大多數時(shí)候，您的主要關(guān)注點(diǎn)是啟動(dòng)和運行您的云應用程序。作為您的設置和部署過(guò)程的一部分，在您的系統和應用程序公開(kāi)可用之前，為您的系統和應用程序構建強大而全面的安全措施非常重要。在部署應用程序之前實(shí)施本教程中的安全措施將確保您在基礎架構上運行的任何軟件都具有安全的基本配置，而不是可能在部署后實(shí)施的臨時(shí)措施。

本指南重點(diǎn)介紹了您在配置和設置服務(wù)器基礎架構時(shí)可以采取的一些實(shí)用安全措施。此列表并非詳盡無(wú)遺地列出了您可以采取的所有措施來(lái)保護您的服務(wù)器，但它為您提供了一個(gè)可以構建的起點(diǎn)。隨著(zhù)時(shí)間的推移，您可以開(kāi)發(fā)出更加量身定制的安全方法，以滿(mǎn)足您的環(huán)境和應用程序的特定需求。

SSH 密鑰

SSH，或安全外殼，是一種用于管理服務(wù)器和與服務(wù)器通信的加密協(xié)議。使用服務(wù)器時(shí)，您可能會(huì )將大部分時(shí)間花在通過(guò) SSH 連接到服務(wù)器的終端會(huì )話(huà)中。作為基于密碼登錄的替代方案，SSH 密鑰使用加密來(lái)提供一種安全的登錄服務(wù)器的方式，建議所有用戶(hù)使用。

使用 SSH 密鑰，會(huì )創(chuàng )建一對私鑰和公鑰以用于身份驗證。私鑰由用戶(hù)保密和安全，而公鑰可以共享。這通常稱(chēng)為非對稱(chēng)加密，您可能會(huì )在其他地方看到這種模式。

要配置 SSH 密鑰身份驗證，您需要將您的公共 SSH 密鑰放在服務(wù)器上的預期位置（通常是~/.ssh/authorized_keys）。要了解有關(guān)基于 SSH 密鑰的身份驗證如何工作的更多信息，請閱讀了解 SSH 加密和連接過(guò)程。

SSH 密鑰如何增強安全性？

使用 SSH，任何類(lèi)型的身份驗證——包括密碼身份驗證——都是完全加密的。但是，當允許基于密碼的登錄時(shí)，惡意用戶(hù)可以反復自動(dòng)嘗試訪(fǎng)問(wèn)服務(wù)器，尤其是當它具有面向公眾的 IP 地址時(shí)。盡管在從同一 IP 多次嘗試失敗后有多種方法可以鎖定訪(fǎng)問(wèn)權限，并且惡意用戶(hù)在實(shí)踐中會(huì )受到他們嘗試登錄您的服務(wù)器的速度的限制，但用戶(hù)可以合理地嘗試獲得訪(fǎng)問(wèn)權限的任何情況通過(guò)反復的暴力攻擊對您的堆棧造成安全風(fēng)險。

設置 SSH 密鑰身份驗證允許您禁用基于密碼的身份驗證。SSH 密鑰的數據位通常比密碼多得多——您可以從 12 個(gè)字符的密碼創(chuàng )建一個(gè) 128 個(gè)字符的 SSH 密鑰散列——這使得它們更難被暴力破解。盡管如此，一些加密算法仍被認為是可破解的，因為它試圖在足夠強大的計算機上對密碼哈希進(jìn)行足夠多次的逆向工程。其他密鑰，包括由現代 SSH 客戶(hù)端生成的默認 RSA 密鑰，尚無(wú)法破解。

如何實(shí)現 SSH 密鑰

SSH 密鑰是遠程登錄任何 Linux 服務(wù)器環(huán)境的推薦方式?？梢允褂迷撁钤谀谋镜赜嬎銠C上生成一對 SSH 密鑰ssh，然后您可以將公鑰傳輸到遠程服務(wù)器。

要在您的服務(wù)器上設置 SSH 密鑰，您可以按照如何為 Ubuntu、Debian 或 CentOS設置 SSH 密鑰進(jìn)行操作。

對于堆棧中需要密碼訪(fǎng)問(wèn)或容易受到暴力攻擊的任何部分，您可以在服務(wù)器上實(shí)施類(lèi)似fail2ban的解決方案來(lái)限制密碼猜測。

最佳做法是不允許root用戶(hù)直接通過(guò) SSH 登錄。相反，以非特權用戶(hù)身份登錄，然后根據需要使用sudo.?這種限制權限的方法被稱(chēng)為最小權限原則。一旦你連接到你的服務(wù)器并創(chuàng )建了一個(gè)你已經(jīng)驗證可以使用 SSH 的非特權帳戶(hù)，你可以通過(guò)在你的服務(wù)器上設置指令來(lái)禁用root登錄，然后使用類(lèi)似命令重新啟動(dòng)服務(wù)器的 SSH 進(jìn)程。PermitRootLogin no/etc/ssh/sshd_configsudo systemctl restart sshd

防火墻

防火墻是一種軟件或硬件設備，用于控制服務(wù)如何暴露于網(wǎng)絡(luò )，以及允許哪些類(lèi)型的流量進(jìn)出給定服務(wù)器。正確配置的防火墻將確保只有應該公開(kāi)可用的服務(wù)才能從您的服務(wù)器或網(wǎng)絡(luò )外部訪(fǎng)問(wèn)。

在典型的服務(wù)器上，許多服務(wù)可能默認運行。這些可以分為以下幾組：

• 互聯(lián)網(wǎng)上任何人都可以訪(fǎng)問(wèn)的公共服務(wù)，通常是匿名訪(fǎng)問(wèn)。這方面的一個(gè)例子是為您的實(shí)際網(wǎng)站提供服務(wù)的網(wǎng)絡(luò )服務(wù)器。
• 只能由一組選定的授權帳戶(hù)或從特定位置訪(fǎng)問(wèn)的私人服務(wù)。例如，像 phpMyAdmin 這樣的數據庫控制面板。
• 內部服務(wù)應該只能從服務(wù)器本身訪(fǎng)問(wèn)，而不會(huì )將服務(wù)暴露給公共互聯(lián)網(wǎng)。例如，一個(gè)應該只接受本地連接的數據庫。

防火墻可以確保根據上述類(lèi)別以不同程度的粒度限制對軟件的訪(fǎng)問(wèn)。公共服務(wù)可以保持開(kāi)放并可供互聯(lián)網(wǎng)使用，而私人服務(wù)可以根據不同的標準（例如連接類(lèi)型）進(jìn)行限制?？梢允箖炔糠?wù)完全無(wú)法訪(fǎng)問(wèn) Internet。對于未使用的端口，在大多數配置中訪(fǎng)問(wèn)都被完全阻止。

防火墻如何增強安全性？

即使您的服務(wù)實(shí)現了安全功能或僅限于您希望它們在其上運行的接口，防火墻也可以作為基礎保護層，在應用程序處理流量之前限制進(jìn)出您的服務(wù)的連接。

正確配置的防火墻將限制對除您需要保持打開(kāi)的特定服務(wù)之外的所有內容的訪(fǎng)問(wèn)，通常只打開(kāi)與這些服務(wù)關(guān)聯(lián)的端口。例如，SSH 一般運行在 22 端口，而通過(guò) Web 瀏覽器進(jìn)行的 HTTP/HTTPS 訪(fǎng)問(wèn)通常分別運行在 80 和 443 端口。僅公開(kāi)少量軟件可減少服務(wù)器的攻擊面，從而限制易受攻擊的組件。

如何實(shí)施防火墻

有許多適用于 Linux 系統的防火墻，有些比其他的更復雜。通常，當您更改服務(wù)器上運行的服務(wù)時(shí)，您只需要更改防火墻配置。以下是啟動(dòng)和運行的一些選項：

• UFW 或 Uncomplicated Firewall 在某些 Linux 發(fā)行版（如 Ubuntu）上默認安裝。您可以在如何在 Ubuntu 20.04 上使用 UFW 設置防火墻中了解更多信息
• 如果您使用的是 Red Hat、Rocky 或 Fedora Linux，您可以閱讀如何使用 firewalld 設置防火墻以使用它們的默認工具。
• 許多軟件防火墻，如 UFW 和 firewalld 會(huì )將它們配置的規則直接寫(xiě)入一個(gè)名為iptables.?要了解如何直接使用iptables配置，您可以查看Iptables Essentials：通用防火墻規則和命令?。請注意，其他一些自行實(shí)現端口規則的軟件（例如 Docker）也會(huì )直接寫(xiě)入，并且可能與您使用 UFW 創(chuàng )建的規則沖突，因此在這種情況下iptables了解如何讀取配置會(huì )很有幫助。iptables

確保您的防火墻配置默認為阻止未知流量。這樣，您部署的任何新服務(wù)都不會(huì )無(wú)意中暴露在 Internet 上。相反，您將必須明確允許訪(fǎng)問(wèn)，這將迫使您評估服務(wù)的運行方式、訪(fǎng)問(wèn)方式以及誰(shuí)應該能夠使用它。

專(zhuān)有網(wǎng)絡(luò )

虛擬私有云 (VPC) 網(wǎng)絡(luò )是基礎設施資源的私有網(wǎng)絡(luò )。VPC 網(wǎng)絡(luò )在資源之間提供更安全的連接，因為網(wǎng)絡(luò )的接口無(wú)法從公共互聯(lián)網(wǎng)訪(fǎng)問(wèn)。

VPC 網(wǎng)絡(luò )如何增強安全性？

一些主機商會(huì )默認為你的云服務(wù)器分配一個(gè)公網(wǎng)接口和一個(gè)私網(wǎng)接口。在部分基礎設施上禁用公共網(wǎng)絡(luò )接口將只允許這些實(shí)例通過(guò)內部網(wǎng)絡(luò )使用它們的專(zhuān)用網(wǎng)絡(luò )接口相互連接，這意味著(zhù)您的系統之間的流量將不會(huì )通過(guò)公共互聯(lián)網(wǎng)路由，而它可能是暴露或攔截。

通過(guò)有條件地僅公開(kāi)幾個(gè)專(zhuān)用互聯(lián)網(wǎng)網(wǎng)關(guān)（也稱(chēng)為入口網(wǎng)關(guān)）作為 VPC 網(wǎng)絡(luò )資源和公共互聯(lián)網(wǎng)之間的唯一訪(fǎng)問(wèn)點(diǎn)，您將對連接到您的資源的公共流量有更多的控制和可見(jiàn)性。像 Kubernetes 這樣的現代容器編排系統有一個(gè)定義非常明確的入口網(wǎng)關(guān)概念，因為它們默認創(chuàng )建了許多私有網(wǎng)絡(luò )接口，需要有選擇地公開(kāi)這些接口。

如何實(shí)施 VPC 網(wǎng)絡(luò )

許多云基礎架構提供商使您能夠在其數據中心內創(chuàng )建資源并將其添加到 VPC 網(wǎng)絡(luò )。

手動(dòng)配置您自己的專(zhuān)用網(wǎng)絡(luò )可能需要高級服務(wù)器配置和網(wǎng)絡(luò )知識。設置 VPC 網(wǎng)絡(luò )的另一種方法是在服務(wù)器之間使用 VPN 連接。

VPN 和專(zhuān)用網(wǎng)絡(luò )

VPN 或虛擬專(zhuān)用網(wǎng)絡(luò )是一種在遠程計算機之間創(chuàng )建安全連接并將連接呈現為本地專(zhuān)用網(wǎng)絡(luò )的方法。這提供了一種方法來(lái)配置您的服務(wù)，就好像它們在專(zhuān)用網(wǎng)絡(luò )上一樣，并通過(guò)安全連接連接遠程服務(wù)器。

例如，DigitalOcean 私有網(wǎng)絡(luò )可以實(shí)現同一地區內同一賬戶(hù)或團隊的服務(wù)器之間的隔離通信。

VPN 如何增強安全性？

使用 VPN 是一種繪制只有您的服務(wù)器可以看到的專(zhuān)用網(wǎng)絡(luò )的方法。通信將是完全私密和安全的。其他應用程序可以配置為通過(guò) VPN 軟件公開(kāi)的虛擬接口傳遞它們的流量。這樣，只有打算由公共互聯(lián)網(wǎng)上的客戶(hù)端使用的服務(wù)才需要在公共網(wǎng)絡(luò )上公開(kāi)。

如何實(shí)施 VPN

使用專(zhuān)用網(wǎng)絡(luò )通常需要您在首次部署服務(wù)器時(shí)就網(wǎng)絡(luò )接口做出決定，并配置您的應用程序和防火墻以?xún)?yōu)先使用這些接口。相比之下，部署 VPN 需要安裝額外的工具并創(chuàng )建額外的網(wǎng)絡(luò )路由，但通?？梢圆渴鹪诂F有架構之上。VPN 上的每個(gè)服務(wù)器都必須具有建立 VPN 連接所需的共享安全和配置數據。VPN 啟動(dòng)并運行后，應用程序必須配置為使用 VPN 隧道。

如果您使用的是 Ubuntu 或 CentOS，則可以按照如何在 Ubuntu 20.04 上設置和配置 OpenVPN 服務(wù)器?教程進(jìn)行操作。

Wireguard?是另一種流行的 VPN 部署。通常，VPN 遵循通過(guò)在幾個(gè)入口點(diǎn)后面實(shí)施一系列專(zhuān)用網(wǎng)絡(luò )接口來(lái)限制進(jìn)入云服務(wù)器的相同原則，但是 VPC 配置通常是核心基礎設施考慮因素，VPN 可以部署在更臨時(shí)的基礎上.

服務(wù)審計

良好的安全性包括分析您的系統、了解可用的攻擊面并盡可能鎖定組件。

服務(wù)審計是了解給定系統上正在運行哪些服務(wù)、它們使用哪些端口進(jìn)行通信以及這些服務(wù)正在使用哪些協(xié)議的一種方式。此信息可幫助您配置哪些服務(wù)應可公開(kāi)訪(fǎng)問(wèn)、防火墻設置、監控和警報。

服務(wù)審計如何增強安全性？

每個(gè)正在運行的服務(wù)，無(wú)論是內部服務(wù)還是公共服務(wù)，都代表了惡意用戶(hù)的擴展攻擊面。您運行的服務(wù)越多，漏洞影響您的軟件的可能性就越大。

一旦您對計算機上運行的網(wǎng)絡(luò )服務(wù)有了很好的了解，就可以開(kāi)始分析這些服務(wù)。當您執行服務(wù)審核時(shí)，請問(wèn)自己以下有關(guān)每個(gè)正在運行的服務(wù)的問(wèn)題：

• 該服務(wù)應該運行嗎？
• 服務(wù)是否在不應運行的網(wǎng)絡(luò )接口上運行？
• 該服務(wù)應該綁定到公共網(wǎng)絡(luò )接口還是專(zhuān)用網(wǎng)絡(luò )接口？
• 我的防火墻規則的結構是否可以將合法流量傳遞到此服務(wù)？
• 我的防火墻規則是否阻止了不合法的流量？
• 我是否有一種方法可以接收有關(guān)這些服務(wù)中每一項服務(wù)漏洞的安全警報？

在您的基礎架構中配置任何新服務(wù)器時(shí)，這種類(lèi)型的服務(wù)審核應該是標準做法。每隔幾個(gè)月執行一次服務(wù)審核也將幫助您發(fā)現配置可能已無(wú)意更改的任何服務(wù)。

如何實(shí)施服務(wù)審計

要審核系統上運行的網(wǎng)絡(luò )服務(wù)，請使用命令ss列出服務(wù)器上正在使用的所有 TCP 和 UDP 端口。顯示用于偵聽(tīng) TCP 和 UDP 流量的程序名稱(chēng)、PID 和地址的示例命令是：

p、l、u、n和選項的工作方式t如下：

• p顯示使用給定套接字的特定進(jìn)程。
• l僅顯示正在主動(dòng)偵聽(tīng)連接的套接字。
• u包括 UDP 套接字（除了 TCP 套接字）。
• n顯示數字流量值。
• t包括 TCP 套接字（除了 UDP 套接字）。

您將收到類(lèi)似于此的輸出：

Netid       State        Recv-Q       Send-Q             Local Address:Port             Peer Address:Port      Process
tcp         LISTEN       0            128                      0.0.0.0:22                    0.0.0.0:*         users:(("sshd",pid=812,fd=3))
tcp         LISTEN       0            511                      0.0.0.0:80                    0.0.0.0:*         users:(("nginx",pid=69226,fd=6),("nginx",pid=69225,fd=6))
tcp         LISTEN       0            128                         [::]:22                       [::]:*         users:(("sshd",pid=812,fd=4))
tcp         LISTEN       0            511                         [::]:80                       [::]:*         users:(("nginx",pid=69226,fd=7),("nginx",pid=69225,fd=7))

需要注意的主要列是 Netid、Local Address:Port 和 Process name 列。如果 Local Address:Port 是0.0.0.0，則該服務(wù)正在接受所有 IPv4 網(wǎng)絡(luò )接口上的連接。如果地址是，[::]則服務(wù)正在接受所有 IPv6 接口上的連接。在上面的示例輸出中，SSH 和 Nginx 都在 IPv4 和 IPv6 網(wǎng)絡(luò )堆棧上的所有公共接口上進(jìn)行偵聽(tīng)。

您可以決定是否要允許 SSH 和 Nginx 在兩個(gè)接口上偵聽(tīng)，或者只在一個(gè)或另一個(gè)上偵聽(tīng)。通常，您應該禁用在未使用的接口上運行的服務(wù)。

無(wú)人值守更新

為確保良好的基本安全級別，必須使用補丁程序使您的服務(wù)器保持最新?tīng)顟B(tài)。運行過(guò)時(shí)的服務(wù)器和不安全的軟件版本是大多數安全事件的罪魁禍首，但定期更新可以緩解漏洞并防止攻擊者在您的服務(wù)器上站穩腳跟。無(wú)人值守更新允許系統自動(dòng)更新大部分軟件包。

無(wú)人值守更新如何增強安全性？

實(shí)施無(wú)人值守（即自動(dòng)）更新可降低保持服務(wù)器安全所需的工作量，并縮短服務(wù)器易受已知錯誤影響的時(shí)間。如果出現影響服務(wù)器上軟件的漏洞，無(wú)論您運行更新需要多長(cháng)時(shí)間，您的服務(wù)器都將容易受到攻擊。每日無(wú)人值守升級將確保您不會(huì )遺漏任何軟件包，并且一旦修復程序可用，任何易受攻擊的軟件都會(huì )得到修補。

如何實(shí)現無(wú)人值守更新

您可以參考如何保持 Ubuntu 服務(wù)器更新，了解在 Ubuntu 上實(shí)現無(wú)人值守更新的概述。

公鑰基礎設施和 SSL/TLS 加密

公鑰基礎設施或 PKI 是指旨在創(chuàng )建、管理和驗證用于識別個(gè)人和加密通信的證書(shū)的系統。SSL 或 TLS 證書(shū)可用于相互驗證不同的實(shí)體。經(jīng)過(guò)身份驗證后，它們還可以用于建立加密通信。

PKI 如何增強安全性？

為您的服務(wù)器建立證書(shū)頒發(fā)機構 (CA) 和管理證書(shū)允許您的基礎設施中的每個(gè)實(shí)體驗證其他成員的身份并加密他們的流量。這可以防止攻擊者模仿您的基礎架構中的服務(wù)器來(lái)攔截流量的中間人攻擊。

每個(gè)服務(wù)器都可以配置為信任一個(gè)集中的證書(shū)頒發(fā)機構。之后，可以隱式信任由該機構簽署的任何證書(shū)。

如何實(shí)施 PKI

配置證書(shū)頒發(fā)機構和設置其他公鑰基礎結構可能涉及相當多的初始工作。此外，當需要創(chuàng )建、簽署或撤銷(xiāo)新證書(shū)時(shí)，管理證書(shū)會(huì )增加額外的管理負擔。

對于許多用戶(hù)來(lái)說(shuō)，實(shí)施成熟的公鑰基礎設施只有在他們的基礎設施需求增長(cháng)時(shí)才有意義。使用 VPN 保護組件之間的通信可能是一種更好的中間措施，直到您達到 PKI 值得額外管理成本的地步。

如果您想創(chuàng )建自己的證書(shū)頒發(fā)機構，可以參考如何設置和配置證書(shū)頒發(fā)機構 (CA)指南，具體取決于您使用的 Linux 發(fā)行版。

結論

本教程中概述的策略是對您可以用來(lái)提高系??統安全性的一些步驟的概述。重要的是要認識到，您等待實(shí)施安全措施的時(shí)間越長(cháng)，其有效性就會(huì )降低。安全不應該是事后才想到的，必須在您首次配置基礎設施時(shí)實(shí)施。一旦您有了一個(gè)安全的基礎，您就可以開(kāi)始部署您的服務(wù)和應用程序，并確保它們默認在安全的環(huán)境中運行。

即使有一個(gè)安全的起始環(huán)境，請記住安全是一個(gè)持續和迭代的過(guò)程。始終務(wù)必問(wèn)問(wèn)自己任何更改可能帶來(lái)的安全影響是什么，以及您可以采取哪些步驟來(lái)確保始終為您的軟件創(chuàng )建安全的默認配置和環(huán)境。