主页 / server / 问题 / 60798
In Process
user18939
Asked: 2009-09-01 07:05:56 +0800 CST

漫游笔记本电脑访问 CentOS LAMP Box - 安全问题！

  • 772

让我用一些信息作为这个问题的序言——我是一名为一家小型初创公司工作的开发人员。公司目前无法聘请合适的 *nix 系统管理员；随后，我的任务是设置一个运行 CentOS 的 LAMP 服务器，该服务器将由我们的首席开发人员远程管理。所述开发人员每周都在不同的时区。安全性在我的议程上非常重要。

该服务器将用于测试我们旗舰产品的新版本。Beta 测试人员（消费者，而非 QA 人员）将通过标准端口 80 http 和 SSL 访问服务器。我们的开发人员将通过 SSH 访问它 - 以及对 Subversion 的 ssl 访问以进行源代码控制和端口 21 用于 FTP。

这是我迄今为止实施的...

旅行笔记本电脑：

  1. “Keepass”密码管理应用的数据库文件被远程备份到mozy。主密码为 198 位密钥。数据库文件位于“IronKey”硬件加密加密狗上。
  2. Windows 登录是 132 位密钥。空闲 5 分钟后工作站锁定。
  3. 所有代码、文档和应用程序设置都存储在硬件加密的驱动器上。

CentOS LAMP 服务器：

  1. 通过 SSH 的根访问被禁用。SU - 代表根。
  2. 按照本教程 (cyberciti.biz/tips/linux-unix-bsd-openssh-server-best-practices.html) 锁定 OpenSSH。
  3. 以下是开放端口的 nmap 扫描报告：

在 2009-08-31 10:56 EDT启动 Nmap 4.11 ( http://www.insecure.org/nmap/
) localhost.localdomain (127.0.0.1) 上的有趣端口：
未显示：1668 个关闭端口
PORT STATE SERVICE
21/ tcp 打开 ftp
22/tcp 打开 ssh
25/tcp 打开 smtp
80/tcp 打开 http
110/tcp 打开 pop3
143/tcp 打开 imap
225/tcp 打开未知
443/tcp 打开 https
631/tcp 打开 ipp
993/tcp 打开 imaps
995/ tcp 打开 pop3s
3306/tcp 打开 mysql

所以你有它 - 我知道这在当前状态下不是很安全。我已经研究了好几天了，在我用这个配置实施或改变任何其他东西之前，我想从专业人士那里得到一些反馈。希望我们的经济能够反弹，这项压力很大的安全工作将由比低级 c# 开发人员更有资格的人来处理。

提前致谢！

apache-2.2 security ssh laptop

3 个回答

  1. 我有几点建议：

    • 我将首先禁用所有未使用的服务（例如 pop3 和 imap）。这将大大减少您的攻击面。如果您必须保留某些服务，请通过防火墙阻止任何外部来源。
    • 此外，预先填充 SSH 服务器密钥指纹或以某种方式将其提供给领导。确保他/她不会连接到机器，除非指纹实际匹配，否则可能会发生中间人攻击。
    • 考虑使用 sudo 而不是普通的旧 su 并限制开发负责人可以做什么。只有在有正当理由的情况下才放宽安全策略。

    在所有情况下避免使用FTP。SSH 内置了对文件传输的支持，所以根本不要使用 FTP。它以明文形式发送凭据（用户名/密码）和文件，因此同一网络上的任何人都可以拦截所有数据。

    考虑这是您有趣旅程的起点:)。

    • 2

  2. 还要考虑由国家安全局提供的指南，这些人负责诸如 Security Enhanced Linux 之类的事情。它们涵盖 RedHat（和 CentOS）5.3、Mac、Windows、Solaris。使用该指南：http ://www.nsa.gov/ia/_files/ 。（偏执：在浏览器中输入网址，而不是点击链接。）

    本指南未涵盖的内容是访问控制列表的使用。在 . Google "red hat acl。这从根本上改进了基于 *nix 的访问控制，让您在允许或禁止访问方面更加灵活。这需要一些时间来适应，但非常值得。

    “未使用的端口” 您的帖子没有说明您是否需要这些应用程序。但是，除非绝对需要（例如，没有其他方法可以做到），否则我会禁用对所有内容的访问。听起来您需要 http 和 ssh，但如果您确实需要，其他一切都应该有解决方法。（即 mysql 可以在 ssh 进入机器后通过命令行访问。如果您需要更多内容，可以使用 SSH 端口转发等。）

    其他注意事项：

    • 我不知道颠覆，但 GIT（分布式源代码控制）使用 SSH。
    • 与 ftp 相比，有许多方法可以使用更安全的文件传输。
    • 根据研究，几乎可以保证 Windows 机器受到攻击，因此永远不要完全信任机器或用户。
    • 如果您有硬件资源（例如足够的 CPU 和 RAM，请使用虚拟机进一步分区服务（然后在这些主机上运行 SELinux）。
    • NSA 指南建议对防火墙进行修改以锁定端口。其他选项是您自己的角色（即基于 Linux 文档项目中的伪装指南）。

    如果系统或驱动器的物理安全存在任何问题，请考虑在安装过程中使用易于使用的 LUKS 加密选项。然后是备份安全性。旅行愉快。

    埃里克·乔万斯基

    • 2

  3. 考虑使用诸如Bastille之类的硬化工具。CentOS 本质上是一个重新命名的 RedHat，因此二进制兼容，所以在大多数情况下，相同版本号的 RHEL 的任何指令都应该适用于 CentOS。

    另一个很好的 CentOS 特定资源是OS Protection wiki 页面。

    最深入的分析将遵循CIS 基准。

    • 0

相关问题