小创业公司刚起步的安全规范

一、服务器安全

1.1 账号密码管理

    弱口令
        避免使用容易记忆的简单密码
        建议使用随机密码生成器（http://tool.c7sky.com/password/）生成19位随机密码
        
    阿里云账号密码
        阿里云账号密码严格保密，仅提供给相关技术负责人，并开启绑定手机号验证功能
        
    SSH登录账号密码
        禁用root账号直接远程登录
        root密码收敛到Leader名下，减少泄漏风险
        定期（每隔一个月）修改一次密码
        
    免密登录秘钥
        禁止个人电脑在服务器设置个人公钥
        检查服务器对应账号下的 ～/.ssh/authorized_keys
        
    数据库账号密码
        禁用root账号远程连接Mysql数据库，分配服务器账号及ip
        
    离职人员密码回收
        人员离职后，需在一周内重置SSH登录账号密码
        个人账号，业务确认后在一周内删除处理

1.2 服务器高危端口管理

    高危端口
        程序默认端口会是重点攻击目标，如21（FTP），22（SSH），25（SMTP），3306（MySql），6379（Redis），27017(Mongo)……，需要设置自定义端口号
        无需对外的服务，禁止绑定外网IP
        使用iptables管理端口访问规则
        
    SSH端口
        关闭22端口，改用2000以上的端口号，如2485端口号
        
    数据库端口
        禁止使用3306端口
        使用IP白名单管理，只有IP白名单内的机器才能直连访问阿里云数据库
    
1.3 Linux服务器软件管理

    服务器基线更新
        及时根据阿里云提示更新系统底层包
        
    常用软件漏洞修复
        及时根据阿里云提示更新软件补丁包
    
1.4 敏感数据管理

    业务数据
        正式环境业务数据库的数据，同步到测试环境时，需注意剔除敏感数据（订单，用户表）
    
二、 代码安全

    源代码管理（svn、git）
        禁止在正式服务器上直接拉取源码，需使用本地或测试机器编译后发布
    
    前端XSS漏洞检查
        对页面输入和用户传入的参数，需要先进行XSS过滤，再提交后台或展示到页面。
        https://help.aliyun.com/knowledge_detail/37444.html
        
    后台SQL注入漏洞检查
        后台服务提供统一的安全过滤器，对请求参数进行SQL关键词过滤
    
    后台数据库连接加密
        需要对数据库连接配置文件做加密处理

（待续。。。）