数据中心的主机包括物理服务器和虚拟化云主机，所有主机都面临入侵和攻击的风险。主机安全主要包括两个方面：
- 在主机上部署病毒/木马查杀软件，包括 Linux 和 Windows 系统，降低病毒/木马入侵主机和蔓延的风险。
- 对主机进行加固，降低主机遭受攻击和入侵的风险。
对于数据中心的服务器和云主机，无论系统或应用本身安全与否，都可能存在漏洞，安全管理员应负责定期（例如 1 月/次）对包括物理服务器和云主机等进行安全加固。系统加固策略包括：
1、使用 GRUB 的 password 参数对 GRUB 设置密码，防止通过编辑 GRUB 启动参数轻松的进入单用户模式从而修改 root 密码，从而造成安全隐患；
2、对 ssh 服务进行加固，关闭 root 账号远程连接，不允许使用空密码用户远程登录，设置最大登录尝试次数为 3；
3、对 xinetd 服务进行加固，根据最少服务原则,凡是不需要的服务一律禁用，减少系统所暴露攻击面，从而提高系统的安全性；
4、清理无主的文件，防止账号删除后系统残留未知文件；
5、删除非授权文件的全局可写属性，控制文件的可写操作权限，避免任何人都具有写权限的目录或文件存在；
6、设置守护进程 umask 值，控制守护进程访问权限范围；
7、为指定分区设置 nodev 挂载项，限制访问该文件系统上的文件；
8、限制 at、cron 定时任务命令的使用权限虚拟化层防护；
9、对于重要文件设置只有 root 可读、写和执行，主要检查目录为/etc/、/etc/rc.d/init.d/、/tmp、/etc/inetd.conf、/etc/passwd、/etc/shadow、/etc/group、/etc/group、/etc/services、/etc/security、/etc/rc*.d；
10、检查未授权 SUID/SGID 文件，可通过对比 SUID/SGID 文件列表及时发现可疑后门程序；
11、检查异常隐藏的文件的存在；
12、开启 TCP sync cookie 保护；
13、关闭系统 core dump 状态； 17、开启 syslog 服务记录用户登录、sudo 操作等日志；
相关文章
-
网络防病毒怎么做？数据中心防毒墙系统建设
在数据中心核心交换上部署一台网络防毒服务器对全网制定完善的防病毒策略，实施统一的防病毒策略，使分布在数据中心每台计算机上的防病毒系统实施相同的防病毒策略，全网达到统一的病毒防护强度。 同时防毒服务器实时地记录防护体系内每台计算机上的病毒监控、检测和清除信息，根据管理员控制台的设置，实现对整个防护系统的自动控制。数据中心网络防病毒系统功能如下： 1、病毒防范和查杀能力 开启实时监控后能完全预防已知病毒的危害；可防范、检测并清除隐藏于电子邮件、公共文件夹及数据库中的计算机病毒、恶性程序、病毒邮件；能…
-
信息系统的工程测试验收管理
为规范重庆XX中学系统建设和工程项目测试验收准则，特制订本管理制度。本制度适用于系统建设或信息工程类项目的测试和验收管理。信息系统建设和其他信息系统工程类项目的测试和验收主要由网络安全办公室负责，必要的时候可协调相关科室使用人员参与测试和验收。 第一章 目的 第一条 为规范重庆XX中学系统建设和工程项目测试验收准则，特制订本管理制度。 第二章 范围 第二条 本制度适用于重庆XX中学系统建设或信息工程类项目的测试和验收管理。 第三章 职责 第三条 信息系统建设和其他信息系统工程类项目的测试和验收主…
-
关键信息基础设施运营者如何制修订安全管理制度
笔者在《浅谈关键信息基础设施运营者专门安全管理机构的组建》一文中，介绍了运营者的专门安全管理机构的组建。今天，笔者与各位读者分享运营者应如何制修订安全管理制度，以满足关键信息基础设施安全保护工作的需要。 1 制修订安全管理制度的必要性 安全管理制度在关键信息基础设施保护工作中起约束和控制作用，安全制度不健全，或者不能贯穿关键信息基础设施保护的各环节、各阶段，特别是“老制度管新技术”，缺乏动态的、持续的管理制度，加之内部制约机制不完善、检查督导不到位，可能会导致网络安全风险隐患无法得到及时识别、快…
-
信息安全教育培训管理制度
信息安全培训旨在强化全体人员的信息安全意识，使之明确信息安全是每个人的责任，并掌握其岗位所要求的信息安全操作技能。 第一章 目的 第一条 为加强信息安全建设，提高全体人员的信息安全意识和技能，保障信息系统安全稳定的运行，特制定本制度。 第二章 总则 第二条 信息安全培训旨在强化全体人员的信息安全意识，使之明确信息安全是每个人的责任，并掌握其岗位所要求的信息安全操作技能。 第三章 管理细则 第三条 培训计划 针对不同的培训对象进行分层次的培训，信息安全培训分为管理层培训、…
-
电信和互联网企业网络数据安全合规性评估要点（2020 版）
为进一步指导电信和互联网企业做好网络数据安全合规性评估工作，提升数据安全保护水平，依据《网络安全法》《电信和互联网用户个人信息保护规定》等法律法规，参考《信息安全技术个人信息安全规范》等标准规范，制定本要点，供各企业在网络数据安全合规性评估中使用。 《电信和互联网企业网络数据安全合规性评估要点（2020 版）》主要包括以下几个方面：
-
VPN加密系统是什么？有哪些功能
VPN的身份认证通过LADP协议可以与认证服务器建立认证关系，也可以与PKI/CA服务器建立联系在终端导入证书，VPN 加密技术采用DES、3DES、AES、IDEA、RC4等加密技术，通过上述的加密技术，保证视频、信令、数据在公共网络中传输安全。 VPN加密系统功能如下： 支持丰富的C/S、B/S应用； 支持多种认证方式，如用户名+口令、RADIUS、AD、LDAP、USB Key； 证书、证书+口令、双因子认证等； 支持多种终端设备接入(包括window平台、linux平台、andriod平…
