强化CentOS安全防线：如何有效应对常见安全威胁，2024年最新字节跳动8年老网络安全面试官经验谈

• • 禁用root账户远程登录，使用普通用户登录后再切换到root账户

• 修改SSH默认端口以避免暴露在常见攻击下
• 启用公钥认证，禁用密码登录
• 配置SSH参数限制登录尝试次数，禁止空闲超时连接等

设置访问控制列表（ACL）

• 在文件系统上设置 ACL，控制用户对文件和目录的访问权限
• 使用 getfacl 和 setfacl 命令来查看和设置 ACL
• 为敏感文件和目录设置更严格的 ACL 权限，以限制未经授权的访问

更新和管理软件包

及时更新和有效管理定期使用安全工具软件管理和更新软件包，也是比较容易做到的，也是提高系统安全性的有效措施之一：

定期更新系统补丁

使用yum命令（或者dnf命令，适用于较新版本）来更新系统补丁。例如，要更新所有可用的安全补丁，可以执行以下命令：

sudo yum update

设置自动更新任务，编辑cron作业表以创建定期任务，确保系统能够自动应用最新的安全补丁。通过编辑 /etc/crontab 文件或者使用 crontab -e 命令来添加相应的定时任务。

使用软件包管理工具进行软件的安装和管理

使用yum（Yellowdog Updater Modified）或者dnf（Dandified Yum）作为软件包管理器。例如，要通过yum安装一个软件包，可以执行以下命令：

sudo yum install package_name

或者

sudo dnf install package_name

通过编辑/etc/yum.repos.d/目录下的配置文件，配置软件源来管理可用的软件包来源。例如，编辑CentOS-Base.repo文件以启用或禁用特定的软件源。

使用软件包管理工具检查已安装软件包的版本，并及时进行升级以修复潜在的漏洞。例如，要检查是否有可用的软件包更新，可以执行以下命令：

sudo yum check-update

确保只从受信任的软件源安装软件包，以避免安全风险。验证软件源的GPG密钥，确保所安装的软件包都来自合法和受信任的来源。

配置防火墙和网络安全设置

在配置防火和网络安全设置方面，也可以下面这些内容着手：

使用iptables或firewalld配置防火墙规则

• 使用iptables配置防火墙规则：

允许特定端口的流量：例如，要允许SSH流量通过防火墙，可以执行以下命令：

sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

拒绝特定IP地址的流量：例如，要拒绝来自特定IP地址的流量，可以执行以下命令：

sudo iptables -A INPUT -s <IP_address> -j DROP

• 使用firewalld配置防火墙规则：

允许特定服务：例如，要允许HTTP服务，可以执行以下命令：

sudo firewall-cmd --zone=public --add-service=http --permanent
sudo firewall-cmd --reload

封锁特定端口：例如，要封锁SMTP服务，可以执行以下命令：

sudo firewall-cmd --zone=public --remove-service=smtp --permanent
sudo firewall-cmd --reload

设置网络访问控制列表（ACL）

• 针对文件系统 ACL：

使用 getfacl 命令查看文件或目录的 ACL 信息。例如，要查看特定文件的 ACL 信息，可以执行以下命令：

getfacl /path/to/file

使用 setfacl 命令来设置文件或目录的 ACL 权限。例如，为用户alice授予对文件的读写权限，可以执行以下命令：

setfacl -m u:alice:rw /path/to/file

• 针对网络服务 ACL：

在Nginx的配置文件中进行访问控制列表的设置。例如，在Nginx的配置文件中，可以配置允许或拒绝特定IP地址或IP段的访问。这通常通过在 Nginx 配置文件中的 server 块内使用 allow 和 deny 指令来实现。

配置SELinux以提高系统安全性

• 启用SELinux：编辑 /etc/selinux/config 文件，确保 SELINUX 设置为 enforcing 或 permissive，然后重新启动系统以应用更改。示例：

SELINUX=enforcing

• 设置SELinux策略：使用 semanage 命令为特定文件或目录设置 SELinux 策略。例如，要为 /web 目录设置 httpd_sys_content_t 类型的策略，可以执行以下命令：

sudo semanage fcontext -a -t httpd_sys_content_t “/web(/.*)?”
sudo restorecon -Rv /web

• 查看SELinux状态和日志：使用 sestatus 命令来检查 SELinux 的当前状态。示例：

sestatus

此外，可以使用 ausearch 命令和查看 /var/log/audit/audit.log 文件来了解 SELinux 事件和警告。例如，可以执行以下命令查看最近的SELinux事件：

sudo ausearch -m avc -ts recent

监控和日志记录

配置并使用日志记录工具

选择合适的日志记录工具

选择适合您系统的日志记录工具，如rsyslog、syslog-ng等，并根据需求进行配置。

配置日志记录

• 确定要记录的日志类型，包括系统日志、安全日志、应用程序日志等。
• 配置日志记录级别和目标存储位置，确保记录足够详细的信息以便后续分析。

日志分析和存储

• 实施对日志的实时分析和存储，可以考虑使用ELK（Elasticsearch、Logstash和Kibana）等工具来进行集中式日志管理和分析。
• 设立合理的存储策略，确保日志数据能够长期保存并满足合规性要求。

实施监控和警报机制

• 建立监控系统，对关键日志事件设置实时警报机制，及时发现异常情况。
• 确保对重要日志进行定期审查，并采取相应的响应措施。

设置入侵检测系统（IDS）和入侵防御系统（IPS）

选择合适的IDS/IPS系统

选择适合您网络环境和需求的IDS/IPS产品或解决方案，例如Snort、Suricata、或商业化的IDS/IPS产品。

部署和配置

• 部署IDS传感器或IPS设备，确保其能够监测和防御整个网络的流量。
• 配置IDS/IPS规则，以识别和应对特定类型的攻击和异常行为。

实施实时监控

• 实施对IDS/IPS系统的实时监控，确保其正常运行并能够有效地检测和阻止潜在的攻击。
• 针对IDS/IPS产生的警报进行及时处理和响应。

更新和优化规则

• 定期更新IDS/IPS规则库，以捕获最新的威胁和攻击模式。
• 根据实际情况对规则进行优化和定制，以减少误报和提高检测效率。

数据加密和备份

当涉及到数据加密和备份时，可以考虑从以下两个方面开始：

设置数据加密

• 使用GNU Privacy Guard（GPG）进行文件加密：

加密文件：使用以下命令对文件进行加密，并指定接收者的公钥：

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

😝朋友们如果有需要的话，可以联系领取~

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

2️⃣视频配套工具&国内外网安书籍、文档

① 工具

② 视频

③ 书籍

资源较为敏感，未展示全面，需要的最下面获取

② 简历模板

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

https://i-blog.csdnimg.cn/blog_migrate/f29cda892905b0d3d222aeaf1a326383.png#pic_center)

② 简历模板

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
[外链图片转存中…(img-NoCyeZeU-1712804225727)]