SSH加固

ssh登录加固

漏洞名称 SSH监听在默认端口
漏洞描述：SSH监听在默认的22端口容易受到暴力破解攻击，修改为非默认端口可以提高系统的安全性
1、由于centos7系统默认安装启用了系统高级防火墙，ssh服务默认开启时22端口，
如果直接在ssh的配置文件中对监听端口进行更改，重启sshd服务
后不会成功，提示无法绑定端口，所以要修改ssh的端口，首先要修改系统防火墙的配置
端口范围：0-65535，不能与已有的服务器端口冲突。

一、ssh登录端口修改
1、防火墙上新增ssh监听端口

[root@localhost ~]# firewall-cmd --permanent --zone=public --add-port=3333/tcp  
success
#对public区域新增一个端口3333协议为tcp

[root@localhost ~]# firewall-cmd --reload
#新增完成后需要重载配置文件生效配置 重新加载防火墙规则并保留状态信息。当前的永久配置将成为新的运行时配置，临时配置将丢失。

2、查看新增情况

[root@localhost ~]# firewall-cmd --zone=public --list-all

3、修改ssh配置文件中的监听端口为3333 finalshell也需修改对应端口号

[root@localhost ~]# vim /etc/ssh/sshd_config
 # 找到port 22，替换为Port 3333，并且把前面的#号去掉
完成修改后保存退出。
[root@localhost ~]# systemctl restart sshd

4、通过nmap对主机进行扫描可以发现ssh 3333已经开启

[root@localhost ~]# nmap 192.168.140.139
或者
[root@localhost ~]# nmap localhost

-bash: nmap: 未找到命令（下载）

5、对22端口进行流量处理，使nmap无法探测出任何信息

[root@localhost ~]#  firewall-cmd --permanent --zone=public --remove-port=22/tcp  #禁用22端口流量

#firewall-cmd是firewalld守护程序的命令行客户端。firewall 可以看成整个防火墙服务，而 firewall-cmd 可以看成是其中的一个功能，
用来管理端口 它提供了管理运行时和永久配置的接口
#Zone
区域如同进入主机的安全门，每个区域都具有不同限制程度的规则
网络连接的可信等级,一对多，一个区域对应多个连接
默认情况下，public区域是默认区域，包含所有接口(网卡)
#permanent 永久生效的状态 用于永久设置选项 设置后不会立即启动，需要重启/重新加载服务或者重启系统才立即生效。 zone（区域）默认区域public

[root@localhost ~]# firewall-cmd --permanen --zone=public --add-forward-port=port=22:proto=tcp:toport=22:toaddr=127.0.0.1

#将22端口的访问流量转向访问者本地

6、此时再扫描，无任何端口信息显示，端口已被更改

二、网络层IP地址限制
端口隐藏无法完全保障安全，需基于服务+IP地址的限制，通过对/etc/hosts.allow文件进行编辑，规则是只允许白名单内的IP
地址可以访问本机的ssh，其他IP不允许：

操作系统网络层ip限制文件

[root@localhost ~]# vim /etc/hosts.allow

sshd:192.168.140.138:allow   #允许此IP访问本机的ssh服务
sshd:192.168.140.139:allow
sshd:all:deny               #默认全部拒绝访问

三、应用层对账号+IP进行限制
通过对/etc/ssh/sshd_config文件进行配置，可以实现比hosts.allow更加丰富的限制，hosts.allow是基于网络层的限制，
这里可以实现业务层限制，限制规则是IP+账号，限制指定登陆IP只能通过指定账号登陆。

[root@localhost ~]# vim /etc/ssh/sshd_config 

Allowusers root@192.168.140.138 #只有此IP可使用root登录

四、加固总结

1、使信息泄露越少越好，不泄露服务类型、系统类型，通过进一步修改端口加引流操作，使得外部探测失去准星；
2、在操作系统中基于网络层对可以访问的IP地址列白名单
3、对白名单用户进行账号权限登录指定

取消加固：
1、配置文件和hosts.allow文件内容修改 重新加载
2、移除3333端口，将22端口流量转回本IP139，并且移除先前的
3、重新加载