LAMP安全防护怎么做

LAMP 安全防护实操清单

一 系统层加固

• 保持系统与软件为最新安全版本，启用自动或定期安全更新；避免长期不更新导致漏洞被利用。
• 最小化安装与运行服务，关闭不必要的端口与后台服务，减少攻击面。
• 配置防火墙仅开放必要端口：如 SSH 22、HTTP 80/443；在 CentOS 使用 firewalld，在 Ubuntu 使用 UFW。
• SSH 安全：禁用 root 远程登录（PermitRootLogin no）、使用 SSH 密钥 认证并禁用密码登录（PasswordAuthentication no）、可更改默认端口、配置失败登录限制。
• 启用 SELinux 或等保机制进行强制访问控制，遇到应用兼容问题时优先调整策略而非直接关闭。
• 物理与引导安全：设置 BIOS/UEFI 密码、禁用外设启动、为 GRUB 设置引导口令。

二 Apache 安全配置

• 禁用不必要的模块（如 mod_cgi、mod_status 等），减少潜在攻击面。
• 隐藏版本与系统信息：设置 ServerTokens Prod、ServerSignature Off。
• 禁止目录列表：在目标目录配置 Options -Indexes。
• 使用虚拟主机，避免将应用放在默认或根目录；为管理接口设置访问控制。
• 启用 SSL/TLS 并优先使用 Let’s Encrypt 证书；在 CentOS 可通过 mod_ssl 配置 443 虚拟主机。
• 部署 WAF（如 ModSecurity）防御 SQL 注入、XSS 等常见 Web 攻击；必要时启用 mod_evasive 缓解 DoS。
• 限制请求速率与并发连接数，防止资源耗尽。

三 MySQL MariaDB 安全

• 运行 mysql_secure_installation：设置强密码策略、删除匿名用户、禁止 root 远程登录、移除测试库。
• 遵循最小权限原则：为应用创建最小权限专用账户，按库/表/列授权，及时回收不必要权限。
• 限制网络访问：数据库不对外暴露时仅监听本地（如 bind-address=127.0.0.1），或通过防火墙仅允许可信网段访问 3306。
• 数据目录与日志权限最小化，避免使用 root 运行 mysqld 守护进程。
• 启用必要日志（错误日志、慢查询日志、二进制日志）用于审计与排障。
• 启用 SSL/TLS 加密客户端连接，保护传输中数据。

四 PHP 安全与开发规范

• 升级至受支持的 PHP 版本，及时修补安全漏洞；禁用不必要的扩展与 危险函数（如 eval、exec、system、shell_exec、passthru、popen、curl_exec 等）。
• 关闭信息泄露：设置 expose_php = Off、display_errors = Off，开启 log_errors 写入安全日志。
• 防 SQL 注入：统一使用 PDO/MySQLi 预处理语句/参数化查询，避免字符串拼接。
• 防 XSS：按输出上下文进行编码（如 htmlspecialchars 处理 HTML 输出）。
• 防 CSRF：为表单加入一次性 CSRF Token 并在服务端校验。
• 文件上传安全：校验文件类型/大小/后缀，重命名存储，隔离到非 Web 可访问目录，限制执行权限。

五 运维监控与备份恢复

• 部署 Fail2ban 自动封禁暴力破解来源 IP（SSH、FTP、Web 登录等）。
• 集中日志与告警：收集 系统/Apache/PHP/MySQL 日志，使用 logwatch 或 SIEM 做异常检测与响应。
• 定期备份与演练恢复：全量与增量结合，覆盖配置文件、代码、数据库与证书；定期验证可恢复性。
• 抗 DDoS 与流量治理：结合 CDN/云高防/负载均衡 做流量清洗与弹性扩展。
• 持续安全评估：定期漏洞扫描、配置基线核查与渗透测试，形成闭环整改。