大多數(shù)時(shí)候，您的主要關(guān)注點(diǎn)是啟動(dòng)和運(yùn)行您的云應(yīng)用程序。作為您的設(shè)置和部署過(guò)程的一部分，在您的系統(tǒng)和應(yīng)用程序公開可用之前，為您的系統(tǒng)和應(yīng)用程序構(gòu)建強(qiáng)大而全面的安全措施非常重要。在部署應(yīng)用程序之前實(shí)施本教程中的安全措施將確保您在基礎(chǔ)架構(gòu)上運(yùn)行的任何軟件都具有安全的基本配置，而不是可能在部署后實(shí)施的臨時(shí)措施。

本指南重點(diǎn)介紹了您在配置和設(shè)置服務(wù)器基礎(chǔ)架構(gòu)時(shí)可以采取的一些實(shí)用安全措施。此列表并非詳盡無(wú)遺地列出了您可以采取的所有措施來(lái)保護(hù)您的服務(wù)器，但它為您提供了一個(gè)可以構(gòu)建的起點(diǎn)。隨著時(shí)間的推移，您可以開發(fā)出更加量身定制的安全方法，以滿足您的環(huán)境和應(yīng)用程序的特定需求。

SSH 密鑰

SSH，或安全外殼，是一種用于管理服務(wù)器和與服務(wù)器通信的加密協(xié)議。使用服務(wù)器時(shí)，您可能會(huì)將大部分時(shí)間花在通過(guò) SSH 連接到服務(wù)器的終端會(huì)話中。作為基于密碼登錄的替代方案，SSH 密鑰使用加密來(lái)提供一種安全的登錄服務(wù)器的方式，建議所有用戶使用。

使用 SSH 密鑰，會(huì)創(chuàng)建一對(duì)私鑰和公鑰以用于身份驗(yàn)證。私鑰由用戶保密和安全，而公鑰可以共享。這通常稱為非對(duì)稱加密，您可能會(huì)在其他地方看到這種模式。

要配置 SSH 密鑰身份驗(yàn)證，您需要將您的公共 SSH 密鑰放在服務(wù)器上的預(yù)期位置（通常是~/.ssh/authorized_keys）。要了解有關(guān)基于 SSH 密鑰的身份驗(yàn)證如何工作的更多信息，請(qǐng)閱讀了解 SSH 加密和連接過(guò)程。

SSH 密鑰如何增強(qiáng)安全性？

使用 SSH，任何類型的身份驗(yàn)證——包括密碼身份驗(yàn)證——都是完全加密的。但是，當(dāng)允許基于密碼的登錄時(shí)，惡意用戶可以反復(fù)自動(dòng)嘗試訪問(wèn)服務(wù)器，尤其是當(dāng)它具有面向公眾的 IP 地址時(shí)。盡管在從同一 IP 多次嘗試失敗后有多種方法可以鎖定訪問(wèn)權(quán)限，并且惡意用戶在實(shí)踐中會(huì)受到他們嘗試登錄您的服務(wù)器的速度的限制，但用戶可以合理地嘗試獲得訪問(wèn)權(quán)限的任何情況通過(guò)反復(fù)的暴力攻擊對(duì)您的堆棧造成安全風(fēng)險(xiǎn)。

設(shè)置 SSH 密鑰身份驗(yàn)證允許您禁用基于密碼的身份驗(yàn)證。SSH 密鑰的數(shù)據(jù)位通常比密碼多得多——您可以從 12 個(gè)字符的密碼創(chuàng)建一個(gè) 128 個(gè)字符的 SSH 密鑰散列——這使得它們更難被暴力破解。盡管如此，一些加密算法仍被認(rèn)為是可破解的，因?yàn)樗噲D在足夠強(qiáng)大的計(jì)算機(jī)上對(duì)密碼哈希進(jìn)行足夠多次的逆向工程。其他密鑰，包括由現(xiàn)代 SSH 客戶端生成的默認(rèn) RSA 密鑰，尚無(wú)法破解。

如何實(shí)現(xiàn) SSH 密鑰

SSH 密鑰是遠(yuǎn)程登錄任何 Linux 服務(wù)器環(huán)境的推薦方式。可以使用該命令在您的本地計(jì)算機(jī)上生成一對(duì) SSH 密鑰ssh，然后您可以將公鑰傳輸?shù)竭h(yuǎn)程服務(wù)器。

要在您的服務(wù)器上設(shè)置 SSH 密鑰，您可以按照如何為 Ubuntu、Debian 或 CentOS設(shè)置 SSH 密鑰進(jìn)行操作。

對(duì)于堆棧中需要密碼訪問(wèn)或容易受到暴力攻擊的任何部分，您可以在服務(wù)器上實(shí)施類似fail2ban的解決方案來(lái)限制密碼猜測(cè)。

最佳做法是不允許root用戶直接通過(guò) SSH 登錄。相反，以非特權(quán)用戶身份登錄，然后根據(jù)需要使用sudo.?這種限制權(quán)限的方法被稱為最小權(quán)限原則。一旦你連接到你的服務(wù)器并創(chuàng)建了一個(gè)你已經(jīng)驗(yàn)證可以使用 SSH 的非特權(quán)帳戶，你可以通過(guò)在你的服務(wù)器上設(shè)置指令來(lái)禁用root登錄，然后使用類似命令重新啟動(dòng)服務(wù)器的 SSH 進(jìn)程。PermitRootLogin no/etc/ssh/sshd_configsudo systemctl restart sshd

防火墻

防火墻是一種軟件或硬件設(shè)備，用于控制服務(wù)如何暴露于網(wǎng)絡(luò)，以及允許哪些類型的流量進(jìn)出給定服務(wù)器。正確配置的防火墻將確保只有應(yīng)該公開可用的服務(wù)才能從您的服務(wù)器或網(wǎng)絡(luò)外部訪問(wèn)。

在典型的服務(wù)器上，許多服務(wù)可能默認(rèn)運(yùn)行。這些可以分為以下幾組：

• 互聯(lián)網(wǎng)上任何人都可以訪問(wèn)的公共服務(wù)，通常是匿名訪問(wèn)。這方面的一個(gè)例子是為您的實(shí)際網(wǎng)站提供服務(wù)的網(wǎng)絡(luò)服務(wù)器。
• 只能由一組選定的授權(quán)帳戶或從特定位置訪問(wèn)的私人服務(wù)。例如，像 phpMyAdmin 這樣的數(shù)據(jù)庫(kù)控制面板。
• 內(nèi)部服務(wù)應(yīng)該只能從服務(wù)器本身訪問(wèn)，而不會(huì)將服務(wù)暴露給公共互聯(lián)網(wǎng)。例如，一個(gè)應(yīng)該只接受本地連接的數(shù)據(jù)庫(kù)。

防火墻可以確保根據(jù)上述類別以不同程度的粒度限制對(duì)軟件的訪問(wèn)。公共服務(wù)可以保持開放并可供互聯(lián)網(wǎng)使用，而私人服務(wù)可以根據(jù)不同的標(biāo)準(zhǔn)（例如連接類型）進(jìn)行限制。可以使內(nèi)部服務(wù)完全無(wú)法訪問(wèn) Internet。對(duì)于未使用的端口，在大多數(shù)配置中訪問(wèn)都被完全阻止。

防火墻如何增強(qiáng)安全性？

即使您的服務(wù)實(shí)現(xiàn)了安全功能或僅限于您希望它們?cè)谄渖线\(yùn)行的接口，防火墻也可以作為基礎(chǔ)保護(hù)層，在應(yīng)用程序處理流量之前限制進(jìn)出您的服務(wù)的連接。

正確配置的防火墻將限制對(duì)除您需要保持打開的特定服務(wù)之外的所有內(nèi)容的訪問(wèn)，通常只打開與這些服務(wù)關(guān)聯(lián)的端口。例如，SSH 一般運(yùn)行在 22 端口，而通過(guò) Web 瀏覽器進(jìn)行的 HTTP/HTTPS 訪問(wèn)通常分別運(yùn)行在 80 和 443 端口。僅公開少量軟件可減少服務(wù)器的攻擊面，從而限制易受攻擊的組件。

如何實(shí)施防火墻

有許多適用于 Linux 系統(tǒng)的防火墻，有些比其他的更復(fù)雜。通常，當(dāng)您更改服務(wù)器上運(yùn)行的服務(wù)時(shí)，您只需要更改防火墻配置。以下是啟動(dòng)和運(yùn)行的一些選項(xiàng)：

• UFW 或 Uncomplicated Firewall 在某些 Linux 發(fā)行版（如 Ubuntu）上默認(rèn)安裝。您可以在如何在 Ubuntu 20.04 上使用 UFW 設(shè)置防火墻中了解更多信息
• 如果您使用的是 Red Hat、Rocky 或 Fedora Linux，您可以閱讀如何使用 firewalld 設(shè)置防火墻以使用它們的默認(rèn)工具。
• 許多軟件防火墻，如 UFW 和 firewalld 會(huì)將它們配置的規(guī)則直接寫入一個(gè)名為iptables.?要了解如何直接使用iptables配置，您可以查看Iptables Essentials：通用防火墻規(guī)則和命令?。請(qǐng)注意，其他一些自行實(shí)現(xiàn)端口規(guī)則的軟件（例如 Docker）也會(huì)直接寫入，并且可能與您使用 UFW 創(chuàng)建的規(guī)則沖突，因此在這種情況下iptables了解如何讀取配置會(huì)很有幫助。iptables

確保您的防火墻配置默認(rèn)為阻止未知流量。這樣，您部署的任何新服務(wù)都不會(huì)無(wú)意中暴露在 Internet 上。相反，您將必須明確允許訪問(wèn)，這將迫使您評(píng)估服務(wù)的運(yùn)行方式、訪問(wèn)方式以及誰(shuí)應(yīng)該能夠使用它。

專有網(wǎng)絡(luò)

虛擬私有云 (VPC) 網(wǎng)絡(luò)是基礎(chǔ)設(shè)施資源的私有網(wǎng)絡(luò)。VPC 網(wǎng)絡(luò)在資源之間提供更安全的連接，因?yàn)榫W(wǎng)絡(luò)的接口無(wú)法從公共互聯(lián)網(wǎng)訪問(wèn)。

VPC 網(wǎng)絡(luò)如何增強(qiáng)安全性？

一些主機(jī)商會(huì)默認(rèn)為你的云服務(wù)器分配一個(gè)公網(wǎng)接口和一個(gè)私網(wǎng)接口。在部分基礎(chǔ)設(shè)施上禁用公共網(wǎng)絡(luò)接口將只允許這些實(shí)例通過(guò)內(nèi)部網(wǎng)絡(luò)使用它們的專用網(wǎng)絡(luò)接口相互連接，這意味著您的系統(tǒng)之間的流量將不會(huì)通過(guò)公共互聯(lián)網(wǎng)路由，而它可能是暴露或攔截。

通過(guò)有條件地僅公開幾個(gè)專用互聯(lián)網(wǎng)網(wǎng)關(guān)（也稱為入口網(wǎng)關(guān)）作為 VPC 網(wǎng)絡(luò)資源和公共互聯(lián)網(wǎng)之間的唯一訪問(wèn)點(diǎn)，您將對(duì)連接到您的資源的公共流量有更多的控制和可見性。像 Kubernetes 這樣的現(xiàn)代容器編排系統(tǒng)有一個(gè)定義非常明確的入口網(wǎng)關(guān)概念，因?yàn)樗鼈兡J(rèn)創(chuàng)建了許多私有網(wǎng)絡(luò)接口，需要有選擇地公開這些接口。

如何實(shí)施 VPC 網(wǎng)絡(luò)

許多云基礎(chǔ)架構(gòu)提供商使您能夠在其數(shù)據(jù)中心內(nèi)創(chuàng)建資源并將其添加到 VPC 網(wǎng)絡(luò)。

手動(dòng)配置您自己的專用網(wǎng)絡(luò)可能需要高級(jí)服務(wù)器配置和網(wǎng)絡(luò)知識(shí)。設(shè)置 VPC 網(wǎng)絡(luò)的另一種方法是在服務(wù)器之間使用 VPN 連接。

VPN 和專用網(wǎng)絡(luò)

VPN 或虛擬專用網(wǎng)絡(luò)是一種在遠(yuǎn)程計(jì)算機(jī)之間創(chuàng)建安全連接并將連接呈現(xiàn)為本地專用網(wǎng)絡(luò)的方法。這提供了一種方法來(lái)配置您的服務(wù)，就好像它們?cè)趯Ｓ镁W(wǎng)絡(luò)上一樣，并通過(guò)安全連接連接遠(yuǎn)程服務(wù)器。

例如，DigitalOcean 私有網(wǎng)絡(luò)可以實(shí)現(xiàn)同一地區(qū)內(nèi)同一賬戶或團(tuán)隊(duì)的服務(wù)器之間的隔離通信。

VPN 如何增強(qiáng)安全性？

使用 VPN 是一種繪制只有您的服務(wù)器可以看到的專用網(wǎng)絡(luò)的方法。通信將是完全私密和安全的。其他應(yīng)用程序可以配置為通過(guò) VPN 軟件公開的虛擬接口傳遞它們的流量。這樣，只有打算由公共互聯(lián)網(wǎng)上的客戶端使用的服務(wù)才需要在公共網(wǎng)絡(luò)上公開。

如何實(shí)施 VPN

使用專用網(wǎng)絡(luò)通常需要您在首次部署服務(wù)器時(shí)就網(wǎng)絡(luò)接口做出決定，并配置您的應(yīng)用程序和防火墻以優(yōu)先使用這些接口。相比之下，部署 VPN 需要安裝額外的工具并創(chuàng)建額外的網(wǎng)絡(luò)路由，但通常可以部署在現(xiàn)有架構(gòu)之上。VPN 上的每個(gè)服務(wù)器都必須具有建立 VPN 連接所需的共享安全和配置數(shù)據(jù)。VPN 啟動(dòng)并運(yùn)行后，應(yīng)用程序必須配置為使用 VPN 隧道。

如果您使用的是 Ubuntu 或 CentOS，則可以按照如何在 Ubuntu 20.04 上設(shè)置和配置 OpenVPN 服務(wù)器?教程進(jìn)行操作。

Wireguard?是另一種流行的 VPN 部署。通常，VPN 遵循通過(guò)在幾個(gè)入口點(diǎn)后面實(shí)施一系列專用網(wǎng)絡(luò)接口來(lái)限制進(jìn)入云服務(wù)器的相同原則，但是 VPC 配置通常是核心基礎(chǔ)設(shè)施考慮因素，VPN 可以部署在更臨時(shí)的基礎(chǔ)上.

服務(wù)審計(jì)

良好的安全性包括分析您的系統(tǒng)、了解可用的攻擊面并盡可能鎖定組件。

服務(wù)審計(jì)是了解給定系統(tǒng)上正在運(yùn)行哪些服務(wù)、它們使用哪些端口進(jìn)行通信以及這些服務(wù)正在使用哪些協(xié)議的一種方式。此信息可幫助您配置哪些服務(wù)應(yīng)可公開訪問(wèn)、防火墻設(shè)置、監(jiān)控和警報(bào)。

服務(wù)審計(jì)如何增強(qiáng)安全性？

每個(gè)正在運(yùn)行的服務(wù)，無(wú)論是內(nèi)部服務(wù)還是公共服務(wù)，都代表了惡意用戶的擴(kuò)展攻擊面。您運(yùn)行的服務(wù)越多，漏洞影響您的軟件的可能性就越大。

一旦您對(duì)計(jì)算機(jī)上運(yùn)行的網(wǎng)絡(luò)服務(wù)有了很好的了解，就可以開始分析這些服務(wù)。當(dāng)您執(zhí)行服務(wù)審核時(shí)，請(qǐng)問(wèn)自己以下有關(guān)每個(gè)正在運(yùn)行的服務(wù)的問(wèn)題：

• 該服務(wù)應(yīng)該運(yùn)行嗎？
• 服務(wù)是否在不應(yīng)運(yùn)行的網(wǎng)絡(luò)接口上運(yùn)行？
• 該服務(wù)應(yīng)該綁定到公共網(wǎng)絡(luò)接口還是專用網(wǎng)絡(luò)接口？
• 我的防火墻規(guī)則的結(jié)構(gòu)是否可以將合法流量傳遞到此服務(wù)？
• 我的防火墻規(guī)則是否阻止了不合法的流量？
• 我是否有一種方法可以接收有關(guān)這些服務(wù)中每一項(xiàng)服務(wù)漏洞的安全警報(bào)？

在您的基礎(chǔ)架構(gòu)中配置任何新服務(wù)器時(shí)，這種類型的服務(wù)審核應(yīng)該是標(biāo)準(zhǔn)做法。每隔幾個(gè)月執(zhí)行一次服務(wù)審核也將幫助您發(fā)現(xiàn)配置可能已無(wú)意更改的任何服務(wù)。

如何實(shí)施服務(wù)審計(jì)

要審核系統(tǒng)上運(yùn)行的網(wǎng)絡(luò)服務(wù)，請(qǐng)使用命令ss列出服務(wù)器上正在使用的所有 TCP 和 UDP 端口。顯示用于偵聽 TCP 和 UDP 流量的程序名稱、PID 和地址的示例命令是：

p、l、u、n和選項(xiàng)的工作方式t如下：

• p顯示使用給定套接字的特定進(jìn)程。
• l僅顯示正在主動(dòng)偵聽連接的套接字。
• u包括 UDP 套接字（除了 TCP 套接字）。
• n顯示數(shù)字流量值。
• t包括 TCP 套接字（除了 UDP 套接字）。

您將收到類似于此的輸出：

Netid       State        Recv-Q       Send-Q             Local Address:Port             Peer Address:Port      Process
tcp         LISTEN       0            128                      0.0.0.0:22                    0.0.0.0:*         users:(("sshd",pid=812,fd=3))
tcp         LISTEN       0            511                      0.0.0.0:80                    0.0.0.0:*         users:(("nginx",pid=69226,fd=6),("nginx",pid=69225,fd=6))
tcp         LISTEN       0            128                         [::]:22                       [::]:*         users:(("sshd",pid=812,fd=4))
tcp         LISTEN       0            511                         [::]:80                       [::]:*         users:(("nginx",pid=69226,fd=7),("nginx",pid=69225,fd=7))

需要注意的主要列是 Netid、Local Address:Port 和 Process name 列。如果 Local Address:Port 是0.0.0.0，則該服務(wù)正在接受所有 IPv4 網(wǎng)絡(luò)接口上的連接。如果地址是，[::]則服務(wù)正在接受所有 IPv6 接口上的連接。在上面的示例輸出中，SSH 和 Nginx 都在 IPv4 和 IPv6 網(wǎng)絡(luò)堆棧上的所有公共接口上進(jìn)行偵聽。

您可以決定是否要允許 SSH 和 Nginx 在兩個(gè)接口上偵聽，或者只在一個(gè)或另一個(gè)上偵聽。通常，您應(yīng)該禁用在未使用的接口上運(yùn)行的服務(wù)。

無(wú)人值守更新

為確保良好的基本安全級(jí)別，必須使用補(bǔ)丁程序使您的服務(wù)器保持最新狀態(tài)。運(yùn)行過(guò)時(shí)的服務(wù)器和不安全的軟件版本是大多數(shù)安全事件的罪魁禍?zhǔn)祝ㄆ诟驴梢跃徑饴┒床⒎乐构粽咴谀姆?wù)器上站穩(wěn)腳跟。無(wú)人值守更新允許系統(tǒng)自動(dòng)更新大部分軟件包。

無(wú)人值守更新如何增強(qiáng)安全性？

實(shí)施無(wú)人值守（即自動(dòng)）更新可降低保持服務(wù)器安全所需的工作量，并縮短服務(wù)器易受已知錯(cuò)誤影響的時(shí)間。如果出現(xiàn)影響服務(wù)器上軟件的漏洞，無(wú)論您運(yùn)行更新需要多長(zhǎng)時(shí)間，您的服務(wù)器都將容易受到攻擊。每日無(wú)人值守升級(jí)將確保您不會(huì)遺漏任何軟件包，并且一旦修復(fù)程序可用，任何易受攻擊的軟件都會(huì)得到修補(bǔ)。

如何實(shí)現(xiàn)無(wú)人值守更新

您可以參考如何保持 Ubuntu 服務(wù)器更新，了解在 Ubuntu 上實(shí)現(xiàn)無(wú)人值守更新的概述。

公鑰基礎(chǔ)設(shè)施和 SSL/TLS 加密

公鑰基礎(chǔ)設(shè)施或 PKI 是指旨在創(chuàng)建、管理和驗(yàn)證用于識(shí)別個(gè)人和加密通信的證書的系統(tǒng)。SSL 或 TLS 證書可用于相互驗(yàn)證不同的實(shí)體。經(jīng)過(guò)身份驗(yàn)證后，它們還可以用于建立加密通信。

PKI 如何增強(qiáng)安全性？

為您的服務(wù)器建立證書頒發(fā)機(jī)構(gòu) (CA) 和管理證書允許您的基礎(chǔ)設(shè)施中的每個(gè)實(shí)體驗(yàn)證其他成員的身份并加密他們的流量。這可以防止攻擊者模仿您的基礎(chǔ)架構(gòu)中的服務(wù)器來(lái)攔截流量的中間人攻擊。

每個(gè)服務(wù)器都可以配置為信任一個(gè)集中的證書頒發(fā)機(jī)構(gòu)。之后，可以隱式信任由該機(jī)構(gòu)簽署的任何證書。

如何實(shí)施 PKI

配置證書頒發(fā)機(jī)構(gòu)和設(shè)置其他公鑰基礎(chǔ)結(jié)構(gòu)可能涉及相當(dāng)多的初始工作。此外，當(dāng)需要?jiǎng)?chuàng)建、簽署或撤銷新證書時(shí)，管理證書會(huì)增加額外的管理負(fù)擔(dān)。

對(duì)于許多用戶來(lái)說(shuō)，實(shí)施成熟的公鑰基礎(chǔ)設(shè)施只有在他們的基礎(chǔ)設(shè)施需求增長(zhǎng)時(shí)才有意義。使用 VPN 保護(hù)組件之間的通信可能是一種更好的中間措施，直到您達(dá)到 PKI 值得額外管理成本的地步。

如果您想創(chuàng)建自己的證書頒發(fā)機(jī)構(gòu)，可以參考如何設(shè)置和配置證書頒發(fā)機(jī)構(gòu) (CA)指南，具體取決于您使用的 Linux 發(fā)行版。

結(jié)論

本教程中概述的策略是對(duì)您可以用來(lái)提高系??統(tǒng)安全性的一些步驟的概述。重要的是要認(rèn)識(shí)到，您等待實(shí)施安全措施的時(shí)間越長(zhǎng)，其有效性就會(huì)降低。安全不應(yīng)該是事后才想到的，必須在您首次配置基礎(chǔ)設(shè)施時(shí)實(shí)施。一旦您有了一個(gè)安全的基礎(chǔ)，您就可以開始部署您的服務(wù)和應(yīng)用程序，并確保它們默認(rèn)在安全的環(huán)境中運(yùn)行。

即使有一個(gè)安全的起始環(huán)境，請(qǐng)記住安全是一個(gè)持續(xù)和迭代的過(guò)程。始終務(wù)必問(wèn)問(wèn)自己任何更改可能帶來(lái)的安全影響是什么，以及您可以采取哪些步驟來(lái)確保始終為您的軟件創(chuàng)建安全的默認(rèn)配置和環(huán)境。