Nginx基线安全整改技术方案

机房整改工程方案怎么写一、项目背景随着信息技术的发展，计算机和网络设备在各个行业中得到了广泛的应用，机房作为重要的基础设施之一，承担着存储、处理和传输数据的重要功能。

然而，由于长期使用、技术更新等因素，机房设备存在着老化、混乱、不规范等问题，严重影响了机房的正常运行和数据安全。

因此，对机房进行整改工程，是保障信息系统安全和稳定运行的重要举措。

二、整改目标1. 提升机房设备的稳定性和可靠性，降低故障率，保障信息系统的安全和稳定运行；2. 优化机房布局和空间利用，提高机房的运行效率；3. 提升机房的安全标准和管理规范，降低运维难度；4. 提高机房的环境控制水平，确保温湿度合适，降低设备损坏率；5. 优化机房的电力配备，提高机房的电力容量和稳定性。

三、整改内容1. 设备更新对机房中老化和故障设备进行更换，确保设备的质量和性能，提高设备的运行稳定性。

同时，对需要进行升级的设备进行规划升级，使其能够适应新的业务需求和技术发展。

2. 布线整理对机房内的布线进行整理，重新规划布线路线，确保布线的清晰、整洁和可维护性。

同时，对有故障的布线进行修复，提升布线的稳定性和可靠性。

3. 机柜调整对机房中的机柜进行布局调整，优化机柜的空间利用率，确保机柜的通风情况和设备安装的合理性。

同时，对机柜进行标识和编号，便于日常管理和维护。

4. 环境控制对机房的温湿度进行监测和控制，确保机房的温湿度处于正常范围内。

对机房的通风设备进行检修和维护，提高通风的效果和空气质量。

5. 安全管理对机房的安全系统进行升级，确保机房的安全管理规范和控制措施。

对机房的门禁系统和监控系统进行检修和维护，提高机房的安全性。

6. 电力改造对机房的电力配备进行调整和改造，提高机房的电力容量和稳定性，确保机房的电力供应正常和可靠。

四、整改流程1. 方案制定确定整改目标和内容，制定整改方案，明确整改的工作流程和时间节点。

2. 设备更新根据机房的实际情况和需要，对老化和故障设备进行更换和升级。

【安全等保】Linux服务器基线安全--⼲货业务标签：医院信息集成平台、互联⽹医院、互联⽹护理、慢性病随访技术标签：ESB、ETL+CDC、NLP、FaaS、SaaS、Hadoop、MicroService技术微信群：加微信：wonter 发送：技术Q医疗微信群：加微信：wonter 发送：医疗Q关注公众号查看⼀、系统安全基线1.1 系统登录弱⼝令**描述**若系统使⽤弱⼝令，存在极⼤的被恶意猜解⼊侵风险，需⽴即修复。

**加固建议**执⾏命令 `passwd [<user>]`，然后根据提⽰输⼊新⼝令完成修改，其中 `<user>` 为⽤户名，如果不输⼊则修改的是当前⽤户的⼝令。

⼝令应符合复杂性要求：1、长度8位以上2、包含以下四类字符中的三类字符:英⽂⼤写字母(A 到 Z)英⽂⼩写字母(a 到 z)10 个基本数字(0 到 9)⾮字母字符(例如 !、$、#、%、@、^、&)3、避免使⽤已公开的弱⼝令，如：abcd.1234 、admin@123等1.2 确保root是唯⼀的UID为0的帐户**描述**除`root`以外其他`UID`为`0`的⽤户都应该删除，或者为其分配新的`UID`**加固建议**除`root`以外其他`UID`为`0`的⽤户，都应该删除，或者为其分配新的`UID`查看命令：cat/etc/passwd| awk-F: '($3 == 0) { print $1 }'|grep-v'^root$'1.3 开启地址空间布局随机化**描述**它将进程的内存空间地址随机化来增⼤⼊侵者预测⽬的地址难度，从⽽降低进程被成功⼊侵的风险**加固建议**在`/etc/sysctl.conf`或`/etc/sysctl.d/*`⽂件中设置以下参数：kernel.randomize_va_space = 2执⾏命令：sysctl -w kernel.randomize_va_space=21.4 设置⽤户权限配置⽂件的权限**描述**设置⽤户权限配置⽂件的权限**加固建议**执⾏以下5条命令chown root:root /etc/passwd/etc/shadow/etc/group/etc/gshadowchmod0644 /etc/groupchmod0644 /etc/passwdchmod0400 /etc/shadowchmod0400 /etc/gshadow1.5 访问控制配置⽂件的权限设置**描述**访问控制配置⽂件的权限设置**加固建议**运⾏以下4条命令：chown root:root /etc/hosts.allowchown root:root /etc/hosts.denychmod644 /etc/hosts.denychmod644 /etc/hosts.allow如果您是`redhat8`⽤户chown root:root /etc/ssh/sshd_configchmod600 /etc/ssh/sshd_config1.6 确保SSH LogLevel设置为INFO**描述**确保`SSH LogLevel`设置为`INFO`,记录登录和注销活动**加固建议**编辑 `/etc/ssh/sshd_config` ⽂件以按如下⽅式设置参数(取消注释):LogLevel INFO1.7 确保rsyslog服务已启⽤安全审计**描述**确保`rsyslog`服务已启⽤，记录⽇志⽤于审计**加固建议**运⾏以下命令启⽤`rsyslog`服务：systemctl enable rsyslogsystemctl start rsyslog1.8 确保SSH MaxAuthTries设置为3到6之间**描述**设置较低的`Max AuthTrimes`参数将降低`SSH`服务器被暴⼒攻击成功的风险。

Nginx安全优化1.1 Nginx优化分类安全优化（提升⽹站安全性配置）性能优化（提升⽤户访问⽹站效率）1.2nginx安全优化1.2.1隐藏版本信息优化配置举例：[root@web01 conf]# cat nginx.confworker_processes 1;events {worker_connections 1024;}http {include mime.types;default_type application/octet-stream;sendfile off;keepalive_timeout 65;server {listen 80;server_name localhost;server_tokens off;location / {root html;index index.html index.htm;}error_page 500 502 503 504 /50x.html;location = /50x.html {root html;}}}测试结果：[root@web01 conf]# curl -I 10.0.0.80HTTP/1.1 200 OKServer: nginx #已经隐藏了nginx版本号Date: Wed, 05 Sep 2018 01:39:24 GMTContent-Type: text/htmlContent-Length: 612Last-Modified: Sun, 29 Jul 2018 13:31:44 GMTConnection: keep-aliveETag: "5b5dc1c0-264"Accept-Ranges: bytes1.2.2 修改nginx版本信息修改版本信息需要修改程序源⽂件信息修改内核信息cd /home/oldboy/tools/nginx-1.8.1[root@web01 nginx-1.8.1]# vim src/core/nginx.h13 #define NGINX_VERSION "6.6.6" #修改版本号14 #define NGINX_VER "george/" NGINX_VERSION #web软件名22 #define NGINX_VAR "georgekai"修改头部信息[root@web01 nginx-1.8.1]# vim src/http/ngx_http_header_filter_module.c49 static char ngx_http_server_string[] = "Server: geogre" CRLF;修改错误页显⽰28 static u_char ngx_http_error_tail[] =29 "<hr><center>kai</center>" CRLF30 "</body>" CRLF31 "</html>" CRLF32 ;修改完成后重新编译/application/nginx/sbin/nginx –V #查看之前编译参数./configure --prefix=/application/nginx1.8.1 --user=www --group=www --with-http_ssl_module --with-http_stub_status_module --prefix=/application/nginx-1.8.1make #make失败查看有没有pcre-devel包make install重启服务/application/nginx/sbin/nginx –s stop测试：[root@web01 conf]# curl -I 10.0.0.80HTTP/1.1 200 OKServer: george/6.6.6 #已经修改了nginx软件名和版本号Date: Wed, 05 Sep 2018 02:50:34 GMTContent-Type: text/htmlContent-Length: 612Last-Modified: Sun, 29 Jul 2018 13:31:44 GMTConnection: keep-aliveETag: "5b5dc1c0-264"Accept-Ranges: bytes1.2.3 修改worker进程的⽤户第⼀种⽅法：利⽤编译安装配置参数，设定nginx默认worker进程⽤户 useradd –s /sbin/nologin –M www./configure –user=www –group=www第⼆种⽅法：编写nginx服务配置⽂件，设定nginx默认worker进程⽤户Syntax:user user [group];Default: user nobody nobody;Context: main配置举例：[root@web01 conf]# cat nginx.confuser www www; #主区块添加user参数worker_processes 1;events {worker_connections 1024;}http {include mime.types;default_type application/octet-stream;# sendfile off;keepalive_timeout 65;server {listen 80;server_name localhost;# server_tokens off;location / {root html;index index.html index.htm;}error_page 500 502 503 504 /50x.html;location = /50x.html {root html;}}}查看是否⽣效：[root@web01 conf]# ps -ef|grep nginxroot 8189 1 0 10:41 ? 00:00:00 nginx: master process /application/nginx/sbin/nginx www 8205 8189 0 10:50 ? 00:00:00 nginx: worker processroot 8233 2065 0 11:01 pts/0 00:00:00 grep nginx1.2.4 上传⽂件⼤⼩的限制（动态应⽤）默认语法说明:syntax：client_max_body_size size； #<==参数语法default：client_max_body_size 1m； #<==默认值是1mcontext：http，server，location #<==可以放置的标签段举例配置：http {sendfile on;keepalive_timeout 65;client_max_body_size 1m; # 设置上传⽂件最⼤值1M，还受博客程序限制}1.2.5 站点nginx⽬录及⽂件URL访问控制0.1 根据⽬录或者扩展名，禁⽌⽤户访问指定数据信息避免⽤户上传⼀些脚本，恶意破坏⽹站程序location ~ ^/images/.*\.（php|php5|sh|pl|py|html）${deny all;}location ~ ^/static/.*\.（php|php5|sh|pl|py）${deny all;}location ~* ^/data/（attachment|avatar）/.*\.（php|php5）${deny all;}0.2 当访问禁⽌的数据信息时，进⾏页⾯跳转Nginx下配置禁⽌访问*.txt和*.doc⽂件。