Ubuntu如何提升网站安全性

Ubuntu服务器网站安全加固清单

一 系统与基础防护

• 保持系统与软件包为最新，及时修补漏洞；启用自动安全更新以减少暴露窗口。
  命令示例：sudo apt update && sudo apt upgrade -y；sudo apt install unattended-upgrades && sudo dpkg-reconfigure --priority=low unattended-upgrades。
• 强化 SSH：禁用 root 登录、使用 SSH 密钥 替代密码、可更改默认端口；修改后重启 SSH 服务。
  命令示例（/etc/ssh/sshd_config）：PermitRootLogin no；PasswordAuthentication no；Port 2222；sudo systemctl restart sshd。
• 最小权限与用户管理：创建普通用户并加入 sudo，按需授权；避免使用 root 日常操作。
• 防火墙 UFW：仅放行必要端口（如 22/80/443），对 SSH 使用 limit 限速防暴力；启用前务必先允许 SSH，避免被锁。
  命令示例：sudo ufw default deny incoming；sudo ufw default allow outgoing；sudo ufw allow 2222/tcp；sudo ufw allow http；sudo ufw allow https；sudo ufw limit ssh；sudo ufw enable。
• 入侵防护：部署 fail2ban 自动封禁暴力破解来源。
  命令示例：sudo apt install fail2ban。
• 恶意软件扫描：安装 ClamAV 定期扫描用户目录与上传目录。
  命令示例：sudo apt install clamav clamav-daemon；sudo freshclam；sudo clamscan -r /home。

二 Web 服务器加固 Apache 与 Nginx

• 通用 Web 配置
  • 隐藏服务器信息：设置 ServerTokens Prod、ServerSignature Off，减少信息泄露。
  • 禁用目录浏览：Options -Indexes。
  • 禁用不必要模块：减少攻击面（如 a2dismod 不需要的模块）。
  • 访问控制：对管理路径、备份目录等使用基于 IP 或网络的 Require/Allow/Deny 限制。
  • 日志与监控：定期检查 /var/log/apache2/access.log 与 error.log，可用 Logwatch 做日报。
• Apache 专项
  • 启用 SSL/TLS：a2enmod ssl；部署证书后配置 SSLEngine on、证书与链文件路径。
  • 自动获取证书：使用 Certbot 一键申请并配置 HTTPS（–apache 模式）。
  • WAF 与抗 D：部署 mod_security2（防 SQLi、XSS）与 mod_evasive（抗 DoS/暴力）。
  • 进程隔离：启用 AppArmor 对 Apache 进行强制访问控制。
• Nginx 专项
  • 将 HTTP 强制跳转 HTTPS：在 80 虚拟主机中使用 return 301 https://$host$request_uri;。
  • 启用 HTTP/2 与安全的 TLS 配置（禁用过时协议与弱套件）。
  • 使用 Certbot 的 --nginx 模式自动配置 HTTPS。

三 数据安全与证书管理

• 加密传输
  • 优先全站 HTTPS，使用 Let’s Encrypt 免费证书；证书有效期 90 天，需定期续期。
  • 自动续期：配置定时任务执行 certbot renew（如每日两次静默检查）。
• 证书部署路径与配置要点（Apache）
  • 常见路径：/etc/letsencrypt/live/example.com/ 下的 fullchain.pem 与 privkey.pem。
  • 示例 VirtualHost 443：SSLEngine on；SSLCertificateFile /etc/letsencrypt/live/example.com/fullchain.pem；SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem。
• 手动部署第三方证书（Apache）
  • 将公钥、私钥与链文件放入 /etc/apache2/ssl/；启用 ssl 模块；在 default-ssl.conf 中设置证书路径；必要时在 ports.conf 中确保 Listen 443；建立软链接并重启 Apache。

四 域名与网络层安全

• 解析安全：为域名启用 DNSSEC，提升 DNS 完整性与抗篡改能力。
• 边界与速率限制：在 CDN/反向代理（如 Cloudflare）开启速率限制、WAF、Bot 防护与隐藏源站；必要时在主机侧对入站/出站流量做整形与限速。
• 网络监测：部署 IDS/IPS 实时监控异常流量与攻击特征。

五 运维与应急响应

• 备份与恢复：定期备份网站文件与数据库，发生安全事件可快速回滚。
  命令示例：tar -czvf /backup/site_$(date +%F).tar.gz /var/www/html。
• 日志审计与告警：集中收集并分析访问与错误日志，结合 Logwatch 或集中式日志平台设置阈值告警。
• 变更与演练：变更前备份配置与证书；定期在测试环境演练恢复流程与应急预案。