最佳实践

云主机防暴力破解最佳实践&加固工具

    最佳实践

    • 华为基于自身多年安全实践经验及业界最佳实践建议,推出《云主机防暴力破解最佳实践》(下文统称《最佳实践》),分为:以“基础系统安全加固”和“基础网络安全策略配置”章节组成的基础部分以及“主机安全进阶方案”章节的进阶部分。其中“基础系统安全加固”部分提供相应的加固脚本,方便用户快速加固当前云主机

    适用范围

    • 《最佳实践》主要适用于华为云上Windows/Linux操作系统云主机,参考实践中策略,稍加变动,也可应用于加固其它场景的主机

    注意事项

    • 加固工具暂不支持数据库,FTP等场景,建议用户参考《最佳实践》思想,设置符合复杂度要求及实践建议的密码并建议定期进行修改,遵循“最小化”、“默认失败”原则设置访问控制策略
基础加固实施步骤
  • 下载与准备

  • 主机基础加固(Linux)

  • 主机基础加固(Windows)

  • 网络策略配置

下载与准备

步骤1:下载与准备

下载

如图所示前往社区免费下载最佳实践指导文档以及加固脚本,解压加固脚本压缩包后会有两个加固脚本,其中Linux云主机加固脚本为main.sh,Wndows云主机加固脚本srs.bat,加固脚本需上传到待加固ECS服务器

准备

根据最佳实践建议准备符合复杂度要求的操作系统账户密码或秘钥对(Linux系统)

下载链接

主机基础加固(Linux)

步骤2-1:针对Linux云主机进行加固

脚本执行

如图所示运行加固脚本,脚本会自动检测Linux发行版本,显示选项框后输入相应的数字进行选择相应选项进行加固或备份恢复操作。
注:首次执行时进行备份将系统配置保存于脚本所在目录下的backup目录下,以便后续需要恢复配置时使用。再次运行脚本时,将不会再进行备份,需要将原备份目录删除后重新执行,当OS type检测为unknown时,请谨慎使用该脚本。

选项简要说明

1:ALL

选择1后顺序执行2-7安全加固项,执行完加固后,按9退出

2:Set Password Complexity Requirements

设置密码复杂度。选择2后自动进行密码复杂度设置(默认口令长度不少于12位,并包括数字、小写字母、大写字母和特殊符号4类字符),如需自定义密码复杂度,请参考《最佳实践》的1.1.1节步骤手动进行配置

3:Set Remote Login Configuration(SSH)

设置远程登陆。选择3后脚本会自动配置SSH协议版本为2,然后需要用户输入y或n“是否禁止root登录”、“允许登录的用户”等配置项,禁止root登录前,请确保已经有至少一个普通用户可用于远程登录;执行此加固项后需重启SSH服务

4:Set Shell History and TMOUT

进行history&TMOUT配置。选择4后脚本会根据最佳实践自动配置HISTSIZE和HISTTIMEFORMAT,然后根据用户输入超时时长配置会话超时时间

5:Set Key Login(SSH)

使用密钥对登陆。选择5后脚本会根据最佳实践建议自动配置SSH配置文件,然后根据用户输入注入相应的公钥。注:加固前,请务必主备好可用的公私钥对,详细生成方法见《最佳实践》的1.1.4节;执行此加固项后需重启SSH服务

6:Set SSH Port

设置SSH端口。选择6后脚本会根据用户输入配置相应的端口,当用户输入的端口已被占用时,脚本会给出提示,要求用户重新选择,执行此加固项后需重启SSH服务

7:Set Su User

设置用户su权限,选择7后脚本会根据用户输入配置相应的用户拥有su权限,执行此加固项前请确保相应的用户已经创建成功

8:Recover Configuration

恢复配置,选择8后脚本会自动恢复备份时的配置,备份配置恢复后可能需要SSH服务,请按照提示手动进行重启

9:Exit

退出,执行完加固或恢复后,按9退出脚本

自定义配置请参考《最佳实践》的1.1章节描述

主机基础加固(Windows)

步骤2-2:针对Windows云主机进行加固

脚本执行

如图所示运行加固脚本,显示选项框后输入相应的数字进行选择相应选项进行加固或备份恢复操作。
注:脚本在首次执行时会将系统配置保存于C:\policy.cfg,以便后续需要恢复配置时使用。再次运行脚本时,将不会再进行备份,需要原备份文件被删除后重新执行

选项简要说明

(9)Recover the Configuration

恢复配置,选择9进行配置恢复;恢复执行后需重启系统使配置生效

(1)All the operation

选择1后顺序执行2-7安全加固项,执行完加固后,按Enter退出

(2)Set password Complexity

设置密码复杂度。选择2后会根据最佳实践自动进行密码复杂度设置,如需自定义密码复杂度,请参考《最佳实践》的1.2.1节步骤手动进行配置

(3)Set password history check

口令历史记录校验配置。选择3后脚本会根据实践文档建议自动进行配置;如需自定义配置,请参考《最佳实践》的1.2.4节步骤手动进行配置

(4)Set password lock conf

口令锁定配置,选择4后脚本会根据实践文档建议自动进行配置;如需自定义配置,请参考《最佳实践》的1.2.3节步骤手动进行配置

(5)Set default account

系统默认账户配置,选择5后脚本会根据实践文档建议自动进行配置,以及根据用户输入重命名管理员账户,详见《最佳实践》的1.2.2节,注:脚本执行后,请务必记住管理员账户名,否则将无法登录系统

(6)Set disconnect timeout

会话超时配置,选择6后脚本会根据实践文档建议自动进行配置;如需自定义配置,请参考《最佳实践》的1.2.6节步骤手动进行配置

(7)Hide the last login account

最后登录账号配置,选择7后脚本会根据实践文档建议自动进行配置;如需自定义配置,请参考《最佳实践》的1.2.5节步骤手动进行配置

(8)Exit

退出,执行完加固或恢复后,按8退出脚本

自定义配置项说明请参考《最佳实践》1.2章节描述

网络策略配置

步骤3:网络策略配置

最小化访问控制

根据《最佳实践》建议,使用安全组控制高危管理端口访问,遵从“最小化”及“默认失败”安全原则,保证仅有业务需要的、可信的源可以访问,减小攻击面。
此外,用户也可以使用iptables(Linux系统),Windows防火墙进行配置,可以达到安全组同样的效果,两者选其一即可。具体配置方法请参考《最佳实践》的第2章节

对应产品

云主机防爆破进阶安全解决方案

防爆破进阶安全方案架构

使用安全服务或产品全面防护客户业务系统,进一步提升安全性,增强云主机防爆破能力

架构介绍

  • Web漏洞扫描:定期执行Web漏洞扫描,发现网站漏洞并提供修复建议,提升网站安全性,提前防范黑客利用漏洞攻击
  • 堡垒机:使用堡垒机进行运维管理,对主机访问进行严格审计以及访问控制,有效缩小攻击面,减小运维侧入侵风险
  • 双因子认证:采用双因素认证系统(Linux/Windows系统登录保护助手),强化云主机登录保护
  • 安全体检服务:建议周期性使用华为云安全体检服务对业务系统进行专业安全评估,及时发现风险,并进行整改
  • 主机安全产品:部署主机安全产品,实时监控、防御爆破攻击,检测系统弱密码

产品推荐

合作伙伴

立即注册