懒惰pipe理员的CentOS安全

我正在运行CentOS 5.5（Parallels Power Panel和Plesk的基本LAMP），并且迄今为止忽略了安全性（因为这不是我的全职工作，总是有一些对我的待办事项列表更重要）。我的服务器不包含任何秘密数据，也没有生命依赖于它 – 基本上我想要的是确保它不成为僵尸networking的一部分，这是我的情况是“足够好”的安全性。

无论如何，我不想成为一个全职的偏执型pipe理员（就像不断观察和修补一切，因为一些模糊的问题），我也不关心大多数安全问题，如DOS攻击或问题，只存在于使用一些奥术设置。

我正在寻找一个“快乐的媒介”，例如在CentOS 5.5的默认安装中已知的重要问题列表和/或实际上已被利用的安全问题列表 – 而不是典型的无尽缓冲区溢出列表在某些特殊情况下“可能”是一个问题。

我使用通常推荐的方法（join邮件列表等）的问题是，真正重要的问题（利用存在的东西，可以在普通设置中利用，攻击者可以做一些非常有用的事情 – 即不一个DOS）完全和完全被数百万个微小的安全警报所淹没，这对于高安全性的服务器来说肯定是重要的，但对我来说却不是这样。

感谢所有的build议！

你可能会做比起sans security checklist更糟糕的事情。

你可能不太在意你的服务器（ab-）是用来干什么的，但是如果警方调查的踪迹回到你身上，那么你系统的不安全性可能会非常昂贵。我build议留出至less3整天来让你的系统达到规格。

一旦你删除了所有你不需要的服务，然后把所有的补丁应用到你需要的东西上，那么真正重要的是：

SSH – 限制访问一个命名组/个人 – 不是根
为ssh添加额外的保护，如端口敲入或fail2ban
确保你没有运行一个开放的http代理
计划至less每月检查一次并应用安全补丁

这应该给你一个基本和可维护的安全级别。

HTH

我build议绝对的基础是，

实施iptables（不pipe你是否find最简单的，手工制作的或者是一个小的或者大的预build的软件包），并且把对非公共服务的访问locking到特定的源代码列表（例如，让每个人都可以访问web服务，您可以控制访问ssh的IP地址的一个子集）。使用像DenyHosts，Fail2Ban这样的产品。
定期修补一切。很多人已经为您解决了安全问题，并将安全补丁安装到操作系统和应用程序中，并使用该体验，并且只是停留在更新之上。
使用一些标准的日志监控或入侵检测产品，它会提醒您可疑的行为（LogWatch，AIDE等）

我不知道CentOS有什么安全发布，我通常使用Debian，在这方面有很好的logging。