先抛个砖。我一般做如下几件事：
- iptables 防火墙
- sshd 禁止通过密码登录
- 给 command history 加上 timestamp
- iptables 防火墙
- sshd 禁止通过密码登录
- 给 command history 加上 timestamp
This topic created in 3713 days ago, the information mentioned may be changed or developed.
 |
1
楼主我是小白可否说的具体点，谢谢
|
1 |
2
|
 |
shijiSep 16, 2016 via Android
3
我一般会给 iptables 做一些猥琐的配置
|
 |
lianxiaoyiSep 16, 2016 via Android
4
一般改个端口就完事了！密码设置复杂些！
|
 |
5
@shiji 怎么个猥琐法。来 show show 撒
|
 |
jeffwSep 16, 2016 via iPhone
6
不做，没怎么被黑过
|
 |
jimzhongSep 16, 2016
7
猥琐配置之一：用 iptables 限制同一个 ip 在一分钟内 ssh 尝试连接的次数。
|
 |
initialdpSep 16, 2016
8
（ 1 ） 改端口
（ 2 ） fail2ban （ 3 ） 禁止 root 远程登陆 |
 |
googlebotSep 16, 2016 via Android
9
只改端口，密钥登录
|
 |
ericlsSep 16, 2016
10
一般先断网 只能从同一个局域网的另外一个机器访问
|
 |
qyz0123321Sep 16, 2016
13
开启 selinux
|
 |
40huoSep 16, 2016
14
我一般就做一个禁止密码登录。
|
 |
xuboyingSep 16, 2016 via iPhone
16
二次验证大家是否考虑？
|
 |
shshilmhSep 16, 2016 via Android
17
端口敲门
|
 |
kn007Sep 16, 2016
18
更改默认端口， iptables 规则， fail2ban 。
伪造 22 端口等等。 |
 |
qile1Sep 16, 2016 via Android
19
win 服务器该怎么办，经常被攻陷
|
 |
caoyujia2000Sep 16, 2016
20
@qile1 放在各种云服务器上 借助云上的防护服务 win 服务安全性比 linux 服务器还是差蛮多的 个人感觉
|
 |
VmuTarghSep 16, 2016
21
Grsecurity Grsecurity Grsecurity
重要的事情说三遍 |
 |
22
给服务器安装 360 安全卫士、 360 杀毒软件、金山卫士、金山毒霸、瑞星、百度卫士、百度杀毒卫士。
|
 |
pekingzccSep 16, 2016
23
|
|
24
OS Hardening To Better Secure Linux Server
http://www.dennyzhang.com/linux_security/ Note: 楼主自己整理和总结的一篇分享。 |
|
25
@qyz0123321 我一般是关 selinux 。求教：在你们使用过程中， selinux 在哪些地方真实帮到你们了？
|
|
26
@VmuTargh 赞，久闻 Grsecurity 大名。期待它早日入 mainstream.
|
|
27
@jimzhong 赞。果然很贱
|
 |
lslqtzSep 16, 2016
31
不做任何优化， 给程序打打补丁。
|
|
32
@dennyzhang 最近 kernel 那边打鸡血一样， Linux-next 像 duang 一样多了好多安全特性……没办法，全都是被倒逼的……
另外 SELinux 可以用用但是不要迷信，毕竟 userspace 加固这玩意又不如 openbsd （逃 |
 |
raysonxSep 16, 2016 via Android
33
第一件事是禁止 root 用户使用密码远程登录
|
 |
ouqihangSep 16, 2016
34
默认 22 端口真的不能用，睡一觉几百个 login fail ，改端口就好了
|
|
qyz0123321Sep 16, 2016
35
@dennyzhang 有用。。
|
 |
prondtooSep 16, 2016 via Android
36
装好系统后跟着网上教程的，关掉 iptables ，关掉 selinux
|
 |
DesignerSkylineSep 16, 2016 via iPad
37
@shshilmh port knocking 很实用，比单纯 IP 白名单更加适合于多种复杂环境。
|
 |
zpvipSep 16, 2016
38
@jimzhong
是这样吗? 一分钟尝试两次： ``` iptables -A INPUT -p tcp --dport 22 -m recent --name SSH_Brute --rcheck --seconds 60 --hitcount 2 -j DROP iptables -A INPUT -p tcp --dport 22 -m recent --name SSH_Brute --set -j ACCEPT ``` 好像不如这样写好，三次错误禁一小时： ``` iptables -A INPUT -p tcp --dport 22 -m recent --name SSH_Brute --update --seconds 3600 --hitcount 3 -j DROP iptables -A INPUT -p tcp --dport 22 -m recent --name SSH_Brute --set -j ACCPET ``` |
 |
dreamtrailSep 16, 2016
40
@zpvip
端口被攻击的时候自己会不会也登不上？ |
 |
chourySep 16, 2016 via Android
41
反正我的 22 端口是个密罐，用来记录所有尝试登陆的密码
|
 |
guokekeSep 16, 2016
42
-=- root 禁了就不管了。
|
|
jimzhongSep 17, 2016
43
@zpvip 我这么写
iptables -A INPUT -p tcp --dport 2222 -m state --state NEW -m recent --set --name ssh --rsource iptables -A INPUT -p tcp --dport 2222 -m state --state NEW -m recent ! --rcheck --seconds 60 --hitcount 4 --name ssh --rsource -j ACCEPT |
 |
HardrainSep 17, 2016
44
1) iptables 限制自己不用的端口
2) Web 程序的后台 Fail2Ban 3) SSH 禁用键盘交互(密码)，只能用公钥登录 |
|
kn007Sep 17, 2016
45
|
 |
ywgxSep 17, 2016
46
看了大家的方案，这是个人自己玩玩可以；企业级的管理， xabcloud.com 的看看吧
|
 |
NitroethaneSep 17, 2016
47
改 ssh 端口，并且使用 RSA 私钥进行登录，禁用密码登录；使用防火墙关闭，所有端口，只开放自己需要的，比如我的服务器只开了 3 个端口， 80 ， 443 和 ssh 端口；定期打补丁。这是已经做了的，最近考虑写个脚本用来处理 nginx 的访问日志，比如说当有陌生 ip 在短时间内产生大量访问，并且有无意义的请求时，做黑名单处理；再写个脚本，定期监测 last 命令的输出，如果发现不是我的 ip 登录，给我发邮件啥的
|
 |
bianchenszSep 18, 2016
48
改端口，改密钥，禁密禁 root 远程。
|
 |
sutraSep 18, 2016
49
block in quick proto tcp from any os "Linux" to any port ssh
|
 |
soultearySep 18, 2016
50
这个是炸鱼帖子...
1. 改 root 密码为 16 ～ 20 位随机密码。 2. 创建新用户，赋权，配置 rsakey 和授信 hosts ， key 根据情况加密码&定期更换。 3. 配置 sshd ，改端口，禁密码登录，禁 root 登录，禁用 pam （ openssl 后遗症） 4. ufw 简化管理 iptables ，开闭端口。 5. fail2ban 随便开几个需要的规则。 6. supervisor 守护 fail2ban 。 7. 如果有 1 ～ 2 台靠谱的机器，（任何网络下都能登录的， sla 高）当壁垒机器，其他机器仅允许从壁垒机上登录，定期维护这 1 ～ 2 个入口。 8. 二步个人不推荐，如果专有一台手机做 token 另外（最近几年频繁换手机， token 各种重置各种痛苦） |
|
51
@soulteary ^-^ 嗯嗯嗯，好大一条鱼
|
Select Language