Debian下LNMP的安全防護措施

LNMP是指Linux環境下安裝Nginx、MySQL和PHP的Web服務器配置，它提供了快速和可靠的Web服務。然而，LNMP環境也可能面臨各種安全威脅，因此，對LNMP進行安全加固是至關重要的。以下是具體的安全加固措施：

系統更新與升級

• 保持系統最新：定期更新系統以修補可能存在的安全漏洞。

  sudo apt update
  sudo apt upgrade
  

防火墻配置

• 配置iptables：安裝并配置iptables以限制對特定端口的訪問，只允許必要的端口（如HTTP、HTTPS和SSH）連接。

  sudo apt-get install iptables
  sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT # 允許HTTP連接
  sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT # 允許HTTPS連接
  sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT # 允許SSH連接
  sudo iptables-save /etc/iptables/rules.v4
  sudo systemctl enable iptables
  sudo systemctl start iptables
  

SSH服務安全配置

• 使用SSH密鑰對認證：生成公鑰和私鑰對，將公鑰添加到服務器的~/.ssh/authorized_keys文件中，實現無密碼登錄。
• 禁用root遠程登錄：編輯/etc/ssh/sshd_config文件，設置PermitRootLogin no，禁止root用戶遠程登錄。
• 限制空密碼登錄：在/etc/ssh/sshd_config中設置PermitEmptyPasswords no，禁止使用空密碼登錄。

  sudo nano /etc/ssh/sshd_config
  # 更改端口號
  Port 2222
  # 禁用root登錄
  PermitRootLogin no
  # 使用SSH密鑰對進行身份認證
  

MySQL安全配置

• 強化MySQL安全設置：在MySQL安裝完成后，運行mysql_secure_installation命令，進行必要的安全配置，如更改root密碼、移除匿名用戶、禁止root遠程登錄等。

  sudo mysql_secure_installation
  

• 修改MySQL綁定地址：如果需要遠程訪問MySQL，修改/etc/mysql/my.cnf文件中的bind-address配置，允許遠程訪問。

  # 在 /etc/mysql/my.cnf 或 /etc/my.cnf 中找到并修改
  bind-address = 0.0.0.0
  

Nginx安全配置

• 配置Nginx安全設置：確保Nginx配置文件中的fastcgi_pass指向正確的PHP-FPM套接字或端口，以防止PHP文件執行漏洞。

  sudo nano /etc/nginx/nginx.conf
  # 禁用不必要的模塊
  # ...
  # 配置SSL/TLS
  ssl_certificate /path/to/your/certificate.crt;
  ssl_certificate_key /path/to/your/private.key;
  

PHP安全配置

• 安裝并配置PHP-FPM時，限制PHP進程的資源使用，例如通過調整pm.max_children、pm.start_servers等參數。禁用不必要的PHP模塊，減少攻擊面。

  sudo nano /etc/php/7.4/fpm/pool.d/www.conf
  # 限制資源使用
  pm.max_children = 5
  pm.start_servers = 5
  # 禁用不必要的模塊
  ; extension=php_curl.dll
  

用戶與權限管理

• 創建普通用戶并限制權限：避免使用root用戶進行操作，創建普通用戶并通過usermod命令將其加入sudo組，以獲得必要的權限。
• 配置PAM模塊強化密碼策略：安裝libpamcracklib后，編輯/etc/pam.d/commonpassword文件以實施密碼復雜度要求。

監控和日志記錄

• 啟用詳細的日志記錄功能，并定期檢查日志文件，以便及時發現并響應任何異?；顒?。
• 使用安全加固工具：可以考慮使用諸如fail2ban之類的工具來防止暴力破解攻擊。

定期審查和更新安全設置

• 安全加固是一個持續的過程，需要定期評估和調整策略以應對新的威脅。

通過上述措施，可以顯著提高Debian LNMP環境的安全性，保護系統免受網絡攻擊和數據泄露的威脅。