数据中心的主机包括物理服务器和虚拟化云主机，所有主机都面临入侵和攻击的风险。主机安全主要包括两个方面：
- 在主机上部署病毒/木马查杀软件，包括 Linux 和 Windows 系统，降低病毒/木马入侵主机和蔓延的风险。
- 对主机进行加固，降低主机遭受攻击和入侵的风险。
对于数据中心的服务器和云主机，无论系统或应用本身安全与否，都可能存在漏洞，安全管理员应负责定期（例如 1 月/次）对包括物理服务器和云主机等进行安全加固。系统加固策略包括：
1、使用 GRUB 的 password 参数对 GRUB 设置密码，防止通过编辑 GRUB 启动参数轻松的进入单用户模式从而修改 root 密码，从而造成安全隐患；
2、对 ssh 服务进行加固，关闭 root 账号远程连接，不允许使用空密码用户远程登录，设置最大登录尝试次数为 3；
3、对 xinetd 服务进行加固，根据最少服务原则,凡是不需要的服务一律禁用，减少系统所暴露攻击面，从而提高系统的安全性；
4、清理无主的文件，防止账号删除后系统残留未知文件；
5、删除非授权文件的全局可写属性，控制文件的可写操作权限，避免任何人都具有写权限的目录或文件存在；
6、设置守护进程 umask 值，控制守护进程访问权限范围；
7、为指定分区设置 nodev 挂载项，限制访问该文件系统上的文件；
8、限制 at、cron 定时任务命令的使用权限虚拟化层防护；
9、对于重要文件设置只有 root 可读、写和执行，主要检查目录为/etc/、/etc/rc.d/init.d/、/tmp、/etc/inetd.conf、/etc/passwd、/etc/shadow、/etc/group、/etc/group、/etc/services、/etc/security、/etc/rc*.d；
10、检查未授权 SUID/SGID 文件，可通过对比 SUID/SGID 文件列表及时发现可疑后门程序；
11、检查异常隐藏的文件的存在；
12、开启 TCP sync cookie 保护；
13、关闭系统 core dump 状态； 17、开启 syslog 服务记录用户登录、sudo 操作等日志；
相关文章
-
制造业客户数据安全解决方案（终端安全/文件加密/介质管理等）
针对前文制造业客户数据安全解决方案（数据防泄密需求分析）提到的泄密风险，本文详细介绍一套完整、合理的解决方案，通过该方案构建公司数据安全防护边界，自动加密、全方位保护数据安全。 1. 电脑终端数据的保护 1.1 电脑图纸文件的自动加密，从源头保护数据 对于电脑终端核心数据文件会自动强制透明加密，比如通过 PRO/E，UG，CATIA 等软件从文档创建图纸文件开始即可自动加密保护。加密前后对于数据合法使用者无任何差异，不增加用户负担、不改变任何工作流程及使用习惯。文件的保存加密、打开解密完全由后台…
-
双排微模块数据中心解决方案：建设内容及目标
随着云计算、物联网等信息技术的高速发展，原有传统机房越来越不适应业务应用快速发展的需要，机房升级改造势在必行。越来越多的政府机构、企事业单位在新建或改建数据机房的时候，都倾向于使用更精致、安全、灵活的模块化数据中心解决方案。 本”微模块数据中心、双排模块化机房效果图及整体解决方案“是基于真实案例，即一个新建档案馆的数据机房，结合众平网站分享的需要，做了一定的删减发表，文章结构见本页末，原文档**数据中心方案书共 90 页，由单排和双排方案组成，图片图表详实（附件见第一篇文章）。本文内容是模块化数…
-
一家三甲医院，需要部署哪些网络安全设备？
随着信息化建设的不断发展，信息系统在三甲医院中的角色也越来越重要，其所面临的安全挑战也不断涌现，患者隐私泄露、挂号系统中断以及木马病毒攻击直接威胁到医院运行秩序和信息系统安全。为进一步做好医院信息安全保护工作，卫生部曾下发《卫生行业信息安全等级保护工作的指导意见》的通知，通知明确了三甲医院的核心业务系统应按照信息安全等级保护第三级进行建设和保护。 根据 2018 年 4 月国家卫生健康委员会规划与信息司、国家卫生健康委员会统计信息中心所颁布的《全国医院信息化建设标准（试行）》中的各项条例，各等级…
-
信息系统的工程测试验收管理
为规范重庆XX中学系统建设和工程项目测试验收准则，特制订本管理制度。本制度适用于系统建设或信息工程类项目的测试和验收管理。信息系统建设和其他信息系统工程类项目的测试和验收主要由网络安全办公室负责，必要的时候可协调相关科室使用人员参与测试和验收。 第一章 目的 第一条 为规范重庆XX中学系统建设和工程项目测试验收准则，特制订本管理制度。 第二章 范围 第二条 本制度适用于重庆XX中学系统建设或信息工程类项目的测试和验收管理。 第三章 职责 第三条 信息系统建设和其他信息系统工程类项目的测试和验收主…
-
监控中心管理制度、监控室管理制度模板
本《监控中心管理制度》是我司此前应用与一普通中学的弱电工程项目中，系作为机房建设服务内容的一部分（本项目中监控室和网络机房共用一室）。监控中心管理制度通用性强，适合各种应用环境，内容不多不少做一块挂墙的展板刚刚合适，各位同行可结合实际做一定的修改。 结合个人经验，我们认为再好的物理、设备环境，如果缺失了对应的管理制度，那么这个系统都不堪一击，要么逐渐臃肿失控，要么被攻击控制。 学校监控中心是学校视频监控系统、安防系统、网络系统的控制中心，为了加强管理，确保各系统的正常使用和安全运作，充分发挥其作…
-
VPN加密系统是什么？有哪些功能
VPN的身份认证通过LADP协议可以与认证服务器建立认证关系，也可以与PKI/CA服务器建立联系在终端导入证书，VPN 加密技术采用DES、3DES、AES、IDEA、RC4等加密技术，通过上述的加密技术，保证视频、信令、数据在公共网络中传输安全。 VPN加密系统功能如下： 支持丰富的C/S、B/S应用； 支持多种认证方式，如用户名+口令、RADIUS、AD、LDAP、USB Key； 证书、证书+口令、双因子认证等； 支持多种终端设备接入(包括window平台、linux平台、andriod平…
