SSH协议（2）-安全威胁及解决办法

SSH虽然是安全外壳协议，但是也不能保证绝对的安全。如果管理员安全意识不够或者SSH服务设置不完善，还是会留下许多漏洞给攻击者以可乘之机。
（1）尽量使用基于密钥的认证方式
尽量不要使用密码进行登录，使用口令登录尤其是弱口令很有可能被攻击者破解。使用密钥进行认证，客户端提供的是证书而不是密码，减少了破解的可能性。
（2）禁止使用root用户登录
由于root用户权限高，使用root用户远程登录危险性高，而且密码容易被暴力破解。以centOS系统为例，SSH的配置文件在/etc/ssh/sshd_config路径下，系统默认为允许root用户远程登录，需要改为no。

（3）更改端口号
SSH默认的端口号是22，如果使用默认端口号，攻击者很容易扫描出22端口并确认此系统开启了SSH服务。所以尽量更改为1024以上的端口，好处有二：一是避免与常用的端口号冲突，二是端口扫描工具默认不扫描高位端口。

（4）仅使用SSH协议2
由于SSH协议1存在设计缺陷，安全性不够高，需要禁止使用SSH协议1，centOS系统已经默认禁止SSH协议1，用户不用设置。如图，提示需要显示激活才能使用SSH协议1。

（5）MaxStartups设置
MaxStartups由三个值组成：start:rate:full，在centOS系统中，其默认值为10:30:100，意思为当未完成认证的连接数超过10时，新发起的连接将以30%的概率被拒绝，当未完成认证的连接数超过100时，则新连接全部被拒绝。

攻击者可以利用此设置进行DDoS攻击，攻击者并发连接远程服务器，并且不输入密码，当未完成的连接数大于full时，则正常请求也被拒绝。解决办法：提高start和full的值（针对手工DDoS有效，当对方用DDoS攻击工具时，此方法无效）