我应该如何在我运行FTP + Nginx的专用服务器上以最安全的方式设置权限？ 我希望FTP能够读/写文件，我希望Nginx能够读/写相同的文件。 我应该在ProFTPd中设置用户掩码来将文件写入nginx用户吗？ 我应该将目录权限设置为700，文件权限设置为600（假设它们属于nginx用户和组）？ 任何信息表示赞赏
我需要一个渗透到我的服务器的日志文件。 理想情况下，这个日志应该包含所有的尝试，包括login，HTTPD活动，FTP活动，NFS和其他传统的开放端口。 但是，我有HTTPD，FTP和NFS就足够了。 CentOS中是否有这样的服务（或日志文件）？
AWS上有许多EC2服务器，在负载平衡器（ELB）后面运行apache。 每隔一段时间，一些IP地址会滥用EC2服务器上托pipe的API并导致拒绝服务。 我无法访问负载平衡器，所以我需要在服务器级别阻止访问。 我根据负载平衡器提供的X-Forwarded-For头来改变apache访问日志来显示IP（否则它只显示负载平衡器的IP），所以我可以识别这些IP并阻止它们（再次指定X- Forwarded-For）类似于： <Directory api_dir> SetEnvIF X-FORWARDED-FOR "1.1.1.1" DenyIP Order allow,deny allow from all deny from env=DenyIP </Directory> 但是，这仍然意味着我需要手动处理每个攻击，并且我的服务器因此遭受了一些停机时间。 推荐的方式是自动阻止重复HTTP调用的攻击，而不是基于IP，而是基于来自负载均衡器的Forwarded-For头。
几个月前，我们刚开始在Rackspace上运行我们自己的Web服务器（他们很棒）。 我使用NewRelic（也非常酷）来监视服务器的使用情况，我得到的错误警报在我看来是注入攻击？ 想知道是否有人能够通过洞察或build议如何挫败这些努力，摆脱错误和烦人的通知。 我们知道一个事实，这些不是要求我们的网站打电话。 我已经开始进入访问日志，并阻止了IP的请求，但他们稍后又回来了一个不同的。 下面是一个“MySQL错误”示例： http://www.ourdomain.com/item.php?fetchitem=46 “+和+ 999999.9）+ UNION + ALL +select+ 0x393133353134353632312e39,0x393133353134353632322e39,0x393133353134353632332e39,0x393133353134353632342e39,0x393133353134353632352e39,0x393133353134353632362e39,0x393133353134353632372e39,0x393133353134353632382e39,0x393133353134353632392e39,0x39313335313435363231302e39， 0x39313335313435363231312e39,0x39313335313435363231322e39,0x39313335313435363231332e39,0x39313335313435363231342e39,0x39313335313435363231352e39,0x39313335313435363231362e39,0x39313335313435363231372e39,0x39313335313435363231382e39,0x39313335313435363231392e39,0x39313335313435363232302e39,0x39313335313435363232312e39,0x39313335313435363232322e39,0x39313335313435363232332e39,0x39313335313435363232342e39,0x39313335313435363232352e39,0x39313335313435363232362e39,0x39313335313435363232372e39,0x39313335313435363232382e39,0x39313335313435363232392e39 +和+ '1'='1 该url应该是www（dot）ourdomain（dot）com / item.php？fetchitem = 46 另一个： （*），％（％），％ 2F **％2fcOnCaT（（％2F **％2fsElEcT（％2F **％2fsElEcT（％2F **％2fsElEcT +％2F **％2fcOnCaT（炭（33,126,33），计数（吨。％2F％** 2ftAbLe_nAmE），炭（33,126,33））+％2F **％2ffRoM + INFORMATION_SCHEMA。％2F **％2fsChEmAtA + AS + d + +joinINFORMATION_SCHEMA。％2F **％2ftAbLeS +作为+ T + T +。 ％2F **％2ftAbLe_sChEmA + = + d。％2F **％2fsChEmA_NaMe […]
通过健壮和低级的麻烦，我的意思是不涉及复杂的iptables设置，不涉及apache，不需要额外的客户端程序，不需要从cron运行易碎的shell脚本等。 有没有人有sshd＆ssh（客户端）补丁来启用sshd服务和客户端本身内置的某种forms的端口敲打？ 例如，拒绝端口22上的连接，直到收到正确encryption和validation的UDP数据包为止。 我感到失望的是，所有敲门砖的解决scheme都是无耻的黑客攻击，而不是一个很好的集成和testing补丁的程序。
这是一个标准问题，“如何在Linux中设置用户帐户的stream程限制以防止叉车轰炸”，另外还有一个问题。 正在运行的程序起源于一个根拥有的Python进程，然后setuids / setgids自己作为一个普通用户。 据我所知，在这一点上，/etc/security/limits.conf中设置的任何限制都不适用; setuid – ed过程现在可以叉炸弹。 任何想法如何防止这一点？
我的ISP与我联系，指出未经授权的攻击来自我的LAMP服务器。 以下是他们所附的日志的一部分： 15:26:16.821245 IP My.Ip.is.here.59987 > some.one.elses.ip.ssh: UDP, length 1 15:26:16.821248 IP My.Ip.is.here.59987 > some.one.elses.ip.ssh: UDP, length 1 15:26:16.821251 IP My.Ip.is.here.59987 > some.one.elses.ip.ssh: UDP, length 1 15:26:16.821253 IP My.Ip.is.here.59987 > some.one.elses.ip.ssh: UDP, length 1 我该如何调查？
我有一个运行2008 R2的服务器，是否有一个angular色/function可以添加/启用审计文件访问。 例如，user1删除了这个文件夹，这个文件是由user2等编辑的。我一直在删除文件夹在公共驱动器（我不知道是否意外或故意）的问题，但似乎每个人都否认所有的知识所以我想有个日志可以在这种情况下查看，这样我就可以看到谁在做什么了。
我正在使用亚马逊Linux服务器工具登台服务器，但我必须始终提供我的login用户名和密码。 如何安全地访问Linux服务器而不通过这个？
我不是在问这里怎么做，而是试图理解最佳实践和处理服务器安全的“正确”方法。 为了防止暴力破解密码攻击，我以多种方式保护了我的服务器，其中一个是受密码保护的SSH密钥，用于在任何用户（现在是单个开发者框）上login。 很明显，无论用户何时需要login，他都需要访问该密钥的密钥和密码。 但是，我想了解如何处理该（或任何）特定用户的系统密码，特别是在处理sudo时。 几个问题： 有没有在给每个用户一个密码的所有（所以他/她可以使用sudo）的价值？ 如果是这样，使用一个疯狂的安全密码是这样（即384位+） 假设上面的答案是否定的： 任何用户每次需要运行一个sudo命令（yes lastpass，dashlane，1pass等都是选项，但是必须打开/validation/查找并复制真正长的密码，似乎是一个巨大的麻烦），记得这个密码怎么可能呢？ 对于这些密码有足够的安全性，如果字典攻击能够在3秒内findsudo密码，那么这很重要吗？ 提前谢谢！