随笔分类 - 安全性能
摘要：目前linux终端回放工具常见的就是asciinema和script了, 这两种工具都有那种类似于视频回放的效果。虽然这样做的代价是录制过程中需要占用一定的cpu资源以及录制后可能会因为视频文件太大而不太好在网络之间传送与分享从而交换信息，(或许这类工具的创造初衷并不一定就是要将所有的东西都录进去)
阅读全文
摘要：相信很多运维工程师遇到过这样一个情形: 用户反馈网站访问巨慢, 网络延迟等问题, 然后就迫切地登录服务器,终端输入命令"netstat -anp | grep TIME_WAIT | wc -l " 查看一下, 接着发现有几百几千甚至几万个TIME_WAIT 连接数. 顿时慌了~ 下面简单解释下什么
阅读全文
摘要：随着linux使用的普遍，对于linux用户以及系统的安全要求越来越高，而用户密码复杂程度是系统安全性高低的首要体现。因此如何对linux下用户的密码进行规则限制，以保证用户必须使用复杂的密码，杜绝用户随意使用简单的密码，从而提高用户的安全性和系统的安全性。下面以Centos7系统为例，出于安全考虑
阅读全文
摘要：近期对IDC机房服务器做了一次安全漏洞扫描，漏扫结果显示服务器的OpenSSH版本太低（CentOS6默认是OpenSSH_5.3p1），存在漏洞隐患，安全部门建议升级到OpenSSH_7.6p1。升级OpenSSH的操作并不复杂，但由于是线上环境，故需要谨慎操作。特别需要注意的是：如果是通过ssh
阅读全文
摘要：CAP理论被很多人拿来作为分布式系统设计的金律，然而感觉大家对CAP这三个属性的认识却存在不少误区，那么什么是CAP理论呢？CAP原本是一个猜想，2000年PODC大会的时候大牛Brewer提出的，他认为在设计一个大规模可扩放的网络服务时候会遇到三个特性：一致性（consistency）、可用性（A
阅读全文
摘要：1）实时监控网卡流量的通用脚本： 2）监控磁盘的监控脚本
阅读全文
摘要：在Linux中执行有些程序时，这些程序在执行前首先要对启动它的用户进行认证，符合一定的要求之后才允许执行，例如login, su等。在Linux中进行身份或是状态的验证程序是由PAM来进行的，PAM（Pluggable Authentication Modules）可动态加载验证模块，因为可以按需要
阅读全文
摘要：1）禁止系统响应任何从外部/内部来的ping请求攻击者一般首先通过ping命令检测此主机或者IP是否处于活动状态如果能够ping通 某个主机或者IP，那么攻击者就认为此系统处于活动状态，继而进行攻击或破坏。如果没有人能ping通机器并收到响应，那么就可以大大增强服务器的安全性，linux下可以执行如
阅读全文
摘要：作为一名资深的linux运维工程师，为方便了解和追求服务器的高性能，如cpu、内存、io、网络等等使用情况，要求运维工程师必须要熟练运用一些必要的系统性能调试工具，liunx下提供了众多命令方便查看各种资源的使用情况。经常用的有ps、top、free、mpstat、iostat、vmstat、net
阅读全文
摘要：之前在公司服务器上部署了sftp，用于上传业务系统的附件。后来由于程序连接问题，使的sftp连接数过多（最多时高达400多个sftp连接数），因为急需要对sftp的连接数做严格限制。操作记录如下： iptables利用connlimit模块限制同一IP连接数 使用sftp或ftp协议上传文件,上传文
阅读全文
摘要：通常，我们运维管理人员需要知道一台服务器上有哪些用户登录过，在服务器上执行了哪些命令，干了哪些事情，这就要求记录服务器上所用登录用户的操作信息，这对于安全维护来说很有必要。废话不多说了，下面直接记录做法： 过一段时间，root操作记录也会有 还有一种方案：这个方案会在每个用户退出登录 时把用户所执行
阅读全文
摘要：1）如何查看某个服务进程所占本机物理内存及百分比情况？可以使用Linux命令行查看，也可以使用脚本实现。如下以查看本机kube-nginx服务进程为例： 2）使用Linux命令行直接某个进程的CPU百分比和内存百分比 Linux下查看哪些进程占用的CPU和内存资源最多的方法 3）Linux下查看某些
阅读全文
摘要：DDOS的全称是Distributed Denial of Service，即"分布式拒绝服务攻击"，是指击者利用大量“肉鸡”对攻击目标发动大量的正常或非正常请求、耗尽目标主机资源或网络资源，从而使被攻击的主机不能为合法用户提供服务。 DDOS攻击的本质是：利用木桶原理，寻找利用系统应用的瓶颈；阻塞
阅读全文
摘要：在平时的运维工作中，当一台服务器的性能出现问题时，通常会去看当前的CPU使用情况，尤其是看下CPU的负载情况(load average)。对一般的系统来说，根据cpu数量去判断。比如有2颗cup的机器。如果平均负载始终在1.2以下，那么基本不会出现cpu不够用的情况。也就是Load平均要小于Cpu的
阅读全文
摘要：以下是在/etc/sysctl.conf文件中配置的几个重要内核参数，这几个参数的设置关系到系统性能： net.ipv4.tcp_syncookies#此参数应该设置为1，防止SYN Flood。处在SYN_RECV的TCP连接称为半连接，存储在SYN队列。大量SYN_RECV会导致队列溢出，后续请
阅读全文
摘要：Tmux是一个优秀的终端复用软件，类似GNU Screen，但来自于OpenBSD，采用BSD授权。使用它最直观的好处就是，通过一个终端登录远程主机并运行tmux后，在其中可以开启多个控制台而无需再“浪费”多余的终端来连接这台远程主机。是BSD实现的Screen替代品，相对于Screen，它更加先进
阅读全文
摘要：在日常运维工作中，对加固服务器的安全设置是一个机器重要的环境。比较推荐的做法是：1）严格限制ssh登陆（参考：Linux系统下的ssh使用(依据个人经验总结)）： 修改ssh默认监听端口 禁用root登陆，单独设置用于ssh登陆的账号或组； 禁用密码登陆，采用证书登陆； ListenAddress绑
阅读全文
摘要：接触linux系统运维已经好几年了，常常被问到linux系统启动流程问题，刚好今天有空来梳理下这个过程：一般来说，所有的操作系统的启动流程基本就是： 总的来说，linux系统启动流程可以简单总结为以下几步：1）开机BIOS自检，加载硬盘。2）读取MBR,进行MBR引导。3）grub引导菜单(Boot
阅读全文
摘要：在我们运维工作中，会经常要求一些用户不允许登陆系统，以加固系统安全。今天这里介绍下锁定账号登陆的几种方法： 一、最常用方式，修改用户的shell类型为/sbin/nologin （推荐使用）这种方式会更加人性化一点，因为不仅可以禁止用户登录，还可以在禁用登陆时给提示告诉它这么做的原因。修改/etc/
阅读全文
摘要：一、缓存机制介绍 在Linux系统中，为了提高文件系统性能，内核利用一部分物理内存分配出缓冲区，用于缓存系统操作和数据文件，当内核收到读写的请求时，内核先去缓存区找是否有请求的数据，有就直接返回，如果没有则通过驱动程序直接操作磁盘。缓存机制优点：减少系统调用次数，降低CPU上下文切换和磁盘访问频率。
阅读全文