如何提升centos中dolphin安全性
小樊
36
2025-11-16 03:08:52
提升 CentOS 中 Dolphin 的安全性
一 基线加固
- 保持系统与软件包为最新：执行 sudo yum update 或 sudo dnf update，及时修补漏洞。
- 启用并持久化 firewalld：启动并设置开机自启（如 sudo systemctl start firewalld && sudo systemctl enable firewalld），仅放行必要端口与服务。
- 强化 SSH：禁止 root 远程登录（设置 PermitRootLogin no）、优先使用 SSH 密钥认证、可修改默认端口并限制登录尝试次数（如 MaxAuthTries），修改后重启 sshd。
- 启用 SELinux：设置为 enforcing（如 setenforce 1 并在 /etc/selinux/config 中配置），必要时进行策略调优。
- 最小化服务与端口：关闭不需要的服务与端口，减少攻击面。
- 强密码策略与账户安全：为所有账户设置强密码并定期更换；必要时限制可登录的 IP 段。
- 监控与日志：使用 journalctl 与 /var/log/secure、/var/log/messages 进行审计；部署 fail2ban 缓解暴力破解；定期备份关键数据与配置。
二 网络与防火墙
- 只开放 Dolphin 所需端口（示例为 80/443）：
- 开放端口：sudo firewall-cmd --permanent --zone=public --add-port=80/tcp 与 sudo firewall-cmd --permanent --zone=public --add-port=443/tcp
- 使配置生效：sudo firewall-cmd --reload
- 仅允许受信任来源访问管理口或敏感端口（示例仅放行 192.168.1.100）：
- sudo firewall-cmd --permanent --zone=public --add-rich-rule=‘rule family=“ipv4” source address=“192.168.1.100” accept’
- 按需放行 IPv6 端口（示例 80/tcp）：sudo firewall-cmd --permanent --zone=public --add-port=80/tcp --proto=ipv6
- 常用运维命令：查看状态 sudo firewall-cmd --state；列出规则 sudo firewall-cmd --list-all；移除端口 sudo firewall-cmd --permanent --zone=public --remove-port=80/tcp 后 reload。
三 身份与访问控制
- 账户与权限最小化：创建专用运行账号（如 dolphin），禁止共享账号；使用 sudo 授权，避免直接以 root 运行服务。
- 文件与目录权限：对配置、数据与日志目录设置严格权限（如 750/640），仅属主与属组可访问。
- 精细访问控制：对需要跨用户/跨组访问的场景使用 ACL（如 setfacl -m u:alice:r-x /opt/dolphin；getfacl 查看）。
- 远程管理安全：通过 SSH 密钥登录跳板机或管理终端，再切换至业务账号；必要时限制 SSH 可登录 IP 段。
四 服务与应用层安全
- 启用 HTTPS/TLS：为 Dolphin 对外访问配置有效证书（如 Let’s Encrypt），禁用明文 HTTP；仅启用必要模块与功能。
- 安全配置与更新：遵循最小功能原则，及时更新 Dolphin 及其依赖组件；移除示例文件与默认账户。
- 入侵防护与恶意代码检测：部署 fail2ban 监控失败登录；按需使用 clamav、rkhunter、chkrootkit 进行恶意软件与后门扫描。
- 完整性校验与审计：使用 AIDE 或 Tripwire 做文件完整性基线；启用 auditd 记录关键操作审计日志。
五 运维与持续监控
- 日志集中与告警：统一收集 /var/log/ 与安全相关日志，关注异常登录、权限变更与端口扫描；使用 journalctl -u dolphin 跟踪服务日志。
- 定期安全评估：使用 lynis 执行系统安全基线扫描并整改薄弱项；对防火墙、SSH、SELinux、用户权限进行周期性复核。
- 变更与备份：变更前备份配置与数据；采用 rsync/tar 等工具定期备份，并验证可恢复性；保留应急账号与回滚方案。
