数据中心的主机包括物理服务器和虚拟化云主机，所有主机都面临入侵和攻击的风险。主机安全主要包括两个方面：
- 在主机上部署病毒/木马查杀软件，包括 Linux 和 Windows 系统，降低病毒/木马入侵主机和蔓延的风险。
- 对主机进行加固，降低主机遭受攻击和入侵的风险。
对于数据中心的服务器和云主机，无论系统或应用本身安全与否，都可能存在漏洞，安全管理员应负责定期（例如 1 月/次）对包括物理服务器和云主机等进行安全加固。系统加固策略包括：
1、使用 GRUB 的 password 参数对 GRUB 设置密码，防止通过编辑 GRUB 启动参数轻松的进入单用户模式从而修改 root 密码，从而造成安全隐患；
2、对 ssh 服务进行加固，关闭 root 账号远程连接，不允许使用空密码用户远程登录，设置最大登录尝试次数为 3；
3、对 xinetd 服务进行加固，根据最少服务原则,凡是不需要的服务一律禁用，减少系统所暴露攻击面，从而提高系统的安全性；
4、清理无主的文件，防止账号删除后系统残留未知文件；
5、删除非授权文件的全局可写属性，控制文件的可写操作权限，避免任何人都具有写权限的目录或文件存在；
6、设置守护进程 umask 值，控制守护进程访问权限范围；
7、为指定分区设置 nodev 挂载项，限制访问该文件系统上的文件；
8、限制 at、cron 定时任务命令的使用权限虚拟化层防护；
9、对于重要文件设置只有 root 可读、写和执行，主要检查目录为/etc/、/etc/rc.d/init.d/、/tmp、/etc/inetd.conf、/etc/passwd、/etc/shadow、/etc/group、/etc/group、/etc/services、/etc/security、/etc/rc*.d；
10、检查未授权 SUID/SGID 文件，可通过对比 SUID/SGID 文件列表及时发现可疑后门程序；
11、检查异常隐藏的文件的存在；
12、开启 TCP sync cookie 保护；
13、关闭系统 core dump 状态； 17、开启 syslog 服务记录用户登录、sudo 操作等日志；
相关文章
-
代码编写安全规范
第一章 安全编码 第一条 应用程序应该彻底验证所有用户输入，然后再根据用户输入执行操作。验证可能包括筛选特殊字符。针对用户意外地错误使用和某些人通过在系统中注入恶意命令 蓄意进行攻击的情况，这种预防性措施对应用程序起到了保护作用。常见的例子包括 SQL 注入攻击、脚本注入和缓冲区溢出。此外，对于任何非受控的外部系统，都不要假定其安全性。 第二条 尝试使用让人迷惑的变量名来隐藏机密信息或将它们存储在不常用的文件位置，这些方法都不能提供安全保障，最好使用平台功能或使用已被证实可行的技术来保护数据。 …
-
信息安全部门岗位职责说明
本系列文章来自于此前的真实项目案例，是给一个学校的的一套《安全制度汇编》，本篇文章信息安全部门岗位职责说明，可以一定程度地规范岗位的职责、处罚等等。原文档开放下载中~ 第一章 目的 第一条 为规范信息安全管理系统中各安全岗位的人员职责，特制订本规范。 第二章 范围 第二条 本规范适用于重庆XX中学各信息安全管理岗位和人员。 第三章 职责 第三条 网络安全办公室主任负责分配、协调各信息安全管理岗位的人员角色和日常工作，各岗位人员负责本岗位的日常信息安全管理。 第四章 各安…
-
网络信息安全技能专业培养，校企合作方案
随着前几年《网络安全法》的正式发布，网络安全越来越受到政府、企事业单位的关注和重视，对应的信心安全人才也逐渐走俏，人才市场上有大量岗位空缺。于是，一大波网络安全厂商便向各个高效推出了校企合作的模式，对口培训、招收人才。各个厂商之间的方案或许都有不同，本文主要参考了启明星辰的方案，当然替换成其他品牌如奇安信、深信服、绿盟等都是可以的。 您若是需要摘抄即可，整个文档约18页，登录即可下载，文档目录见末尾，本文是原WORD的摘抄。 一、招生对象及学制 招生对象：普通高等院校毕业生、社招人员 学制：四个…
-
网络安全等级保护测评完整方案、等保项目实施细则
随着信息化技术的发展，重庆市乡村振兴局信息系统逐步完善，成为了全市扶贫工作的重要支撑。随着网络安全形势愈演愈烈，对信息系统安全防范能力和信息安全抗风险能力的要求越来越高。如何保证重庆市乡村振兴局的信息系统正常运行和信息安全已成为迫切需要关注的问题。 面对当前信息系统安全面临的复杂、严峻形势，基础信息网络和重要信息系统一旦出现大的信息安全问题，不仅仅影响本单位、本行业，而是直接威胁社会稳定、经济发展甚至国家安全。因此，扶贫信息系统有必要进一步完善和加强信息安全保障体系。信息安全建设重在安全保障体系…
-
数据中心抗DDoS攻击系统的功能有哪些？
数据中心的安全性建设应考虑针对DoS/DDoS、应用层CC攻击、非TCP/IP协议层攻击等多种未知攻击进行安全防御。保证网络正常运转，清洗攻击流量。系统具备如下功能： 1、攻击检测：利用了多种技术手段对DoS/DDoS攻击进行有效的检测，在针对不同的流量触发不同的保护机制，提高效率的同时确保准确度。 2、主机识别：自动识别其保护的各个主机及其地址，某些主机受到攻击不会影响其它主机的正常服务。 3、指纹识别：用来识别整个连接过程，其中包括：源、目的、协议、端口等情况的识别。 4、协议分析：对于TC…
-
一家三甲医院，需要部署哪些网络安全设备？
随着信息化建设的不断发展，信息系统在三甲医院中的角色也越来越重要，其所面临的安全挑战也不断涌现，患者隐私泄露、挂号系统中断以及木马病毒攻击直接威胁到医院运行秩序和信息系统安全。为进一步做好医院信息安全保护工作，卫生部曾下发《卫生行业信息安全等级保护工作的指导意见》的通知，通知明确了三甲医院的核心业务系统应按照信息安全等级保护第三级进行建设和保护。 根据 2018 年 4 月国家卫生健康委员会规划与信息司、国家卫生健康委员会统计信息中心所颁布的《全国医院信息化建设标准（试行）》中的各项条例，各等级…
