安全会议总结

TIMEOUT  BIOS密码 启动密码 变更管理 VPN 退出 ssh端口 时间同步  DB主从 限制运维窗口时间 主机基线 运维通道  运维标准 

TOMCAT JAVA /opt 目录下 数据 /data下 /logs 日志 

CSDN 脱库

1、严格密码和账号控制
keepass 管理密码
ldap管理账户
账户注释掉 系统账号 、LOG账号、运维账号、DBA账号 、高级账号 root 不允许 ssh

不接触服务器拿 A B 两个最高权限的人 B角CTO A角 运维总监
ACL sudo 文件权限 命令权限清单

2、日志收集
抽检、 巡检 、 日志分析平台

3、服务器内部防范机制
理论知识问题：
立体型安全防护体系 纵深防御+ 主动防御
已知漏洞 未知漏洞 黑客漏洞 未来漏洞
提前防御
拓扑架构安全
　　1、主要应用服务器不要直接连接互联网 公网IP X ,SLB 防火墙 NAT模式 java php python tomcat 非常多的漏洞
　　2、WEB服务器和应用服务器 部署在不同服务器上 数据库单独 内核参数不同，云主机并发能力弱 Mysql自己部署配置 可实现多云容灾 建议使用mariadb 安全性能 数据加密性能 Mysql停止更新和优化
　　3、管理后台 操作系统的登录 要实现隔离和剥离 【管理后台单独剥离 内网】 维护管理线路和访问线路分开 多运营商链路 进行抢修和维护 ，拉光纤或者使用OPENVPN 认证机制
　　4、高级别权限 安全性
　　5、账户分类 分组限制
　　6、互联网正常访问限制 POST GET ,WEB服务器进行限制 LVS NGINX 进行CC和DDOS防范攻击 请求头分析判断 正则匹配
网络安全
外网安全 内网安全 交换机安全
　　外网安全: 1、外网设备 越少越好 ，VPN【冗余2台】 NGINX WAF【绕过WAF】 DDOS 2、内网对外网 SNAT DNAT 请求API地址 配置域名和端口号 进行开放 预防出去访问其他机器 尽量避免服务器内部交互  3、连接外网服务器 日志定期巡检， 收集分析

　　内网安全 1、内网防火墙 细致、  IP到端口 2、默认策略 设置为拒绝 3、尽量不随便关闭防火墙 4、 对防火墙进行实时监控 

　　交换机安全 1、禁止WEB访问 2、 禁止telnet 3、最好使用证书方式登录 4、分组分权限

操作系统

Linux安全 Windows安全

　　1、 安装最小化裁剪 源码编译安装 删除无用RPM包 贫瘠

　　2、 最少的自启动服务 network sshd iptables rsyslog

　　3、 OPENSSH 手册，SSH安全加固 ，允许登录账户 禁止登陆账户 重试次数 建议使用公钥私钥并添加密码  开发不允许账户密码写入代码  

　　4、 手工分配UID GID，

　　5、 禁止异地和本地密码登录 证书登录  

　　6、 禁止su 缩小重要文件权限 /var/log只允许添加, ？/etc/passwd 400 锁住

　　7、 禁用VI 使用sed修改文件

　　8、 严格配置中iptables规则

　　9、 rm 700 sudo中写禁止目录写全

　　10、  敏感账户登录AB角 告警

Windows告警

　　1、 安装最小化系统

　　2、 删除无需应用 画图 计算

　　3、 定期手工补丁升级

　　4、 用户口令策略加固

　　5、 降权administrator

　　6、 调整本地安全策略 用户权限策略 自带防火墙

应用环境 数据库安全

      数据库安全 数据库服务器安全

　　1、 严格设置防火墙策略

　　2、 系统和数据库参数优化

　　3、 限制本地系统账号登录数据库 XXX登录Linux进行登录 直接VPN远程

　　4、 应用程序安装后进行严格加固 /usr/bin/mysql/mysql_secure_install

　　5、 Mysql –e 尽量不进行使用 执行SQL语句 备份仅需要privilege权限

　　6、 避免使用 all privilege权限 一个生产系统配置一个库

　　7、 对于账号 定位来源IP 避免使用%，权限区分 更改账号密码