centos dopra安全设置方法

CentOS 环境下 DOPRA 安全设置方法

术语澄清与总体思路

• DOPRA并非CentOS的标准组件或发行版名称，通常是某个厂商或项目自定义的术语。因此不存在“官方唯一”的 DOPRA 安全基线；实际应按“最小化暴露面 + 身份鉴别与授权 + 网络与主机加固 + 日志与监控”的思路，将通用 Linux 安全实践应用到运行 DOPRA 的 CentOS 主机上。

身份与权限加固

• 账户与组
  • 创建最小权限专用账户，禁止共享账号；使用sudo进行授权，避免直接以root日常登录。
  • 命令示例：
    • 新建用户与组：sudo adduser appuser、sudo groupadd appgrp
    • 加入附加组：sudo usermod -aG appgrp appuser
    • 仅授予必要 sudo 权限：sudo visudo 中添加 appuser ALL=(ALL) NOPASSWD: /usr/bin/systemctl restart dopra（按需最小化）
• 文件与目录
  • 以最小权限运行 DOPRA 相关文件与目录，区分配置、数据与日志的属主与权限。
  • 命令示例：
    • 设置属主与权限：sudo chown -R appuser:appgrp /opt/dopra /var/log/dopra
    • 目录权限：sudo chmod 750 /opt/dopra /var/log/dopra
    • 精细 ACL：sudo setfacl -m u:appuser:rwx /opt/dopra/config.yaml
• 原则
  • 遵循最小权限原则与职责分离，定期审计 sudoers 与关键文件权限。

网络与防火墙配置

• 启用并持久化防火墙
  • 命令示例：
    • 启动与开机自启：sudo systemctl start firewalld、sudo systemctl enable firewalld
    • 查看状态：sudo firewall-cmd --state
• 仅开放必要端口与服务
  • 命令示例：
    • 开放业务端口（示例为 8080/tcp）：sudo firewall-cmd --permanent --zone=public --add-port=8080/tcp
    • 开放系统服务（示例为 http）：sudo firewall-cmd --permanent --zone=public --add-service=http
    • 使配置生效：sudo firewall-cmd --reload
    • 查看规则：sudo firewall-cmd --list-all
• 建议
  • 默认拒绝入站，按需放行；对管理口限制来源网段；对外最小化暴露端口与服务。

SSH 与远程访问安全

• 修改 /etc/ssh/sshd_config 关键项
  • 禁止 root 登录：PermitRootLogin no
  • 强制公钥认证：PubkeyAuthentication yes、PasswordAuthentication no
  • 限制可登录用户：AllowUsers appuser（按需）
  • 可选：仅监听内网地址：ListenAddress 192.168.1.10
• 应用与验证
  • 重启服务：sudo systemctl restart sshd
  • 保持端口变更与防火墙一致，避免锁死
• 加固
  • 配合 Fail2Ban 防御暴力破解：sudo yum install fail2ban -y && sudo systemctl enable --now fail2ban
• 原则
  • 优先使用密钥登录，禁用密码；限制来源；变更前保留控制台访问通道以便回滚。

系统更新、SELinux 与日志监控

• 系统与软件更新
  • 定期更新补丁：sudo yum update -y 或 sudo dnf update -y，修复已知漏洞，降低被攻陷风险。
• SELinux 强制访问控制
  • 保持启用：sudo setenforce 1
  • 查看状态：sestatus
  • 仅在确需时调整策略，避免直接永久禁用（如修改 /etc/selinux/config 为 SELINUX=disabled 的做法不推荐）
• 日志与入侵防护
  • 重点日志：/var/log/secure（认证与 SSH）、/var/log/messages（系统消息）
  • 实时监控：sudo tail -f /var/log/secure、sudo tail -f /var/log/messages
  • 结合 Fail2Ban 自动封禁恶意来源 IP
• 备份与演练
  • 定期备份 DOPRA 配置与数据，并进行恢复演练，确保事件可快速处置与恢复。