1分钟安全科普 | 系统运维安全

在信息爆炸的时代，网络安全从来不是技术人员的专属课题，而是每个人必须掌握的生存技能。当黑客利用人性弱点编织陷阱，当数据泄露事件频发敲响警钟，我们比任何时候都更需要建立 “主动防御” 的安全意识。为此，安在特别推出“1分钟安全意识讲堂”，用1分钟识破钓鱼链接的破绽，花60秒学会密码设置的黄金法则，让你在通勤路上、午休间隙，就能轻松 get 保护自己的 “数字盔甲”。

本期主题：系统运维安全

现实中的业务、运维、安全的关系是互相关联、彼此依赖的。即运维安全=业务+运维+安全。

系统运维安全意识包括：

关闭对外开放的敏感端口

db或者cache属于敏感应用，通常部署在内网，但是如果部署的机器有内外网ip，且默认监听地址为0.0.0.0的话，则敏感端口会对外开放。如MySQL/MongoDB/Redis/rsync/docker daemon api 等端口对外开放。应予以关闭。

默认监听内网或者本地。

如需监听全部外网，iptables、password和ac1能加都加上。

敏感应用认证、修改空口令或者弱口令

修改敏感应用默认配置，

MlySQL/MongoDB/Redis/rsync/supervisord rpc/Memcache等。不能贪图测试方便，配置弱口令或空口令。

避免敏感信息泄露，如代码备份、版本跟踪信息、认证信息泄露

web.tar.gz/backup.bak/.svn/.git/config.inc.php /test.sq1等信息泄露随处可见，人人知道危险但是始终时不时会有人会踩坑，应加强防范。

关闭应用系统debug模式

Django debug模式开启暴露uri路径，phpinfo()暴露服务器信息甚至webroot等，之后攻击者便可借此进步渗透，很多白帽子应当有此同感，发现了sq1注入但是写不了webshe11，如果能遇上个phpinfo()那是再好不过的事情了。所以应关闭应用系统debug模式。

及时升级应用漏洞

越是通用的应用，就越经常爆出漏洞。有句话说得好：不是因为黑客这个世界才不安全，而是因为不安全才会有了黑客，黑客去揭开那层假象，我们才发现有那么多不安全。于是struts2、0penSSL、Apache、Nginx、Flash等等CVE接踵而来。及时升级应用漏洞非常重要。

加强权限管理

遵循最小权限原则，尽量避免给开发提供root权限或者给业务账号授权admin权限。

采用puppet、ansib1e或者saltstack等集群管理工具统一管理操作系统权限。

遇到临时需要高级权限时手工后添加定时回收，量大时采用自动化方式配置。

关注【安在新媒体】联系我们，免费获取本期全部讲义

获取完整意识课程，加入诸子云，关注【知识星球】

安在意识服务