掃一掃
服務(wù)近2000家企業(yè)，依托一系列實(shí)踐中打磨過(guò)的技術(shù)和產(chǎn)品，根據(jù)企業(yè)的具體業(yè)務(wù)問(wèn)題和需求，針對(duì)性的提供各行業(yè)大數(shù)據(jù)解決方案。
centos7優(yōu)化ssh客戶端登錄安全的配置
來(lái)源：未知 時(shí)間：2018-49-26 瀏覽次數(shù)：227次
centos7優(yōu)化ssh客戶端登錄安全的配置，一般服務(wù)器都會(huì)開(kāi)通SSH端口以便運(yùn)維工程師能夠遠(yuǎn)程維護(hù)和開(kāi)發(fā)工程師遠(yuǎn)程修改和優(yōu)化WEB應(yīng)用功能模塊，但是開(kāi)啟遠(yuǎn)程端口SSH就意味著增加了服務(wù)器被攻擊的風(fēng)險(xiǎn)，那么如何通過(guò)安全策略的配置降低入侵風(fēng)險(xiǎn)呢？本文主要從SSH默認(rèn)端口的修改，IP訪問(wèn)次數(shù)的控制等方面講解優(yōu)化配置的過(guò)程
一.修改ssh默認(rèn)端口
一.修改ssh默認(rèn)端口
修改默認(rèn)端口主要是為了讓自動(dòng)掃描軟件不能通過(guò)22默認(rèn)端口進(jìn)行密碼嘗試攻擊，以降低風(fēng)險(xiǎn)
1)打開(kāi) /etc/ssh/sshd_config文件
1)打開(kāi) /etc/ssh/sshd_config文件
vim /etc/ssh/sshd_config
2)將#Port 22 注釋去掉，22改為你想設(shè)置的端口，如33881，保存
3) 重啟ssh
systemctl restart sshd.service
4)將該端口加入防火墻例外并重啟防火墻
firewall-cmd --permanent --zone=public --add-port=33881/tcp
sudo systemctl restart firewalld.service
二.ssh訪問(wèn)控制，多次失敗登錄即封掉IP，防止暴力破解
IP訪問(wèn)控制主要是利用操作系統(tǒng)日志，對(duì)于日志中多次記錄登陸失敗的IP進(jìn)行攔截，防止用戶通過(guò)對(duì)密碼的反復(fù)嘗試（一般是使用攻擊腳本實(shí)現(xiàn)）來(lái)破解系統(tǒng)管理員密碼
1)編寫(xiě)腳本將登陸失敗的IP加入到/etc/hosts.deny中
1)編寫(xiě)腳本將登陸失敗的IP加入到/etc/hosts.deny中
vim /usr/local/bin/secure_ssh.sh
腳本內(nèi)容如下：
#! /bin/bash
cat /var/log/secure|awk '/Failed/{print $(NF-3)}'|sort|uniq -c|awk '{print $2"="$1;}' > /usr/local/bin/black.list
for i in `cat /usr/local/bin/black.list`
do
IP=`echo $i |awk -F= '{print $1}'`
NUM=`echo $i|awk -F= '{print $2}'`
if [ ${#NUM} -gt 1 ]; then
grep $IP /etc/hosts.deny > /dev/null
if [ $? -gt 0 ];then
echo "sshd:$IP:deny" >> /etc/hosts.deny
fi
fi
done
2)修改腳本權(quán)限并測(cè)試是否報(bào)錯(cuò)
chmod -R 0777 /usr/local/bin/secure_ssh.sh
cd /usr/local/bin/
./secure_ssh.sh 如果沒(méi)有錯(cuò)誤則執(zhí)行下一步
3)將secure_ssh.sh腳本放入cron計(jì)劃任務(wù)，每1分鐘執(zhí)行一次，并重啟計(jì)劃任務(wù)
crontab -e 后加入如下內(nèi)容
*/1 * * * * sh /usr/local/bin/secure_ssh.sh
/sbin/service crond restart 重啟計(jì)劃任務(wù)
三、結(jié)束語(yǔ)
SSH 是一個(gè)強(qiáng)大而安全的網(wǎng)絡(luò)實(shí)用程序，全球有無(wú)數(shù)用戶使用它來(lái)完成各種任務(wù)。作為 telnet 和
三、結(jié)束語(yǔ)
SSH 是一個(gè)強(qiáng)大而安全的網(wǎng)絡(luò)實(shí)用程序，全球有無(wú)數(shù)用戶使用它來(lái)完成各種任務(wù)。作為 telnet 和
r* 系列命令等明文協(xié)議的一個(gè)安全替代方案，擁有可免費(fèi)分發(fā)的 SSH 客戶端和服務(wù)器的多個(gè)產(chǎn)品，SSH 是很難被擊敗的。在許多網(wǎng)絡(luò)中被廣泛用于腳本化技術(shù)內(nèi)的大量遠(yuǎn)程監(jiān)控、系統(tǒng)維護(hù)、遠(yuǎn)程系統(tǒng)審計(jì)、報(bào)告和自動(dòng)化，SSH 似乎已被普遍接受并將繼續(xù)不斷演化。