運維風險預估措施? 部門 ? 日期運維部 2014-05-20? 版本編號 ?密級Ver_1.0 公司內部使用日期2014-05-20版本號 Ver_1.0更新說明建立文檔、初始化一、 服務器風險預估

運維風險預估措施

? 部門 ? 日期

運維部 2014-05-20

? 版本編號 ?

密級

Ver_1.0 公司內部使用

日期

2014-05-20

版本號 Ver_1.0

更新說明

建立文檔、初始化

一、 服務器風險預估

1. 服務器被攻擊

1.1. 拒絕服務攻擊

拒絕服務攻擊的方式很多，主要常用的攻擊手段有SYN Flood、UPD 洪水、IP 欺騙攻擊、CC 攻擊。防范DDOS 攻擊首先要能夠檢測到，并且及時做出響應，才可以防范。

SYN Flood通過TCP 三次握手的原理，服務器如果出現(xiàn)第三次握手包遲遲收不到，將會占用服務器的內存資源，攻擊者在較短時間內偽造大量不存在的源IP 地址數(shù)據(jù)包進行攻擊，將會耗盡服務器的內存資源，最后無法提供正常服務。

根據(jù)SYN Flood的攻擊方式，可見動態(tài)的根據(jù)攻擊流量進行設置TCP 第三次握手的超時時間是降低攻擊效果的主要方法。

1.2. 入侵檢測

遭受黑客入侵不可怕，可怕的是被入侵還不知道，這就需要部署一臺入侵檢測設備，可以使用開源的Snort 進行部署，但是IDS 的誤報率會很高，而使用OSSIM 的關聯(lián)分析功能就可以減少很多誤報。

1.3. 防火墻防護

將服務器放置在防火墻的DMZ 區(qū)域，通過對防火墻進行配置可以避免外網(wǎng)對服務器進行端口掃描，從而提高服務器的安全。放置在DMZ 區(qū)有另一個好處就是可以保護內部網(wǎng)絡。

2. 內部環(huán)境安全

2.1. 防止ARP 欺騙攻擊

通過在交換機的接口進行MAC 綁定，實現(xiàn)終端設備的接入控制，這樣就可以防止惡意用戶的接入。終端電腦綁定網(wǎng)關的MAC 地址，以防攻擊者欺騙網(wǎng)關。對ARP 數(shù)據(jù)包進行檢測，防止ARP 洪泛攻擊。

2.2. 可信任主機接入

在交換機端口下，對IP 地址與MAC 地址進行綁定，可以限制特定用戶對網(wǎng)絡進行訪問，其余的用戶無法接入網(wǎng)絡。

2.3. DHCP 欺騙攻擊

在接入層網(wǎng)絡偽造一臺DHCP 服務器，將所有的網(wǎng)絡流量指向黑客創(chuàng)建的偽造網(wǎng)關，所有到偽造網(wǎng)關的流量都會被分析，并且通過偽造DNS ，把國內一些大站點的域名指向釣魚網(wǎng)站，或者放入最新的溢出漏洞夾雜在頁面中，造成的危害會很大。

通過在交換機上配置DHCP 可行端口進行防范DHCP 的欺騙攻擊。

3. 安全配置

3.1. 帳戶密碼安全

root 進程指的是只有root 用戶的權限才可以啟動的服務，通過root 綁定1024以下的端口，這樣可以防止惡意用戶開啟低于1024的端口進行欺詐攻擊。

用戶密碼放置在以下路徑中：

/etc/passwd

/etc/shadow

可以通過預定的安全策略對密碼進行定期修改，并且強制設置高強度的密碼，以及使用目前加密強度最大的加密算法，防止被爆破以及APT 攻擊。

3.2. 遠程訪問安全

禁用明文密碼傳輸?shù)膖elnet 遠程訪問協(xié)議，使用安全shell （ssh ）保障數(shù)據(jù)的安全交換。

3.2.1. 修改ssh 服務root 登錄權限

修改ssh 服務配置文件，使的ssh 服務不允許直接使用root 用戶來登錄，這樣減少系統(tǒng)被惡意登錄攻擊的機會。

3.2.2. 修改ssh 服務的端口號

ssh 默認會監(jiān)聽在22端口，通過修改至6022端口以避過常規(guī)的掃描。

注意：修改端口錯誤可能會導致你下次連不到服務器，可以先同時開著22和6022兩個端口，然后再關掉22端口；重啟sshd 不會彈掉你當前的連接，可以另外開一個客戶端來測試服務;

3.2.3. 阻止任何人su 作為root

通過禁止普通用戶切換到root ，但可以設置一組特殊用戶切換，降低了服務器被提權的風險。

3.3. 審計系統(tǒng)日志

對系統(tǒng)日志、關鍵應用日志進行定期自動異地備份，可用來做故障排錯，故障提前報警，也可以防止被黑客為了抹掉登錄痕跡而刪除，目前對最前沿的日志審計系統(tǒng)是SOC ，全稱為安全運維中心，可以對各種網(wǎng)絡設備、服務器、終端主機進行日志審計，并且做出關聯(lián)分析。

3.3.1. 減小history 緩存命令條數(shù)

對于linux 系統(tǒng)來說，有一條history 命令，可以記錄用戶所輸入的命令，如果命令中涉及一些密碼或者敏感的操作，將會被黑客利用。通過設置bash 的環(huán)境變量可以設置history 緩存命令的數(shù)目。

3.3.2. 注銷時刪除命令記錄

注銷用戶的時候就自動清除 $home/.bash_history，歷史命令只是對當時用戶在調試服務器時會用到，當用戶退出tty 線路自動清除可以防止泄露服務器的歷史配置命令，如果有需要可以異地備份。

3.3.3. 對auth.log 進行定期分析

在文件系統(tǒng)/var/log/auth.log的文件下，保存了登錄操作系統(tǒng)的時間、ip 地址、用戶名，對這些日志進行定期分析，可以查出那些未授權的用戶登錄過。

3.4. DNS 安全

服務器系統(tǒng)的Dns 被篡改成用于欺詐與釣魚的dns ，將會導致下面連接代理上網(wǎng)的終端被釣魚網(wǎng)站欺騙，用戶信息竊取等情況出現(xiàn)。

4. 服務器環(huán)境

操作系統(tǒng)本身幾乎每天都在更新的，如未能及時打上補丁可能會被攻擊，網(wǎng)絡如果出現(xiàn)linux 的0day 漏洞，就必然會有相應的批量拿站的工具出現(xiàn)，所以危害很大，那么就需要進行定期更新，但是由于公司的服務器都是在生產(chǎn)環(huán)境下的，升級操作系統(tǒng)可能會帶來風險，

建議可以使用影子服務器進行測試，之后才讓生產(chǎn)環(huán)境的服務器進行升級，這樣可以降低風險。 更新操作系統(tǒng)的流程：

4.1. 篩選需要進行更新的補丁，對嚴重影響服務器系統(tǒng)安全的補丁，以及影響服務器業(yè)務的補丁，列入更新

列表。

4.2. 驗證測試環(huán)境下做更新測試，測試更新成功后進行升級。

4.3. 獲得業(yè)務系統(tǒng)所有人的授權

4.4. 申請維護時間窗口，盡量選擇在網(wǎng)絡流量低峰時期。

4.5. 升級系統(tǒng)之前，需要對數(shù)據(jù)進行備份，并且準備回退方案。

5. 服務器負載問題

5.1. 數(shù)據(jù)超過硬盤讀寫負載能力導致應用程序崩潰；

5.2. CPU 使用率跑滿導致服務器宕機；

5.3. 使用內存cache 占用過多導致宕機；

5.4. 硬盤空間使用滿導致宕機；

5.5. 用戶量過多，服務器帶寬不足，導致卡頓，用戶訪問程序故障；

5.6. 系統(tǒng)連接數(shù)過多造成系統(tǒng)擁堵網(wǎng)絡帶寬使用不上；

5.7. 數(shù)據(jù)庫數(shù)據(jù)讀寫占用過多服務器連接數(shù)，達不到預期的服務器帶寬；

6. 服務器硬件故障

6.1. 電源線損環(huán)；

6.2. 服務器電源損壞；

6.3. 服務器非人為硬盤損壞；

6.4. 服務器受黑客入侵攻擊時導致硬盤損壞；

6.5. CPU 溫度過高燒毀；

6.6. 內存使用中損壞；

6.7. 主板在電源損壞時容易燒毀；

二、 運營商風險預估

1. 機房網(wǎng)絡故障

1.1. 骨干網(wǎng)光纖切割；

1.2. 機房網(wǎng)絡升級；

1.3. 機房網(wǎng)絡設備調試；

1.4. 機房網(wǎng)絡設備損壞;

1.5. 骨干網(wǎng)網(wǎng)絡出口故障；

2. DNS 域名解析緩存

每一個域名，在服務商那邊都有一個DNS 服務器，作用是把利于用戶記憶的域名轉換成計算機方便理解的IP 地址，在域名管理中，其中一項就記錄著你的域名指向，術語叫A 記錄，用于指向一個IP 地址。

但是并不是每次訪問你的網(wǎng)站，都會去你的服務商DNS 服務器查詢IP 地址。通常你所在的城市ISP （網(wǎng)絡服務提供商）都會有一個DNS 服務器，他會在你第一次訪問時緩存你的域名指向。下次你再訪問時，他會從緩存里把你曾經(jīng)指向的IP 調出來。

3. 政治因素

3.1. 服務器沒有備案；

3.2. 域名備案存在問題；

3.3. 黑客入侵導致服務器違法行為；

3.4. 違規(guī)代理服務器；

3.5. 服務器轉發(fā)違禁網(wǎng)站；

3.6. 服務器放置的網(wǎng)站內容不符合當?shù)氐恼ɡㄒ?guī)；

三、 故障處理

1. 劃分故障等級

2. 應急處理流程

3. 故障處理流程

4. 故障報告郵件格式