Web 服务器安全性（仅用于 Web 服务）

Question

我正在使用虚拟专用服务器来访问仅在移动设备上使用的 Web 服务，访问和错误日​​志中有很多条目，即使 Web 服务器上没有任何内容。

我不太担心服务器安全。

我做过的事情..

Installed Fail2Ban
rkhunter
using SSH login
root login disabled.

我正在使用带有 LAMP 配置的服务器。

我应该使用哪些其他安全措施来防止攻击？

Answer 1

看来你现在保护了银行的后门，但忘了锁前门。

我为什么这么说？

您似乎担心您的 ssh 安全性。太好了，绝对是值得好好保护的地方！但最有可能（成功）的攻击媒介将来自网络。典型的僵尸网络只会盲目地尝试加载常见的易受攻击的 URL - 如果您没有安装 phpBB 或 WordPress 之类的东西，则无需担心。此外，如果您看到与 Windows 相关的 URL，则无需担心 Linux 服务器上的它们。

典型的网络攻击包括

• SQL 注入。如果您的用户发送的数据未正确验证并且您的应用程序未使用准备好的 SQL 查询，则可以通过 Web 注入额外的 SQL 查询并以这种方式更改/下载您的 SQL 数据。如果来自反馈文本区域的数据没有得到正确验证，那么看似无害的反馈表单可能会为 SQL 注入打开一扇门。

• 跨站脚本（XSS）。通过使用 JavaScript，可以执行从网络钓鱼到窃取客户端计算机的各种令人讨厌的事情。

• （分布式）拒绝服务攻击。僵尸网络试图通过发送大量请求、故意访问大量页面和/或违反 TCP 标准来轰炸您的服务器。

• 垃圾邮件。有时，垃圾邮件发送者会尝试利用某些已知漏洞来滥用您的 Web 服务器，从而使他们能够从您的服务器发送垃圾邮件。或者——或者更有可能——他们现在倾向于向你的公告板、博客评论等发送垃圾邮件。

如何防范此类事情？

• 最好的防御是根本不存在。如果您不需要某些 Apache 模块或 PHP 扩展，请禁用它。如果您不需要博客/CMS 软件中的某些功能，请将其禁用。

• 使用 mod_security。在保护您的 Web 应用程序方面，这个Apache 模块是重量级的冠军。警告：对于许多人来说，这个模块是矫枉过正的，正确配置它可能很乏味。

• 使您的软件保持最新。在更新您的 Web 应用程序时不要偷懒！安全漏洞在其中很常见。

• 不要依赖“它不是以 root 身份运行，我很安全”的口头禅。我经常看到人们认为软件不能作为 root = safe 运行。嗯，快讯！出站 http 连接、发送电子邮件或执行 SQL 查询不需要根访问权限。

• 使用防火墙。防火墙所有不需要的东西。如果您的服务器不需要建立出站 http 连接，请将它们放入防火墙中。