Debian Hadoop 安全漏洞防范清单
一 基础系统与供应链安全
- 保持系统与组件持续更新：在 Debian 上定期执行 apt update && apt upgrade，及时修补内核与关键依赖（如 glibc、openssl、OpenJDK）的高危漏洞；禁止使用已停止维护的系统版本。
- 严格镜像与软件来源：仅使用官方或可信镜像源，启用 GPG 包签名校验，避免引入后门或篡改包。
- 最小化暴露面：通过 iptables/安全组 实施“默认拒绝”，仅放行必要端口（如 SSH 22），对 Hadoop Web UI 50070/50030 等管理端口实施来源白名单或隔离。
- 主机加固：合理配置 /etc、/bin、~/.ssh 等关键目录权限，禁止除 /tmp 外出现 777 权限；确保 syslog/wtmp/sudo 等日志服务正常运行并留存。
- 身份与登录安全：禁用 root 远程登录，强制 SSH 密钥 认证，结合 PAM 实施复杂度与周期策略的口令策略。
二 身份与访问控制
- 启用强认证：为 Hadoop 启用 Kerberos，为 HDFS/YARN/MapReduce 等服务创建主体与 Keytab，在 core-site.xml 设置 hadoop.security.authentication=kerberos，实现用户与服务双向认证。
- 细粒度授权：在 HDFS ACL 基础上，引入 Apache Ranger/Sentry 做 RBAC/ABAC 细粒度授权，覆盖 HDFS 目录、Hive 表、HBase 列族 等资源，遵循最小权限原则并设置默认 ACL 继承。
- 管理接口隔离：通过 Knox/Nginx 反向代理与内网隔离隐藏 NameNode/ResourceManager/YARN 的 Web UI 与 REST API，仅允许跳板机或受控网段访问。
- 杜绝匿名与默认宽松权限：关闭或限制组件匿名访问，收紧 HDFS 默认权限与目录 ACL，避免“全可读/全可写”的配置。
三 数据加密与传输安全
- 传输加密：为 HDFS、YARN、MapReduce 客户端与服务端启用 TLS/SSL，在 core-site.xml 设置 hadoop.ssl.enabled=true 并配置证书链与信任库，覆盖节点间与客户端通信。
- 静态加密：启用 HDFS 透明加密（TDE），部署 KMS 集中管理密钥，创建加密区并将敏感数据放入加密区，实现“写即加密、读即解密”。
- 密钥与凭据保护：将 Keytab/KMS 凭据文件权限设为仅属主可读（如 400），与数据节点物理与逻辑隔离存放，定期轮换密钥。
四 审计监控与漏洞管理
- 全量审计：启用 Hadoop 审计日志，记录用户对 HDFS/Hive/YARN 的访问与操作，集中到 ELK 等平台进行留存与检索，满足合规与溯源。
- 实时监控与告警：利用 NameNode/ResourceManager UI 与 Ambari/Cloudera Manager/Ganglia 建立资源与异常告警（如夜间高频访问、异常作业提交），结合阈值与基线策略。
- 漏洞处置闭环：订阅 Debian Security Announce 与 Hadoop 安全通告，及时升级修复；变更前在测试环境验证，变更中灰度与回滚预案完备。
- 备份与演练：制定 HDFS/元数据/配置 的周期性备份与恢复演练，确保灾难场景下可快速恢复业务。
五 常见漏洞场景与加固对照表
| 风险场景 |
典型端口/入口 |
加固要点 |
| Web UI 未授权访问 |
50070/50030 |
反向代理 + 内网白名单 + 鉴权网关，禁用匿名访问 |
| REST API 被滥用 |
8088 等 |
启用 Kerberos 与 TLS，限制来源 IP 与调用账号权限 |
| 未加密数据传输 |
节点间/客户端通信 |
全链路启用 TLS/SSL 证书与信任链 |
| 静态数据泄露 |
HDFS 数据块 |
启用 HDFS TDE + KMS 密钥轮换 |
| 权限滥用/越权 |
HDFS/Hive/HBase |
ACL + Ranger/Sentry 细粒度授权与默认 ACL |
| 已知漏洞利用 |
组件版本缺陷 |
及时升级 Debian 与 Hadoop 组件，修补 CVE |
| 日志与监控缺失 |
审计与告警空白 |
启用审计日志，集中化监控与异常告警 |
以上条目覆盖了 未授权访问、数据泄露、权限滥用、漏洞利用、审计缺失 等 Hadoop 常见威胁面及对应防护要点，可作为日常巡检与加固的对照清单。
