运维需要懂的那些安全技能-技术圈

以前的认知

以前刚接触IT行业，而我身为运维，我以为我所需要做的安全就是修改服务器密码为复杂的，ssh端口改为非22，还有就是不让人登录服务器就可以保证我维护的东西安全。

现在的认知

工作也好几年了，在这摸爬滚打中，遇到了服务器被黑，网站被人DDOS攻击，数据库被篡改等等。服务器也不是你说不让人上就不让人上的，所以IT安全这个话题还是比较沉重的，涉及的东西很多，只有你了解得更多，你才会知道你所了解的安全其实是那么少。

我来说说IT安全

1、网络安全

我们很多的公司和环境并未使用第三方审计系统，未能根据记录数据进行分形，并生成审计报表。其实审计系统是很重要的，可以进行操作溯源，这可比你一张嘴说的话有用多了。我所在的公司其实是买了一台日志审计系统，但是然并卵，在运维方面，我搭建了ELK，用于对服务器的操作溯源以及监控系统日志和安全日志，这个已经完全达到我想要的效果，另外的系统相关的日志，开发人员自己也有ELK系统，他们是用来监控app里面的行为操作，也是用于审计的。

下面就是我自己搭建的ELK系统用于监控服务器操作：

其实网络安全范围很广，还有比如说你可以将设备惊醒ARP绑定，那就可以避免arp攻击等，也可以购买入侵检测设备、入侵防御设备，防火墙等，网络设备定期修改密码，网络设备配置鉴别失败登录处理功能，配置操作超时等功能，尽量使用https协议加密传输。

除上述以外，应定期自检(漏洞扫描、弱口令扫描、基线配置信息等)，对主机的端口、弱口令、安全漏洞进行扫描和发现，对已知业务应用漏洞进行扫描和发现，对已知木马进行扫描和发现，对扫描结果进行分析和提交，促进业务安全性管理和安全问题的解决

2、主机安全

在现在大多数的公司中，操作系统未安装主机入侵检测系统，未能检测到对重要服务器进行入侵的行为，能够记录攻击者的源IP、攻击类型、攻击目标、攻击时间等，未能够在发生严重入侵事件时提供报警。很多人说，这个需要购买硬件WAF或者入侵防御设备，这个的确是个不小的花销，一般的公司估计也买不起，像我们，也买不起。但是并不是说我们毫无办法。我们可以在操作系统安装实时检测与查杀恶意代码的软件产品，对恶意代码实时检测与查杀，如OSSEC和 HIDS等，这些产品都是免费开源的。

主机安全还包括系统配置安全、验证安全等等。就比如操作系统提供身份鉴别措施、配置鉴别失败处理功能（也就是登录尝试失败次数，这个可以有效防止恶意破解）、加强口令复杂度要求，在原基础上还应不含有常用字符组合、数字组合、键盘顺序等可预测密码组合、重要服务器用使用资源强制访问控制策略（如用户、进程、文件内核级保护）、应限制默认账户的访问权限，修改这些账户的默认口令，条件允许下，应重命名默认账户；

3、应用安全

a）、建议应用系统采用了两种或两种以上的组合机制进行用户身份鉴别；

b）、建议应用系统对账号口令复杂度进行限制，口令长度限制为8-20位；要求口令为数字、字母字符至少两种组合，限制口令周期不大于半年；

c）、建议应用系统启用登录失败处理功能，限制次数不大于5次，并且对登录失败用户进行帐号处理；

d）、建议应用系统应启用用户身份鉴别信息复杂度要求和登录失败处理功能；

e）、建议应用系统对重要信息资源设置敏感标记，系统不支持设置敏感标记的，应采用专用安全设备生成敏感标记，用以支持强制访问控制机制；

f）、建议应用系统开启安全审计功能，安全审计范围覆盖到每个用户以及其相关操作；

g）、建议应用系统开启安全审计功能，且审计功能不能中断和安全记录非管理员无法删除、修改或覆盖；

h）、建议限制应用系统一段时间的并发会话连接数；

i）、建议应用系统限制一个访问账号或一个请求进程的最大限额；

j）、建议应用系统提供服务优先级设定功能，根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源；

4、数据安全及备份恢复

a）、建议提供异地数据备份功能，利用通信网络将关键数据定时批量传送到备用场地；

b）、建议提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性；

c）、数据的开发、测试环境如果要导入生产数据，则需要指定数据脱敏流程，将敏感的个人信息，如银行卡、手机号等信息做脱敏；

d）、数据的访问要有严格的流程，非运维人员如要访问数据，在走完权限申请流程后，可以给予他读取的权限，但是不能给他将数据备份至本地的权限，该操作可以通过windows堡垒机进行权限限制，通过管理员将该人员的剪贴板禁用即可；

e）、数据库一年要升级一次，即使你的数据库是放在内网的，但是你不能保证你们开发人员的代码不会被入侵，只要代码被入侵，或者被植入后门，就可以通过你的程序扫描到数据库。数据库的漏洞可不止一两个，基本上一年下来，一个稳定版本的数据库可以有30个左右的高危漏洞，50个左右的中危漏洞，这些个漏洞，你靠打补丁的方式根本不是解决办法，最好的方式还是升级到数据库最新版本前一个稳定版；