服務(wù)器安全是網(wǎng)絡(luò )托管提供商和服務(wù)器管理員服務(wù)器管理的一個(gè)關(guān)鍵方面。在這里，我們將介紹十種用于強化服務(wù)器并監控它們是否存在安全漏洞的技術(shù)。

1. SSH使用公鑰認證

刪除未加密的訪(fǎng)問(wèn)。沒(méi)有人應該再使用 telnet、ftp 或 http 來(lái)管理服務(wù)器。SSH、SFTP 和 https 是公認的標準。為了獲得更好的安全性，完全擺脫 SSH 上的密碼身份驗證。相反，請使用 SSH 密鑰。每個(gè)用戶(hù)都有一個(gè)公鑰和一個(gè)私鑰。私鑰由用戶(hù)保管。公鑰保存在服務(wù)器上。當用戶(hù)嘗試登錄時(shí)，SSH 確保公鑰與私鑰匹配。一旦密碼登錄被禁用，就沒(méi)有針對弱密碼的成功暴力攻擊的風(fēng)險。

2. 強密碼

安全加固的服務(wù)器對犯罪分子來(lái)說(shuō)是一個(gè)挑戰，但您會(huì )驚訝于有多少服務(wù)器管理員敞開(kāi)前門(mén)。人們——包括那些應該更了解的人——傾向于選擇容易猜到的密碼。去年，針對具有弱 SSH 密碼的服務(wù)器的暴力攻擊導致了大量的勒索軟件攻擊。使用長(cháng)密碼和隨機密碼——長(cháng)密碼更好，并最終限制具有登錄類(lèi)型訪(fǎng)問(wèn)權限的用戶(hù)。

3. 安裝和配置 CSF 防火墻

Config Server Firewall是一款功能豐富的免費防火墻，可以保護服務(wù)器免受各種攻擊。其功能包括狀態(tài)數據包檢查、身份驗證失敗率限制、洪水保護、目錄監視和外部阻止列表的使用。CSF 是一個(gè)很棒的工具，并且比 iptables 更容易管理。

4. 安裝和配置 Fail2Ban

網(wǎng)絡(luò )上的每臺服務(wù)器都被尋找弱點(diǎn)的機器人所困擾。Fail2Ban會(huì )搜索您服務(wù)器的日志以搜索指示惡意連接的模式，例如太多失敗的身份驗證嘗試或太多來(lái)自同一 IP 的連接。然后它可以阻止來(lái)自這些 IP 的連接并通知管理員帳戶(hù)。

5.安裝惡意軟件掃描軟件

理想情況下，您希望將惡意人員拒之門(mén)外，但如果他們確實(shí)設法破壞了服務(wù)器的安全性，您希望盡快了解情況。ClamAV是一款出色的 Linux 惡意軟件掃描工具，而rkhunter可用于查找 Rootkit。結合起來(lái)，他們很有可能會(huì )發(fā)現黑客可能在服務(wù)器上安裝的任何惡意軟件。AIDE可用于在系統上生成文件哈希表，然后每天比較文件的哈希計數以確認沒(méi)有對系統關(guān)鍵文件進(jìn)行任何更改。

6. 保持軟件最新

過(guò)時(shí)的軟件可能包含黑客已知的安全漏洞，正如Equifax 最近以每個(gè)人的代價(jià)發(fā)現的那樣。如果您忽略本文中的所有其他建議（您不應該這樣做），您至少應該使用 Linux 發(fā)行版的包管理器進(jìn)行更新。

7.定期備份

您可能不認為備份是一種安全措施，但我們保護服務(wù)器的主要原因是確保存儲在其上的數據安全。不可能保證服務(wù)器永遠不會(huì )受到損害，因此數據應該加密并備份到異地位置。定期測試全面備份的恢復將消除勒索軟件攻擊。

8.監控日志

日志是一個(gè)極其重要的安全工具。服務(wù)器收集了大量關(guān)于它做什么以及誰(shuí)連接到它的信息。該數據中的模式通常會(huì )揭示惡意行為或安全漏洞。Logwatch是一個(gè)優(yōu)秀的日?？偨Y工具，可以分析、總結并生成關(guān)于您的服務(wù)器上發(fā)生的事情的報告。Logsentry可用于每小時(shí)報告以更主動(dòng)地監控入口。

9.關(guān)閉不必要的服務(wù)

應禁用對服務(wù)器功能不重要的任何面向 Internet 的軟件。服務(wù)器內部環(huán)境與外界的接觸點(diǎn)越少越好。大多數 Linux 發(fā)行版（包括CentOS和Ubuntu）都包含一個(gè)用于管理服務(wù)的工具。

這也適用于 Web 服務(wù)器引擎本身，關(guān)閉不需要的模塊，刪除不使用的語(yǔ)言模塊，禁用 Web 服務(wù)器狀態(tài)和調試頁(yè)面。您提供的有關(guān)底層基礎設施的信息越少，攻擊您的足跡就越小。

10.安裝ModSecurity

ModSecurity是一種 Web 應用程序防火墻——它運行在比 CSF 防火墻更高的級別，旨在處理針對應用程序層的威脅。簡(jiǎn)而言之，它阻止了針對 Web 應用程序的多種類(lèi)型的攻擊，包括 WordPress 等內容管理系統和 Magento 等電子商務(wù)商店。ModSecurity 曾經(jīng)是一個(gè) Apache 模塊，但現在也可用于 NGINX。

還要考慮這些選項：

采取措施減輕 XSS 攻擊（跨站點(diǎn)腳本），方法是將設置添加到服務(wù)器，強制服務(wù)器和客戶(hù)端確認他們正在與誰(shuí)交談。OWASP有豐富的信息和教程。

使用 HTTP2（或 http1.2） HTTP/2 的實(shí)現必須使用 TLS 版本 1.2 或更高版本用于基于 TLS 的 HTTP/2。這種升級后的 http 引擎通過(guò)與客戶(hù)端交談二進(jìn)制而不是文本來(lái)提高服務(wù)器負載，提高互操作性，它減少了對已知安全漏洞的暴露，并減少了來(lái)自不同客戶(hù)端瀏覽器訪(fǎng)問(wèn)的站點(diǎn)顯示問(wèn)題的可能性。