大家的 linux 服务器安全策略怎么做的？

[pc10201]

我想到一些安全措施，但还是感觉很 low 啊~

1.禁用 root ，用复杂密码
2.iptables ，另外 fail2ban
3.nginx 用 waf 策略

但是各种 0day 漏洞，各种软件漏洞等，难道自己用开源安全工具(比如 OSSIM)每天扫描？

我个人觉得阿里云的安骑士是一个不错 idea ，虽然上次出了严重的事故，可惜这个不免费了

安全狗感觉很垃圾

有免费的简单靠谱的方案吗？

[wevsty]

设置好强密码，经常 update ，足以

[ywgx]

1. 限制 root 除管控机器外的远程登录 & 全新机器只允许 RSA 可信认证登录
2. 只允许生产机器登录来源自唯一的入口跳板机 （可以多层安全措施并行保障）
3. 生产机器 22 端口 只开放在内网
4. 设置每个账号的公钥文件只读权限
5. 全线生产机器 每个技术同学的权限过期策略，全线生产机器所有 RSA 对 无感知动态更替
6. 涉及 RESTful API 服务的，调用源 IP 白名单设定好
7. 不招聘小白

你要问 如何才能方便的实施如上策略， 我安利 xabcloud.com ； 不需要投入 DevOps 开发团队，不需要花费上万成本招聘不专业的运维人员，仅仅只需要几百或者 1k 每月而已，搞定这些问题，让你的工作效率大大提高

[flexbug]

这种东西没有免费的,要么花钱招人,要么买现成的解决方案,看公司 服务器规模

[newworld]

你需要渗透测试攻城狮 来助你一臂之力 O(∩_∩)O~ 让渗透测试攻城狮帮你先找到攻击面 在想办法解决掉 /尽量减小攻击面 最后就是注意关注各种公开的 0day 一般不是有人专门时刻盯着你服务器 一般没事的 PS ： linux 服务器一个安全的 module 很重要！

[xss]

iptables INPUT -p tcp -j DROP
^o^

[40huo]

开源工具也不会有新 0day ，每天扫没用的，还是要靠及时更新。

[20150517]

什么年代了还有人把 ssh 端口放公网上?

[okudayukiko0]

SELinux 或 AppArmor

[BlueMeow]

除了上面说的，我还是买了云安全服务，毕竟出一次事故的损失就比那点费用大得多了，还可以学到一些额外的知识。