安全加固
核心原则为：最小权限原则以及纵深防御
指通过减少攻击面来提高系统安全性的过程。这是一个多层面的工作，通常遵循“纵深防御”（Defense in Depth）的原则，从底层系统到上层应用逐层进行。
以下是通用的安全加固流程和核心检查点：
-
操作系统层加固 (Linux / Windows)
这是最基础的一层，主要目标是确保服务器本身的“地基”稳固。
- 账户与认证管理：
- 弱口令检测： 强制使用高强度密码（大小写+数字+符号，12位以上）。
- 禁用默认账户： 重命名或禁用
Administrator/root账户，创建普通管理员账户提权操作。 - 多因素认证 (MFA)： 在关键入口（如 SSH, RDP）启用 MFA。
- 锁定策略： 设置登录失败次数限制（如 5 次输错锁定 30 分钟），防止暴力破解。
- 补丁与更新：
- 确保内核和系统补丁是最新版本，修补已知的 CVE 漏洞。
- 最小化服务：
- 关闭不必要的后台服务和启动项（如打印服务、多余的共享服务）。
- 文件权限控制：
- 确保关键配置文件（如
/etc/passwd,/etc/shadow或 Windows 注册表关键键值）只有管理员可读写。
- 确保关键配置文件（如
-
网络层加固
控制进出流量，将系统隐蔽在防火墙之后。
- 端口管理：
- 关闭高危端口： 封禁 135, 139, 445 (SMB), 3389 (RDP - 如不使用) 等常被勒索病毒利用的端口。
- 修改默认端口： 将 SSH (22) 或 RDP (3389) 修改为非常用高位端口（如 22022）。
- 防火墙策略：
- 遵循“默认拒绝”原则：只放行必要的入站流量（如 Web 服务器只开 80/443）。
- 限制管理端口（SSH/RDP）的访问源 IP，仅允许特定 IP 段连接。
-
应用与中间件加固 (Nginx, Tomcat, Apache, IIS)
针对运行的具体软件进行配置优化。
- 隐藏版本信息： 配置 Web 服务器不返回 Server Header 中的详细版本号，防止攻击者针对特定版本漏洞攻击。
- 禁用不必要的方法： 禁用 HTTP 的 OPTIONS, DELETE, TRACE 等非必要方法。
- 错误页面处理： 自定义 404/500 错误页面，避免泄露代码堆栈信息或服务器路径。
- Web应用防火墙 (WAF)： 部署 WAF 以拦截 SQL 注入、XSS 等常见 Web 攻击。
-
数据库层加固 (MySQL, Redis, Oracle)
数据是核心资产，必须严防死守。
- 网络隔离： 数据库严禁暴露在公网，仅允许应用服务器内网连接（绑定
127.0.0.1或内网 IP）。 - 权限分离： 应用连接数据库不使用 root/sa 账号，而是分配一个仅拥有对应库读写权限的普通账号。
- Redis 加固： 这一点极易被忽视。务必设置密码（
requirepass），并重命名高危命令（如FLUSHALL,CONFIG）。
-
日志与监控
加固不仅仅是防御，还需要有事后追溯的能力。
- 开启审计日志： 确保系统日志（
/var/log/secure, Windows Event Logs）和应用日志均已开启。 - 日志异地备份： 攻击者入侵后往往会删除日志，因此日志应实时发送到远程日志服务器（Syslog Server）。
