Linux LAMP怎样防范网络攻击

Linux LAMP防范网络攻击的实用清单

一 系统层加固

• 保持系统与软件包为最新，优先安装安全补丁；在 Debian/Ubuntu 可使用无人值守安全更新（unattended-upgrades）自动应用安全修复。
• 创建普通用户并加入 sudo，日常运维避免使用 root；通过 PAM 强化密码复杂度与周期。
• 仅启用必要服务，关闭或卸载无用软件包，减少攻击面。
• 启用 SELinux（或 AppArmor）实施强制访问控制，限制进程越权。
• 物理与引导安全：为 BIOS/GRUB 设置强密码，必要时禁用不必要的外设引导。

二 网络与端口防护

• 使用 UFW/Firewalld/Iptables 实施最小暴露面策略：仅开放 80/443（HTTP/HTTPS），以及受控的 SSH 端口；对管理口可限制来源 IP。
• 示例（UFW）：仅放行 80/443，并限制 SSH 来源 IP
  • sudo ufw allow 80,443/tcp
  • sudo ufw allow from 203.0.113.10 to any port 22
  • sudo ufw enable & & sudo ufw status verbose
• 示例（Firewalld）：放行 80/443，限制 SSH 来源 IP
  • sudo firewall-cmd --permanent --add-port=80/tcp
  • sudo firewall-cmd --permanent --add-port=443/tcp
  • sudo firewall-cmd --permanent --add-rich-rule=‘rule family=“ipv4” source address=“203.0.113.10” port port=“22” protocol=“tcp” accept’
  • sudo firewall-cmd --reload & & sudo firewall-cmd --list-all
• 示例（Iptables）：放行 80/443，限制 SSH 来源 IP
  • sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT
  • sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
  • sudo iptables -A INPUT -p tcp -s 203.0.113.10 --dport 22 -j ACCEPT
• 规则变更后务必持久化保存，避免重启失效。

三 Apache PHP MySQL 组件安全

• Apache
  • 关闭信息泄露：设置 ServerTokens Prod、ServerSignature Off、TraceEnable Off。
  • 目录与执行控制：对外目录设置 AllowOverride None（减少 .htaccess 风险），禁用不必要模块，按站点配置 DocumentRoot 与 Alias。
  • 启用 ModSecurity（WAF）并加载 OWASP 核心规则集，拦截 SQL 注入/XSS/文件上传 等常见攻击。
  • 全站启用 HTTPS/TLS，禁用过时协议与弱套件（仅启用 TLSv1.2/1.3）。
• PHP
  • 禁用危险函数：如 exec、shell_exec、system、passthru、proc_open、eval 等。
  • 限制脚本访问范围：设置 open_basedir；关闭远程包含（allow_url_fopen/allow_url_include）。
  • 调整资源与上传限制，防止滥用（如上传大小、执行超时）。
• MySQL/MariaDB
  • 运行 mysql_secure_installation：设置 root 强密码、删除匿名用户、禁止远程 root 登录、移除测试库。
  • 按“最小权限”创建应用专用账户，仅授予目标库必要权限；禁止应用以 root 连接。
  • 限制数据库访问来源（仅内网/管理网段），必要时启用 SSL/TLS 加密客户端连接。

四 身份鉴别与入侵防护

• SSH 安全
  • 禁用 root 远程登录（PermitRootLogin no），禁用密码登录（PasswordAuthentication no），仅允许 SSH 密钥；可更改默认端口并限制来源 IP。
  • 结合 Fail2ban 防御暴力破解：如 [sshd] 设置 maxretry=3、bantime=1h，自动封禁反复失败的来源。
• 审计与监控
  • 启用 auditd 记录关键系统调用；集中收集与告警 Apache/MySQL 日志。
  • 使用 Lynis 进行安全基线扫描，定期复核系统配置与补丁状态。

五 备份恢复与应急响应

• 制定并演练 备份与恢复 流程：定期备份网站文件与数据库，异地/离线保存，保留多版本与校验值；发生入侵优先隔离、取证、修补与恢复，而非仓促上线。
• 针对 DoS/DDoS：启用内核防护（如 tcp_syncookies）、优化 TCP 队列与内核网络参数，并在上层引入 CDN/WAF/清洗 服务缓解大流量攻击。
• 持续安全运维：定期更新 LAMP 各组件、复核防火墙与访问控制、检查日志异常、开展漏洞扫描与渗透测试演练。

声明：本文内容由网友自发贡献，本站不承担相应法律责任。对本内容有异议或投诉，请联系2913721942#qq.com核实处理，我们将尽快回复您，谢谢合作！