LAMP服务器如何保证安全性

LAMP服务器安全性加固清单

一 基础系统与访问控制

• 保持系统与软件包为最新：执行系统更新（如 apt update && apt upgrade 或 yum update -y），及时修补漏洞。
• 最小权限与专用账户：创建非 root运维账户并加入 sudo/wheel，通过 sudo 提权；禁用 root 远程登录。
• 强化 SSH：使用 SSH 密钥登录，禁用密码登录；可更改默认端口并限制来源 IP。
• 防火墙分层管控：
  • Ubuntu/Debian 使用 UFW：仅放行 22/80/443，必要时限制 3306 仅内网访问。
  • CentOS/RHEL 使用 firewalld：启用并持久化放行 http/https/ssh 服务。
• 云安全组叠加：在云平台仅放通必要来源 IP 与端口，优先限制 22/3306 的对外暴露。
• 服务最小化：关闭不必要的端口与服务，减少攻击面。

二 Apache 与 PHP 安全

• 隐藏服务标识：设置 ServerTokens Prod、ServerSignature Off，减少信息泄露。
• 目录与执行控制：禁用目录列表 Options -Indexes；对上传与敏感目录禁用 ExecCGI/Includes；必要时按 IP/网段 限制访问。
• PHP 信息泄露防护：关闭 expose_php = Off；生产环境关闭错误回显 display_errors = Off、开启 log_errors = On。
• 远程包含与危险函数：关闭 allow_url_fopen/allow_url_include；禁用危险函数如 exec、shell_exec、system、passthru、proc_open 等。
• 文件系统隔离：使用 open_basedir 限制 PHP 可访问目录。
• 模块与组件精简：仅启用必要 Apache 模块 与 PHP 扩展，减少潜在漏洞入口。

三 数据库 MariaDB MySQL 安全

• 运行安全初始化：执行 mysql_secure_installation，设置强 root 密码、删除匿名用户与测试库、禁止远程 root 登录。
• 限制网络访问：如无远程需求，配置 bind-address=127.0.0.1；如需远程，仅允许应用所在网段访问。
• 禁用危险功能：在 [mysqld] 中设置 local-infile=0，降低文件注入风险。
• 最小权限账户：为应用创建专用数据库用户，仅授予目标库的最小必要权限（如 SELECT/INSERT/UPDATE/DELETE）。
• 备份与审计：定期备份数据库与配置，保留审计线索。

四 加密传输与证书管理

• 全站启用 HTTPS：优先使用 Let’s Encrypt 与 Certbot 自动签发与续期（如 certbot --apache -d yourdomain.com），并配置定时任务自动续期。
• 手动部署证书：在 Apache 虚拟主机配置 SSLEngine on、SSLCertificateFile、SSLCertificateKeyFile、SSLCertificateChainFile 并重启服务。
• 安全协议与套件：启用 TLSv1.2/TLSv1.3，禁用 SSLv2/SSLv3 与不安全套件，优先 ECDHE 等前向保密套件。

五 监控备份与合规

• 入侵防护与日志分析：部署 fail2ban 自动封禁暴力破解；使用 logwatch 或集中日志系统定期审计 Apache/SSH/MySQL 日志。
• 完整性检查与恶意软件扫描：定期运行 rkhunter/chkrootkit 检测后门与 rootkit。
• 备份与恢复演练：对 /var/www 与数据库执行定期备份（如 rsync/duplicity），并验证可恢复性。
• 运行时防护：启用 SELinux/AppArmor 等强制访问控制，限制 Web/数据库 进程的权限边界。
• 安全配置基线：持续对照安全基线检查项（如禁用不必要模块、限制上传大小、设置安全 HTTP 头、分离数据库与应用）。