linux固化容器 linux加固方案
目录
- 常见的三种加固措施
- 一、主机基础安全加固（方法一）
- 1、密码足够的复杂
- 2、修改sh默认端口号
- 3、禁止 root 远程登录
- 4、Linux主机黑白名单限制远程连接地址
- 5、服务器之间通过密钥免密登录
- 6、使用密钥并禁止使用密码登录服务器
- 7、通过云平台的安全组限制远程登陆的ip
- 二、使用开源软件fail2ban加固主机安全（方法二）
- 优点：
- 原理：
- 场景说明：
- 下载软件包：
- 应用实例：
常见的三种加固措施
方法一：主机基础安全加固
方法二：通过开源软件加固主机安全
方法三：通过安全产品加固（略过）
一、主机基础安全加固（方法一）
以下七种基础安全加固方法可根据自己需求进行配置加固
1、密码足够的复杂
密码的长度要大于 8 位最好大于 20 位。密码的复杂度是密码要尽可能有数字、大小写字母和特殊符号混合组成。
2、修改sh默认端口号
vim /etc/ssh/sshd_config #修改sshd配置文件
修改此行 # Port 22 改为： # Port xxx #自己定义其它端口 ESC :wq 保存退出重启sshd服务：
systemctl restart sshd3、禁止 root 远程登录
不允许 root 账号直接登陆到系统，需添加一个普通账号，并授予权限加入到wheel组，使用普通账号先远程登录到系统，再使用sudo执行命令或使用命令su - root 切换到 root 用户环境
操作步骤：
① 修改sshd配置文件
vim /etc/ssh/sshd_config
重启服务：
systemctl restart sshd② 创建一个用于远程的用户xxx(不要设置admin，user1....等常见的默认账户名，很容易被猜测到)
useradd rhxjhf # 创建新用户 passwd rhxjhf # 给此用户设置密码③ 把此用户加入到wheel组（相当于系统管理员组） #如果不加入普通用户无法切换到root账户
usermod -G wheel rhxjhf # 把rhxjhf用户加入到 wheel管理员组 id rhxjhf # 查看此用户的信息，及是否加到了wheel组④ 使用新用户远程到服务器，然后使用su - root 输入root密码后即可切换root用户环境
4、Linux主机黑白名单限制远程连接地址
白名单：/etc/hosts.allow 黑名单：/etc/hosts.deny如只想自己常用地址远程连接到服务器，配置方法如下：
① 先在白名单中添加一行允许自己的ip
vim /etc/hosts.allow
② 在黑名单文件中添加拒绝所有即可，格式如下（也可使用平台的安全组限制源IP地址）
vim /etc/hosts.deny #添加如下一行即可
无需重启服务立即生效
5、服务器之间通过密钥免密登录
操作环境：
服务端：cloud-host1 IP：192.168.1.63
客户端：cloud-host2 IP：192.168.2.64
5.1 客户端生成密钥对，然后把公钥传输到服务端
[root@cloud-host2 ~]# ssh-keygen #执行 Generating public/private rsa key pair. #生成公共/私有 rsa 密钥对。 Enter file in which to save the key (/root/.ssh/id_rsa): #输入保存密钥的文件（/root/.ssh/id\u rsa）： Enter passphrase (empty for no passphrase): #输入密码短语（无密码短语为空）： Enter same passphrase again: #再次输入相同的密码短语： Your identification has been saved in /root/.ssh/id_rsa. 私钥 #您的标识已保存在/root/.ssh/id_rsa 中。 Your public key has been saved in /root/.ssh/id_rsa.pub. 公钥 #您的公钥已保存在/root/.ssh/id_rsa.pub 中。 The key fingerprint is: #关键指纹是： SHA256:toCXv2xpFWsS6ClyN1sAKPIyup7VEdaQLKJH/tD+EZk root@bogon The key's randomart image is: #钥匙的随机图像是： +---[RSA 2048]----+ | .... | |o.o..oo | |o=...+ = | |+ = o.E.. . | |.+ +.o++S. o | |. . *.B+o.+ | | . + = =o= | |. o o.+. | |.o oo | +----[SHA256]-----+ [root@cloud-host2 ~]# cd /root/.ssh/ [root@cloud-host2 .ssh]# ls id_rsa id_rsa.pub known_hosts id_rsa(私钥)；id_rsa.put(公钥)；5.2 把公钥文件传到服务端
使用 ssh-copy-id 命令将客户端生成的公钥发布到远程服务器 192.168.1.63 cloud-host1。
6、使用密钥并禁止使用密码登录服务器
① 先按步骤5执行ssh-keygen生成密钥
② 在服务器上安装公钥
③ 到此就完成了公钥的安装，请保证以下文件权限正确，权限过大启动sshd服务就会报错
chmod 600 authorized_keys chmod 700 ~/.ssh④ 设置 SSH，打开密钥登录功能
编辑 /etc/ssh/sshd_config 文件，进行如下设置：
⑤ 请留意 root 用户能否通过 SSH 登录：（如果为no也是不能登录的）
PermitRootLogin yes⑥ 当你完成全部设置，并以密钥方式登录成功后，再禁用密码登录选项：
PasswordAuthentication no保存退出
重启服务：
⑦ 下载私钥文件到本地电脑中，如果没有sz命令则执行以下命令安装上传下载工具
yum install lrzsz -y sz id_rsa # sz下载私钥文件再次连接服务器就会看见密码栏为灰色，只能使用刚刚从服务器上下载的密钥登录
7、通过云平台的安全组限制远程登陆的ip
二、使用开源软件fail2ban加固主机安全（方法二）
优点：
使用简单、灵活、功能强大（此功能需要配合iptables使用）
原理：
通过调用iptables等安全策略来达到放暴力破解的目的！
场景说明：
使用云主机对外提供的公网网站一直被别人暴力破解 SSHD 服务密码。虽然没有成功，但会导致系统负载很高，原因是在暴力破解的时候，系统会不断地认证用户，从而增加了系统资源额外开销，导致访问公司网站速度很慢。
然而fail2ban 程序可以监视你的系统日志，然后匹配日志的错误信息（正则式匹配）执行相应的屏蔽动作（一般情况下是防火墙），而且可以发送 e-mail 通知系统管理员，很实用、很强大！
简单来说其功能就是防止暴力破解。工作的原理是通过分析一定时间内的相关服务日志，将满足动作的相关IP 利用 iptables 加入到 dorp 列表一定时间。
下载软件包：
官方地址：http://www.fail2ban.org 如图
图 1-7 fail2ban 官网
fail2ban 程序下载地址：http://www.fail2ban.org/wiki/index.php/Downloads 如图
图 1-8 fail2ban 程序下载
注意：以上展示 fail2ban 的源码包下载，以下实验使用 yum 安装。
安装配置：
需要安装 python 开发环境，并且版本要大于 2.4。
使用 yum 安装 fail2ban
[root@cloud-host1 ~]# y um -y install epel-release [root@cloud-host1 ~]# yum -y install fail2ban相关主要文件说明
ls /etc/fail2ban/ ........ /etc/fail2ban/action.d /etc/fail2ban/fail2ban.conf /etc/fail2ban/filter.d /etc/fail2ban/jail.conf应用实例：
设置条件：SSH 远程登录 5 分钟内 3 次密码验证失败，禁止用户 IP 访问主机 1 小时，1 小时该限制自动解除，用户可重新登录。
因为动作文件（action.d/iptables.conf）以及日志匹配条件文件（filter.d/sshd.conf ）安装后是默认存在的。基本不用做任何修改。所有主要需要设置的就只有 jail.conf 文件。启用SSHD 服务的日志分析，指定动作阀值即可。
1、配置文件：/etc/fail2ban/jail.conf 及说明如下：
[root@cloud-host1 ~]# vim /etc/fail2ban/jail.conf [DEFAULT] #全局设置 ignoreip = #忽略的 IP 列表,不受设置限制。 bantime = 10m #屏蔽时间，单位：秒。 findtime = 10m #这个时间段内超过规定次数会被 ban 掉。 maxretry = 5 #最大尝试次数。 backend = auto #日志修改检测机制（gamin、polling 和 auto 这三种）。 [sshd] #单个服务检查设置，如设置 bantime、findtime、maxretry 和全局冲突，服务 优先级大于全局设置。 port = ssh 279 行 logpath = %(sshd_log)s backend = %(sshd_backend)s #加入如下内容 enabled = true #是否激活此项（true/false）修改成 true。 filter = sshd #过滤规则 filter 的名字，对应 filter.d 目录下的 sshd.conf。 action = iptables[name=SSH, port=ssh, protocol=tcp] #动作的相关参数，对应action.d/iptables.conf 文件。 sendmail-whois[name=SSH, [email protected], [email protected], sendername="Fail2Ban"] #触发报警的收件人。可写可不写 根据自己需要 logpath = /var/log/secure #检测的系统的登陆日志文件。这里要写 sshd 服务日志文件。 默认为 logpath = /var/log/sshd.log（在 centos8 当中需要删除默认的 ssh 区域 logpath 选项） 。 #5 分钟内 3 次密码验证失败，禁止用户 IP 访问主机 1 小时。 配置如下。 (按需修改) bantime = 3600 #禁止用户 IP 访问主机 1 小时。 findtime = 300 #在 5 分钟内内出现规定次数就开始工作。 maxretry = 3 #3 次密码验证失败。2、配置内容如下图:
3、启动服务
4、测试
测试：故意输入错误密码 3 次，再进行登录时，会拒绝登录。 [root@cloud-host2 ~]# ssh 192.168.1.63 [email protected]'s password: #故意输入错误密码。 Permission denied, please try again. [email protected]'s password: #故意输入错误密码。 Permission denied, please try again. [email protected]'s password: #故意输入错误密码。 Permission denied (publickey,gssapi-keyex,gssapi-with-mic,password). [root@cloud-host2 ~]# ssh 192.168.1.63 ssh: connect to host 192.168.1.63 port 22: Connection refused5、然后我们检测下 fail2ban是否工作。
[root@cloud-host1 ~]# fail2ban-client status Status |- Number of jail: 1 `- Jail list: sshd #具体看某一项的状态也可以看，如果显示被 ban 的ip 和数目就表示成功了，如果都是 0，说明没有成功。 [root@cloud-host1 ~]# fail2ban-client status sshd Status for the jail: sshd |- Filter | |- Currently failed: 0 | |- Total failed: 0 | `- Journal matches: _SYSTEMD_UNIT=sshd.service + _COMM=sshd `- Actions |- Currently banned: 1 |- Total banned: 1 `- Banned IP list: 192.168.1.64查看 fail2ban 的日志能够看到相关的信息。
[root@cloud-host1 ~]# tail /var/log/fail2ban.log 2018-11-07 16:11:01,476 fail2ban.actions [27932]: NOTICE [sshd] Ban 192.168.1.64需要注意的两点：
1、如果后期需要把 iptables 清空后或 iptables 重启后，也需要把 fail2ban 重启一下
2、如果修改 ssh 默认端口 22 为 2015 后，配置 fail2ban 来监控 SSHD 服务需要修改配置文件
例：
修改 fail2ban 监听 SSH 端口重启服务即可
误操作自己的ip被加入黑名单，则可以手动移除自己的ip
fail2ban 从黑名单中移除 IP 的方法：
我有梦，有远方，我会为了它们奔跑，奋斗，直到成为连我自己都佩服的人。