在网络安全领域，服务器的安全基线是保障服务器安全的重要依据。它明确了网络上各类设备与系统（包括操作系统、网络设备、数据库、中间件等）应达到的最基本防护能力要求。本文将围绕服务器的安全基线展开讨论，包括服务器常规安全配置、结合公司业务的软件及配置、公司网络层面的防护控制、服务器安全配置的自动化管理以及安全配置缺失的监测和检查手段等内容，并在必要时添加代码或命令示例。
一、服务器常规安全配置
（一）Windows 服务器
以 Windows 服务器为例，其安全配置涵盖多个方面：
- 账号与口令- 设置合理的账号和强口令，避免使用默认密码和弱密码。
- 授权管理- 对不同用户分配适当的权限，避免权限滥用。
- 补丁更新- 及时安装系统最新的安全补丁，以修复已知漏洞。例如，在 Windows 系统中，可以使用以下命令检查更新并安装补丁：
wuauclt /detectnow
wuauclt /updatenow
- 防护软件与防病毒软件- 安装有效的防护和防病毒软件，并保持其病毒库更新。
- 日志安全- 配置日志功能，以便记录系统活动，用于后续的安全审计。
- 服务与启动项管理- 关闭不必要的服务和启动项，减少系统的安全风险。例如，可以使用
msconfig命令在系统配置实用程序中禁用不必要的启动项。 - 其他配置- 关闭自动播放功能，使用 NTFS 文件系统，合理设置网络访问权限和会话超时，以及对注册表进行合理设置等。
（二）Linux 服务器（以 Unix 家族为例）
Linux 服务器相对更加安全一些，主要配置项包括：
- 账号与口令- 同样要设置合理的账号和强口令。
- 授权管理- 根据用户需求分配最小权限。
- 补丁更新- 安装最新的安全补丁。在 Linux 系统中，可以使用以下命令更新系统（以基于 Debian 或 Ubuntu 的系统为例）：
sudo apt-get update
sudo apt-get upgrade
- 远程登录管理- 合理配置远程登录设置，如使用 SSH 协议并进行安全配置。
- 日志管理- 配置日志功能，记录系统活动。
- 服务端口管理- 关闭不必要的服务端口，减少攻击面。例如，可以使用
netstat -tuln命令查看当前系统开放的端口，然后根据需要关闭不必要的端口。 - 其他配置- 设置系统 banner，删除潜在的危险文件，合理配置 FTP 等。
二、结合公司业务的常规软件及配置
不同公司根据自身技术架构和业务需求，会选择不同的操作系统、数据库和中间件来搭建业务。以下以一些常见的软件为例：
（一）MySQL
- 账号管理- 以普通帐户安全运行
mysqld，禁止MySQL以管理员帐号权限运行。应按照用户分配账号，避免不同用户间共享账号，并删除或锁定与数据库运行、维护等工作无关的账号。 - 口令设置- 禁止使用默认密码和弱密码。
- 授权配置- 在数据库权限配置能力内，根据用户的业务需要，配置其所需的最小权限。
- 日志配置- 数据库应配置日志功能。
- 网络连接管理- 禁止网络连接，防止猜解密码攻击、溢出攻击和嗅探攻击。通过数据库所在操作系统或防火墙限制，只有信任的 IP 地址才能通过监听器访问数据库。
- 连接数设置- 根据机器性能和业务需求，设制最大最小连接数。
（二）Tomcat
- 账号与口令- 合理设置账号和口令。
- 授权管理- 配置适当的权限。
- 日志管理- 配置日志功能。
- HTTP 加密协议- 使用 HTTP 加密协议，如 HTTPS，保障数据传输安全。
- 端口管理- 更改默认管理端口，避免使用默认端口带来的安全风险。
- 错误页面重定向- 合理设置错误页面重定向。
- 目录列出管理- 控制目录是否列出，避免信息泄露。
- 系统 Banner 信息- 设置系统 Banner 信息。
- 连接数设置- 合理设置连接数。
- 非法 HTTP 方法禁用- 禁用非法 HTTP 方法，如 PUT、DELETE 等，防止非法操作。
三、公司网络层面的防护控制
（一）网络设备防护
在公司网络层面，除了针对服务器和服务器上的软件进行防护外，还需特别注意网络设备的控制。例如，现在越来越多的攻击会针对家用的路由器，以及 IDC 机房的网络设备。因此，需要对网络设备进行合理配置和防护，如设置访问控制列表（ACL），限制不必要的访问。
（二）结合漏洞扫描
可以结合常规的漏洞扫描，在扫描器中加入安全基线扫描的功能。例如，若使用了弱口令，可以使用字典进行爆破来验证。以
Nessus
漏洞扫描工具为例，它可以配置安全基线扫描策略，对目标系统进行扫描，检查是否符合安全基线要求。
（三）业务差异化防护
不同的业务对安全基线的要求不同，如金融业务的安全要求通常比博客类业务高很多。因此，需要针对不同的业务制定不同的基线来进行防护。
四、服务器安全配置的自动化管理
随着服务器数量的增加，人工管理安全配置变得困难，需要自动化工具和流程来辅助。
（一）制定流程和制度
首先需要专业人员制定安全基线，并将其作为制度执行。
（二）制作镜像
根据制定的安全基线制作镜像，以保证服务器的默认安全。
（）自动化工具
使用一些开源项目，如
puppet
，或一些乙方安全公司提供的工具，也可以根据自身的运维和安全工具定制自动化管理工具，来帮助实施安全基线的更新和维护。
五、服务器安全配置缺失的监测和检查手段
（一）安全基线检测工具
目前最主流的方式是使用安全基线检测工具。其原理是在服务器上部署一个
agent
，搜集相关的配置信息，跟中心库中维护的安全基线标准进行比对并检查。例如，
QualysGuard
安全基线检测工具可以实现这样的功能。
（二）结合其他手段
尽管安全基线检查工具能够从技术层面对安全配置进行全面、高效的检查，但对于业务系统特有的安全问题以及业务系统管理层面的问题，仍需要结合传统的安全评估服务手段以及传统的合格检查工具（如漏洞扫描、代码检查）来实现。
服务器的安全基线是一个综合性的概念，涵盖了服务器的各个方面以及与公司业务的结合。通过合理的配置、防护控制、自动化管理以及有效的监测和检查手段，可以提高服务器的安全性，保障业务的正常运行。
版权归原作者 阿贾克斯的黎明 所有， 如有侵权，请联系我们删除。