标签: security

我正在寻找防火墙和 VPN 的一些最佳实践或安全指南。尝试更多地研究网络安全并编写一种十诫（规则集）。在实施新系统时遵循有用。有任何想法吗？

谢谢。

似乎某个脚本小子开始尝试获取可能与 Wordpress 漏洞相关的各种 URL 来攻击我的一台服务器。我什至没有在服务器上安装 WP，所有这些原因都是一堆 404 错误。

由于我的服务器设置为针对每个 404 错误通过电子邮件发送给我（多年来，它一直很好地捕获偶尔断开的链接），因此这些攻击不仅给服务器增加了负载，而且还淹没了我的收件箱。

是否有一些可靠的软件可以阻止显示恶意行为的 IP？希望在 iptables 或 nginx 级别...

更好的是，是否有一些服务插入社区数据库，可以抢先阻止最近被另一台服务器检测为具有源自它的恶意活动的 IP？

如果这个问题以前被问过或偏离主题，请原谅我。

我过去安装的几个安全补丁是通过阅读新闻文章发现的，这些文章公开讨论了适用于我服务器上软件的安全漏洞。以下是我从一篇文章中读到的此类漏洞利用的两个示例。

• Apache 再次修复范围标题错误

• 新的 JBOSS 蠕虫感染未打补丁的服务器

毋庸置疑，我很不高兴我不得不发现所有地方的 Slashdot 上都存在这些漏洞。我已经修补了这些，但我想有一些简单的方法来获得通知，或者我可以很容易地在野外搜索与我有关的已知漏洞的位置。

我已经在主要的负面时间运行，因此在发布安全补丁时定期更新它们是完全且毫无疑问的。我需要忽略“理论漏洞”，直到它们变得实用。

你们中有没有人有关于在哪里可以找到这样的信息来源的好信息？

如果是这样，当补丁可用于您感兴趣的软件中的已知漏洞时，任何此类服务是否能够提醒您？

编辑：

不知道downvotes是关于什么的，我不清楚吗？我的问题是 OT 吗？我只是想指出，我并没有以任何方式暗示修补理论漏洞是一个坏主意或浪费时间。

我只是在陈述我的处境令人沮丧的现实，在一个经济糟糕的小公司工作，我预计我要做 6 个人的工作。与我没有时间解决的理论上的安全漏洞相比，下个月没有发放工资单的现实更有可能是我公司的垮台。

场景是这样的：

• 我有一台开发机器，我希望（需要）有 root 访问权限
• 我们的管理员使用他自己的 root 用户凭据设置机器。解释是如果出现问题或他需要更改某些内容，他只需要记住一个密码
• 然后他继续让每个用户访问“sudo”，而无需询问密码

现在我真的不喜欢 sudo 不会提示我输入密码的事实。用户配置如何为我和管理员提供完整的 root 权限（2 次登录），sudo 提示我输入密码（而不是 root）的样子？

是否可以授予在 Windows 2008 上查看事件日志的访问权限，而无需将管理员授予人员？如果是这样怎么办？

我正在尝试使用 NGiNX 和 PHP 保护我的服务器上的文件（多种类型）。

基本上，我希望人们如果想访问图像等静态文件，就必须登录网站。DropBox 做得很好。他们在哪里强迫您登录以访问您放在那里的服务器上的任何静态文件。

我想使用NGiNX Perl 模块。我会编写一个 perl 脚本来检查会话以查看用户是否已登录以授予他们对静态文件的访问权限。

我更喜欢使用 PHP，因为我所有的代码都在 PHP 下运行，我不确定如何使用 PERL 检查由 PHP 创建的会话。

所以基本上我的问题是：如何保护需要用户登录并使用 PHP 脚本创建有效会话的任何类型的静态文件？

我想创建具有最少权限的用户。没有家，没有权利，没有壳。怎么做？当我调用 useradd 时，它会创建带有 home 的用户

我们将把我们的服务器放在两个地方，以保持高水平的冗余并避免带宽批评。两台服务器位于不同的 LAN 上，但通过 WAN 网络（通过 Internet）进行通信。其中一台服务器是主服务器，另一台是辅助服务器。问题是该软件不仅包含一个数据库，而且在主服务器上还有必须传输到第二台服务器的文件。我们正在使用SQL SERVER 2005

我们设计的主要要求如下：

1. 我们正在使用SQL Server 2005，将来打算将数据库升级到 Oracle。所以我们必须考虑维护和进化问题。
2. 文件（图像、电影等）也必须传输到第二个服务器。
3. 位于 Internet 的两台服务器之间的关系必须是完全安全的。安全是重点之一。主服务器上唯一打开的端口是用于 HTTP 请求的端口 80，它只是只读的，所有其他端口都关闭，这被证明是一个非常安全的选项。
4. 两台服务器之间的带宽非常有限，我们不想增加主服务器的负担。
5. 第二个服务器必须是可写的，但第二个服务器上的任何修改都不会回发到主服务器。所以我们有一个单向交易，不想要一个双向交易。

1. 解决方案 I SQL Servers 之间的数据传输：Transactional Replication 服务器之间的文件传输：Cute FTP 安全选项：VPN 在这个解决方案中，我们将使用 VPN 来保护两台服务器之间的关系。两个 SQL SERVER 之间的数据通过事务复制发送。

2. 方案二 SQL Server 之间的数据传输：备份和恢复 服务器之间的文件传输：Cute FTP 安全选项：VPN 这里我们将每六小时备份一次数据库，并通过安全隧道 - VPN - 将数据与文件一起发送通过 FTP 到第二个服务器。此解决方案的缺点是它使用了大量带宽，并且比第一个解决方案花费更多的时间。

3. 解决方案三 SQL Server 之间的数据传输：Web 同步与 Merge Replication 服务器之间的文件传输：WebDAV over SSL 安全选项：- 这里我们使用 Merge Replication 进行复制，虽然我们不打算使用 Merge Replication 的双向选项. 我们将使用 Web 同步而不是 VPN。要将文件传输到第二台服务器，我们将使用基于 SSL 的 WebDAV 来保护连接。此选项的可能缺点是我不确定数据传输是否安全，并可能导致主服务器缺乏安全性。即使对于 …

是否有任何适用于 Linux 服务器的 IP 地址黑名单程序允许管理员指定某些条件来触发 IP 地址扫描漏洞的 iptables 黑名单？

例子：

IP 地址会扫描我的 Web 服务器以查找phpMyAdmin 的每个默认 URL 。这显然是一个我不想与我的服务器通信的机器人，所以我想将其 IP 地址列入黑名单一天。

我有什么选择来阻止这些机器人？

在工作中，我们最近收到了为域管理员设置两个单独帐户的建议。一个帐户是没有管理员权限的标准用户帐户，一个是域管理员的成员。虽然我能理解为什么要提出这个建议，但这似乎也是一种皇室的痛苦。

我知道 UAC 以一种最透明的方式管理这种类型的权限提升。UAC 或其他解决方案是否能够提供这种级别的保护？