CentOS服务器安全配置策略

article/2025/11/9 2:56:41

近期服务器频繁有被暴力破解，大致分析了一下入侵行为，整理了常用的安全策略：

最小的权限+最少的服务=最大的安全

1. 修改ssh默认连接22端口 和 添加防火墙firewalld 通过端口

步骤：

1） 修改ssh的默认端口22：

vi /etc/ssh/sshd_config

这里写图片描述

2）让防火墙通过这个端口

firewall-cmd --state【firewalld是否运行】
firewall-cmd --permanent --list-port【查看端口列表】
firewall-cmd --permanent --zone=public --add-port=48489/tcp【添加端口】
firewall-cmd --permanent --remove-port=48489/tcp【删除端口】

3）重启SSH服务，并退出当前连接的SSH端口

service sshd restart

4）然后通过putty ssh连接软件链接一下，使用默认22号端口无法进入SSH，达到目的，就OK了~

2. 禁止root帐号直接登录

Linux的默认管理员名即是root，只需要知道ROOT密码即可直接登录SSH。禁止Root从SSH直接登录可以提高服务器安全性。经过以下操作后即可实现。

1）新建帐户和设置帐户密码

useradd ityangs
passwd ityangs

2）不允许root直接登陆

vi /etc/ssh/sshd_config

查找“#PermitRootLogin yes”，将前面的“#”去掉，短尾“Yes”改为“No”，并保存文件。

这里写图片描述

systemctl restart sshd.service【重启ssh,另一种方法重启】

3）下次登陆

  • 先使用新建账号“ityangs”以普通用户登陆。

  • 若要获得ROOT权限，在SSH中执行以下命令

su root

执行以上命令并输入root密码后即可获得root权限。

4）WinSCP下su切换到root的技巧（禁止root远程ssh登录时）

限制了root用户的远程登录，但是重要的数据文件都是700。更可悲的是，WinSCP完全失去了用武之地。因为root账户无法登陆，而像是FTP，SFTP，SCP这些协议都不支持在登录以后切换用户。
SCP协议在登录的时候可以指定shell，一般默认的也就是推荐的是/bin/bash，但是我们可以修改它来玩花样，比如改成sudo su -
但是新问题又来了，sudo需要输入密码，但是WinSCP在登录的时候并没有交互过程。但是天无绝人只要在root权限之路，只要在root权限下visudo，添加如下一行即可取消sudu时的密码：
yourusername ALL=NOPASSWD: ALL
为了可以在非putty的环境下sudo，我们还需要注释掉下面一行：
Defaults requiretty
然后保存，即可在登录到WinSCP的时候享受root的快感啦！

步骤：

  • 普通用户ssh到服务器，切换到root权限
  • visudo，然后添加 yourusername ALL=NOPASSWD: ALL 这一行，注释掉Defaults requiretty 
[root@iZ252wo3Z ~]# visudo
ityangs ALL=NOPASSWD: ALL
#Defaults requiretty 【没有可不用管】
  • 修改WinSCP的文件协议为SCP

这里写图片描述

  • 修改环境-SCP/Shell下的shell为sudo su-

这里写图片描述

  • 登录WinSCP即可。

3. 安装DenyHosts【拦截获取攻击的IP，生成黑名单，防止再次攻击】

DenyHosts（项目主页：http://denyhosts.sourceforge.net/）是运行于Linux上的一款预防SSH暴力破解的软件，可以从http://sourceforge.net/projects/denyhosts/files/进行下载，然后将下载回来的DenyHosts-2.6.tar.gz源码包上传到Linux系统中。下面是安装过程
****************************************************************
tar zxvf DenyHosts-2.6.tar.gz                                           #解压源码包
cd DenyHosts-2.6                                                            #进入安装解压目录
python setup.py install                                                    #安装DenyHosts
cd /usr/share/denyhosts/                                                #默认安装路径
cp denyhosts.cfg-dist denyhosts.cfg                                #denyhosts.cfg为配置文件
cp daemon-control-dist daemon-control                        #daemon-control为启动程序
chown root daemon-control                                           #添加root权限
chmod 700 daemon-control                                            #修改为可执行文件
ln -s /usr/share/denyhosts/daemon-control /etc/init.d     #对daemon-control进行软连接，方便管理安装到这一步就完成了。
/etc/init.d/daemon-control start          #启动denyhosts
chkconfig daemon-control on             #将denghosts设成开机启动
******************************************************************vi /usr/share/denyhosts/denyhosts.cfg       #编辑配置文件，另外关于配置文件一些参数，通过grep -v "^#" denyhosts.cfg查看
SECURE_LOG = /var/log/secure                  #ssh 日志文件，redhat系列根据/var/log/secure文件来判断；Mandrake、FreeBSD根据 /var/log/auth.log来判断#SUSE则是用/var/log/messages来判断，这些在配置文件里面都有很详细的解释。
HOSTS_DENY = /etc/hosts.deny                 #控制用户登陆的文件
PURGE_DENY = 30m                                  #过多久后清除已经禁止的，设置为30分钟；
# ‘m’ = minutes
# ‘h’ = hours
# ‘d’ = days
# ‘w’ = weeks
# ‘y’ = years
BLOCK_SERVICE = sshd                           #禁止的服务名，当然DenyHost不仅仅用于SSH服务
DENY_THRESHOLD_INVALID = 1             #允许无效用户失败的次数
DENY_THRESHOLD_VALID = 3                 #允许普通用户登陆失败的次数
DENY_THRESHOLD_ROOT = 3                 #允许root登陆失败的次数
DAEMON_LOG = /var/log/denyhosts      #DenyHosts日志文件存放的路径，默认更改DenyHosts的默认配置之后，重启DenyHosts服务即可生效: 
/etc/init.d/daemon-control restart         #重启denyhosts

http://chatgpt.dhexx.cn/article/Si29yEEl.shtml

相关文章

Windows Server 2008 中的服务器安全策略管理

Windows Server 2008 中的服务器安全策略管理

在 Windows Server 2008 中，您可以使用许多工具来确保计算机的安全。本文将着重介绍三种工具，您可以单独或配合使用这些工具来管理服务器上的安全策略： 安全配置向导 (SCW) 和 Scwcmd 命令行工具 “安全模板”管理单元 “安全配置和分析”…
阅读更多...
服务器系统策略功能,设置服务器系统口令复杂度策略

服务器系统策略功能,设置服务器系统口令复杂度策略

设置服务器系统口令复杂度策略 内容精选 换一换 在裸金属服务器支持一键重置密码功能的前提下，重置裸金属服务器管理帐号(root用户或Administrator用户)的密码。可以通过查询是否支持一键重置密码API查询是否支持一键重置密码。无符合安全要求的密码复杂度检查，非安全密码输入…
阅读更多...
防火墙安全策略

防火墙安全策略

安全区域 安全区域（Security Zone）：一个或多个接口的集合。 在同一个区域内的主机通信是不受安全策略的控制的； 在不同区域之间的主机通信是需要经过安全检查的。 安全区域（默认）信任程度优先级描述Local…
阅读更多...
华为防火墙安全策略

华为防火墙安全策略

1初识安全策略 小伙伴们，我们试想下如果防火墙把所有流量都拒绝了，内部用户将无法畅游网络，外部合法用户将无法访问内部资源。因此我们需要配置防火墙的一个特性，让它更好的实现防火墙的功能，这个特性就是安全策略。平…
阅读更多...
Windows 本地安全策略

Windows 本地安全策略

Windows本地安全策略 一、本地安全策略1. 概述2. 打开方式 二、帐户策略1. 密码策略2. 帐户锁定策略 三、本地策略1. 审核策略2. 用户权限分配3. 安全选项 四、本地安全策略应用1. 案例一2. 案例二3. 案例三4. 更新策略 一、本地安全策略 1. 概述 对登陆到计算机上的账号定义…
阅读更多...
防火墙技术之安全策略

防火墙技术之安全策略

防火墙技术之安全策略 1.什么是安全策略2.缺省包过滤3.安全策略发展历程4.Local区域的安全策略5.ASPF 1.什么是安全策略 安全策略基于安全区域的域间关系来呈现，其内容包括两个组成部分。 条件。检查报文的依据，防火墙将报文中携带的信息与条件逐一对比…
阅读更多...
Windows 10 布置IP安全策略

Windows 10 布置IP安全策略

文章目录 Windows 10 布置IP安全策略1.winR进入windows10运行窗口2.输入secpol.msc3.进入本地安全策略窗口4.右键点击 IP 安全策略，选中创建 IP 安全策略，都点击下一步5.回到本地安全策略，右键点击 IP 安全策略选中管理 IP 筛选器列表和筛选器…
阅读更多...
修改服务器组策略,修改服务器组策略

修改服务器组策略,修改服务器组策略

修改服务器组策略 内容精选 换一换 华为云帮助中心，为用户提供产品简介、价格说明、购买指南、用户指南、API参考、最佳实践、常见问题、视频帮助等技术文档，帮助您快速上手使用华为云服务。 SAP S/4HANA实例运行在弹性云服务器上。需要根据部署场景&…
阅读更多...
Linux服务器安全策略

Linux服务器安全策略

1.常见的服务器攻击类型 （1）密码暴力破解攻击 密码暴力破解攻击的目的是破解用户的密码，从而进入服务器获取系统资源或者是进行破坏。 （2）拒绝服务攻击 拒绝服务攻击基本原理就是利用合理的服务请求来占用过多的服…
阅读更多...
如何配置服务器安全策略？

如何配置服务器安全策略？

如何配置服务器安全策略？ 内容摘要：如何配置服务器安全策略？服务器安全策略的核心价值在于保障数据中心服务器的安全性。数据中心是应用虚拟化的基础平台，保证了这个平台的稳定和安全，各种操作才会流畅无阻。 1、功能描…
阅读更多...
Windows服务器安全策略设置

Windows服务器安全策略设置

Windows服务器安全策略设置 1.非必要共享服务和端口-操作系统2.密码复杂度和定期更新-操作系统3.登陆失败锁定和超时锁定-操作系统4.禁用guest和administrator改名-操作系统5.三员设置-操作系统6.信息资源分级分类和依据敏感标签访问控制-操作系统7.限制终端接入地址-操作系统8…
阅读更多...
Windows服务器安全策略配置——简单实用

Windows服务器安全策略配置——简单实用

Windows服务器安全策略配置——简单实用！ Windows服务器安全策略怎么做？不要觉得这是一个非常深奥遥不可及的问题，其实也是从各个方面去加固系统的安全性而已，它没有一个定论，今天我和你们分享一下windows服务器基本安全策略保障服务器基本安全的一些简单实用的加固方法。…
阅读更多...
服务器实战部署安全策略

服务器实战部署安全策略

一、防火墙 防火墙是服务器的第一道防线，虽然不能百分百防护得到，但至少能阻挡大多数黑客的DOS或DDOS以及利用部分开源软件的漏洞进行病毒植入等攻击。 1.防火墙设置开机自启动 systemctl enable firewalld 2.防火墙常用命令 (1)防火墙状态查看(开启…
阅读更多...
服务器安全策略经验总结

服务器安全策略经验总结

1.服务器安全概述 随着计算机网路技术的发展，网络安全面临的威胁日益加剧，各类应用系统的复杂性和多样性导致系统漏洞层出不穷，病毒和恶意代码网上肆虐，和篡改网站的安全事件时有发生。作为网络的核心部分，服务器处于…
阅读更多...
GLSL入门

GLSL入门

着色器语言 GLSL (opengl-shader-language)入门大全 基本类型: 类型说明void空类型,即不返回任何值bool布尔类型 true,falseint带符号的整数 signed integerfloat带符号的浮点数 floating scalarvec2, vec3, vec4n维浮点数向量 n-component floating point vectorbvec2, bvec3,…
阅读更多...
【我的OpenGL学习进阶之旅】如何抽取着色器代码到assets目录下的GLSL文件，以及如何通过Java或者C++代码来加载着GLSL文件?

【我的OpenGL学习进阶之旅】如何抽取着色器代码到assets目录下的GLSL文件，以及如何通过Java或者C++代码来加载着GLSL文件?

目录 一、着色器代码以字符串形式写在代码里的现状二、抽取着色器代码为单独的GLSL文件2.1 Java中的字符串抽取为GLSL文件并加载2.1.1 Java中的字符串抽取为GLSL文件2.1.2 Java加载GLSL文件 2.2 C中的字符串抽取为GLSL文件并加载2.2.1 C中的字符串为抽取GLSL文件2.2.2 C加载GLS…
阅读更多...
11.GLSL ES

11.GLSL ES

1.数据类型：GLSL ES支持两种数据值类型：数值类型（整型、浮点型）和布尔值类型。GLSL ES不支持字符串类型 2.矩阵和矢量： GLSL ES中，矢量和矩阵的初始化方法遵从一般规律，特别的：初始…
阅读更多...
opengl GLSL

opengl GLSL

GLSL 着色器是使用一种叫GLSL的类C语言写成的。GLSL是为图形计算量身定制的，它包含一些针对向量和矩阵操作的有用特性。 着色器的开头总是要声明版本，接着是输入和输出变量、uniform和main函数。每个着色器的入口点都是main函数，在这个函数…
阅读更多...
glsl效果2——灰度图

glsl效果2——灰度图

glsl效果2——灰度图 原始图及代码 1.1. 原始图1.2. 原始代码 灰度图效果图及glsl代码 2.1. 效果图2.2. glsl代码 加权的灰度图的效果图和glsl代码 3.1. 效果图3.2. glsl代码 git地址 以下的效果建立在使用帧缓冲，渲染到纹理后进行的相关操作，具体代…
阅读更多...
Cesium glsl 学习

Cesium glsl 学习

const CircleRippleMaterialSource uniform vec4 color;uniform float speed;uniform float count;uniform float gradient;czm_material czm_getMaterial(czm_materialInput materialInput){// 生成默认的基础材质czm_material material czm_getDefaultMaterial(materialInp…
阅读更多...
推荐文章

Copyright @ 2022~2023