.d/iptables save   
或
service iptables save

執行上述命令能夠在文件 /etc/sysconfig/iptables 中看到配置

如下提供一個乾淨的配置腳本：

/sbin/iptables -P INPUT ACCEPT
/sbin/iptables -F
/sbin/iptables -X
/sbin/iptables -Z

/sbin/iptables -A INPUT -i lo -j ACCEPT 
/sbin/iptables -A INPUT -p tcp --dport 22 -j ACCEPT
/sbin/iptables -A INPUT -p tcp --dport 80 -j ACCEPT
/sbin/iptables -A INPUT -p tcp -s 10.241.121.15 -j ACCEPT
/sbin/iptables -A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
/sbin/iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT
/sbin/iptables -P INPUT DROP

最後執行，先確保ssh鏈接沒有問題，防止規則錯誤，致使沒法連上服務器，由於沒有save，重啓服務器規則都失效，不然就只有去機房才能修改規則了。也能夠參考：ubuntu iptables 配置腳原本寫一個腳本。

四、經常使用網絡監控命令

（1） netstat -tunl：查看全部正在監聽的端口

[root@AY1407041017110375bbZ ~]# netstat -tunl
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN
udp 0 0 ip:123 0.0.0.0:*
udp 0 0 ip:123 0.0.0.0:*
udp 0 0 127.0.0.1:123 0.0.0.0:*
udp 0 0 0.0.0.0:123 0.0.0.0:*

其中123端口用於NTP服務。

（2）netstat -tunp：查看全部已鏈接的網絡鏈接狀態，並顯示其PID及程序名稱。

[root@AY1407041017110375bbZ ~]# netstat -tunp
Active Internet connections (w/o servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 96 ip:22 221.176.33.126:52699 ESTABLISHED 926/sshd
tcp 0 0 ip:34385 42.156.166.25:80 ESTABLISHED 1003/aegis_cli

根據上述結果，能夠根據須要kill掉相應進程。

如:

kill -9 1003

（3）netstat -tunlp

（4）netstat經常使用選項說明：

-t: tcp

-u : udp

-l, --listening

Show only listening sockets. (These are omitted by default.)

-p, --program

Show the PID and name of the program to which each socket belongs.

--numeric , -n

Show numerical addresses instead of trying to determine symbolic host, port or user names.

五、修改ssh的監聽端口

（1）修改 /etc/ssh/sshd_config

原有的port 22

改成port 44

（2）重啓服務

/etc/init.d/sshd restart

（3）查看狀況