时间:2021-07-15 | 标签: | 作者:Q8 | 来源:互联网资深ops专家网络
小提示:您能找到这篇{互联网公司-阿里云主机安全加固方案}绝对不是偶然,我们能帮您找到潜在客户,解决您的困扰。如果您对本页介绍的互联网公司-阿里云主机安全加固方案内容感兴趣,有相关需求意向欢迎拨打我们的服务热线,或留言咨询,我们将第一时间联系您! |
< ">阿里云运维方案 < ">1.1现有环境介绍 < ">XX公司现有10人以上开发团队(开发+测试),现有Nginx服务器1台,Web服务器1台,Mongodb服务器2台(主从)+Mysql 5.6版本1台,Elasticsearch+2台(主从)+MQ(1台)+任务调度服务器1台,域名用的新网解析;已跟技术负责人做了详细沟通,现有资源已无法满足当前业务,现有架构缺点表现如下: < ">1.(开发+测试环境)不在本地,开发人员上传数据慢; < ">2.网站经常受攻击,数据经常被人爬虫;(没有防范); < ">3.缺乏有效的监控手段,出现问题无法及时报警,及时处理问题; < ">4.所有服务都是单点,一台服务器故障,所有服务都中断; < ">5.网络特别慢(只能等待)+tomcat访问丢失,日志无法分析; < ">6.数据安全无法保证;权限无法分类; < ">XX公司架构设计解决方案 < "> < ">1.2系统架构: < ">分析目前的情况,需要专业的运维团队来服务,需要7*24小时不间断的给客户提供服务,在这样的基础上,需要对现有架构进行升级优化,用阿里云的整体解决方案,此方案优势:阿里云结合云计算弹性计算的特点以及自己在互联网上的成功经验,规划了一整套完善的软件负载均衡解决方案,能更好的满足弹性计算平台负载均衡的需求,成功的解决了硬件负载均衡在达到性能上限后扩展性受限的问题。只需要订购软件的负载均衡设备,就可以轻松应对网络流量和数据量不断增长的场景。而且可以同时享受阿里云的安全解决方案,提供防DDOS攻击能力,不需要再购买入侵检测以及防火墙产品。系统架构图设计如下: < ">更新的后架构,此方案的好处低成本,高性能,具体体现在如下几个方面: < ">低成本:使用弹性负载均衡,成本很低,与传统硬件负载均衡设备的高投入相比成本能下降60%, < ">高可扩展:不论是ECS主机还是SLB负载均衡,企业均可以根据负载进行弹性扩展,在不中断业务系统,随时扩展新的资源。 < ">安全性高:购买SLB就可以享受阿里云的安全解决方案,提供防DDOS攻击能力,不需要再购买入侵检测以及防火墙产品。 < ">稳定性高:SLB采用的是全冗余设计,无单点,可用性高达99.99%, < ">展昭网络技术有限的数据库系统使用MySQL,版本5.7,目前使用的架构为MySQL单点,需要改成主从复制(Master-Slave),即Master-Slave架构; < ">优化监控,目前的监控报警机制,按照人员划分为二部分: < ">第一部分是运维人员,内部的运维人员根据所负责的系统划分,接收相应的应用及系统报警信息 < ">第二部分是项目及应用的负责人及相关责任人,仅仅接收所在项目组的应用报警信息 < ">按照告警事件划分为二级: < ">第一级是普通报警,主要是各个应用和项目组的应用报警,影响范围限制在该项目组内部 < ">第二级是系统报警,主要是服务器系统报警信息,以及内部虚拟机的报警信息,影响范围不限于一个项目组 < ">报警方式主要有短信,邮件,微信方式。 < ">报警的处理方式,根据事件等级划分: < ">第一级的事件报警信息,相关责任人接收信息之后,10分钟内必须做出处理,根据技术难度,在30-60分钟内必须处理完毕 < ">第二级的事件报警,运维人员在收到范围内的报警信息后,5分钟必须做出响应,根据处理的技术复杂度,在10-60分钟内处理完毕 < ">告警记录的保存: < ">目前系统中的报警信息主要是通过zabbix监控平台发布,根据平台的设置,对应的监控项和服务器的报警信息会发送给对应的人员,监控的日志记录在该软件平台内部可查询,可分析。 < ">建议优化开发环境,采购一台塔式dell服务器做虚拟化, < ">T430(4盘位3.5寸)冷电冷盘E5-2603v4 64G 1T SAS*2 DVD H330单电450W < ">建议系统安全加固,对CentOS 6.7跟Centos7.3安全加固及性能优化 < ">我们可以通过调整系统参数来提高系统内存、CPU、内核资源的占用,通过禁用不必要的服务、端口,来提高系统的安全性,更好的发挥系统的可用性。通过自己对Linux了解,对系统调优做了如下小结。 < ">经常玩Linux系统的朋友多多少少也知道些系统参数优化和怎样增强系统安全性,系统默认的一些参数都是比较保守的,所以我们可以通过调整系统参数来提高系统内存、CPU、内核资源的占用,通过禁用不必要的服务、端口,来提高系统的安全性,更好的发挥系统的可用性。通过自己对Linux了解,对系统调优做了如下小结: < ">操作系统:CentOS 6.8_x64最小化安装 < ">1、主机名设置 [root localhost~]#vi/etc/sysconfig/network HOSTNAME=test.com [root localhost~]#hostname test.com#临时生效 < ">2、关闭SELinux [root localhost~]#vi/etc/selinux/config SELINUX=disabled [root localhost~]#setenforce#临时生效 [root localhost~]#getenforce#查看selinux状态 < ">3、清空防火墙并设置规则 [root localhost~]#iptables-F#清楚防火墙规则 [root localhost~]#iptables-L#查看防火墙规则 [root localhost~]#iptables-A INPUT-p tcp--dport 80-j ACCEPT [root localhost~]#iptables-A INPUT-p tcp--dport 22-j ACCEPT [root localhost~]#iptables-A INPUT-p tcp--dport 53-j ACCEPT [root localhost~]#iptables-A INPUT-p udp--dport 53-j ACCEPT [root localhost~]#iptables-A INPUT-p udp--dport 123-j ACCEPT [root localhost~]#iptables-A INPUT-p icmp-j ACCEPT [root localhost~]#iptables-P INPUT DROP [root localhost~]#/etc/init.d/iptables save #根据需求开启相应端口 < ">4、添加普通用户并进行sudo授权管理 [root localhost~]#useradd user [root localhost~]#echo"123456"|passwd--stdin user#设置密码 [root localhost~]#vi/etc/sudoers#或visudo打开,添加user用户所有权限 root ALL=(ALL)ALL user ALL=(ALL)ALL < ">5、禁用root远程登录 [root localhost~]#vi/etc/ssh/sshd_config PermitRootLoginno PermitEmptyPasswords no#禁止空密码登录 UseDNSno#关闭DNS查询 < ">6、关闭不必要开机自启动服务 < ">7、删除不必要的系统用户 < ">8、关闭重启ctl-alt-delete组合键 [root localhost~]#vi/etc/init/control-alt-delete.conf #exec/sbin/shutdown-r now"Control-Alt-Deletepressed"#注释掉 < ">9、调整文件描述符大小 [root localhost~]#ulimit–n#默认是1024 1024 [root localhost~]#echo"ulimit-SHn 102400">>/etc/rc.local#设置开机自动生效 < ">10、去除系统相关信息 [root localhost~]#echo"Welcome to Server">/etc/issue [root localhost~]#echo"Welcome to Server">/etc/redhat-release < ">11、修改history记录 [root localhost~]#vi/etc/profile#修改记录10个 HISTSIZE=10 < ">12、同步系统时间 [root localhost~]#cp/usr/share/zoneinfo/Asia/Shanghai/etc/localtime#设置Shanghai时区 [root localhost~]#ntpdate cn.pool.ntp.org;hwclock–w#同步时间并写入blos硬件时间 [root localhost~]#crontab–e#设置任务计划每天零点同步一次 0****/usr/sbin/ntpdate cn.pool.ntp.org;hwclock-w < ">13、内核参数优化 [root localhost~]#vi/etc/sysctl.conf#末尾添加如下参数 net.ipv4.tcp_syncookies=1#1是开启SYN Cookies,当出现SYN等待队列溢出时,启用Cookies来处,理,可防范少量SYN攻击,默认是0关闭 net.ipv4.tcp_tw_reuse=1#1是开启重用,允许讲TIME_AIT sock营业推广策划方案ets重新用于新的TCP连接,默认是0关闭 net.ipv4.tcp_tw_recycle=1#TCP失败重传次数,默认是15,减少次数可释放内核资源 net.ipv4.ip_local_port_range=4096 65000#应用程序可使用的端口范围 net.ipv4.tcp_max_tw_buckets=5000#系统同时保持TIME_WAIT套接字的最大数量,如果超出这个数字,TIME_WATI套接字将立刻被清除并打印警告信息,默认180000 net.ipv4.tcp_max_syn_backlog=4096#进入SYN宝的最大请求队列,默认是1024 net.core.netdev_max_backlog=10240#允许送到队列的数据包最大设备队列,默认300 net.core.somaxconn=2048#listen挂起请求的最大数量,默认128 net.core.wmem_default=8388608#发送缓存区大小的缺省值 net.core.rmem_default=8388608#接受套接字缓冲区大小的缺省值(以字节为单位) net.core.rmem_max=16777216#最大接收缓冲区大小的最大值 net.core.wmem_max=16777216#发送缓冲区大小的最大值 net.ipv4.tcp_synack_retries=2#SYN-ACK握手状态重试次数,默认5 net.ipv4.tcp_syn_retries=2#向外SYN握手重试次数,默认4 net.ipv4.tcp_tw_recycle=1#开启TCP连接中TIME_WAIT sockets的快速回收,默认是0关闭 net.ipv4.tcp_max_orphans=3276800#系统中最多有多少个TCP套接字不被关联到任何一个用户文件句柄上,如果超出这个数字,孤儿连接将立即复位并打印警告信息 net.ipv4.tcp_mem=94500000 915000000 927000000 net.ipv4.tcp_mem[0]:低于此值,TCP没有内存压力; net.ipv4.tcp_mem[1]:在此值下,进入内存压力阶段; net.ipv4.tcp_mem[2]:高于此值,TCP拒绝分配socket。内存单位是页,可根据物理内存大小进行 < ">14./etc/ssh/sshd_config通过编辑文件可以修改sshd服务的相关配置,以下新增端口22223, < ">1.3高可用设计跟补丁修补-备份策略 < ">1.业务系统采用双服务器进行冗余设计,数据库服务器采用双服务器进行冗余设计,防止单点故障造成网络服务中断。 < ">2.根据,Centos官方社区和Linux社区出现的漏洞进行及时手动补丁修复。 < ">3.建立主机系统软件版本维护机制,随时根据系统厂商发布的最新系统补丁进行对照,检查当前使用的系统版本,并对补丁进行升级。 < ">4.建立主机系统软件备份和恢复机制,对主机系统的软件和数据进行了定时备份任务。当出现灾难性时,可以对系统软件和数据进行快速恢复。 < ">业务系统中的应用服务器采用负载均衡技术对外提供访问,数据库服务器也实现负载均衡,对应用提供数据访问,避免了所有的单点故障问题,而且可以随时扩容服务器。 < ">(1)目前系统中的数据备份分为两级 < ">第一级是每天的本地服务器备份,保留一周的数据 < ">第二级是集中备份,有大容量存储空间的文件服务器负责存储所有的数据备份,保留周期一年。 < ">系统中的系统数据备份,包括程序目录备份,有单独的目录存放,以区网络推广要多少钱别于数据库备份。 < ">(2)业务系统的异地备份机制,以及灾难恢复计划。 < ">异地备份容灾的考虑:系统中的所有数据备份,和程序及日志备份,均有异地存储。 < ">目前的系统运维中有灾难恢复的计划。系统中目前有脚本结合人工实现,脚本部分负责恢复数据及程序,人工修复部分负责搭建环境,每季度进行一次灾难恢复演练,确保数据及程序的恢复完整性。 < ">(3)建立日常数据备份管理制度,和灾备演练制度。 < ">系统中的数据备份,备份介质的保管有专人负责。 < ">介质的安全性在整个保密体系规划中。 < ">(4)根据目前建立的灾难恢复计划,系统中目前的灾难恢复演练为每季度进行一次,系统运维主要负责人定期每个季度对运维人员进行培训。
|
上一篇:Microsoft Remote Desktop for Mac(微软远程连接软件)
下一篇:华为的CPD投放
基于对传统行业渠道的理解,对互联网行业的渠道我们可以下这样一个定义:一切...
小米应用商店的后台操作和苹果是比较相似的,因为都能填写100字符关键词,允许...
小米的规则目前是在变更中的,但是根据经验小米的搜索排名评分的高低是个很重...
为了恰饭,有时候是要接入一些广告的,所以FB也专门有一个广告的SDK,这就是A...
在 2018 年于旧金山举行的游戏开发者大会上,Amazon Web Services (AWS) 曾宣布,目前世...
关于Facebook Audience Network如何收款的问题,其实官方已经给了详细的步骤。本文主要...
本文介绍了Audience Network对广告载体的质量检查,以及它重点广告形式需要注意的问...
随着iOS开发,作为开发者或公司需要针对iOS App开发涉及的方方面面作出对应的信息...
Facebook和谷歌对出海企业广告渠道都很熟悉,但事实上,在国外还有一些渠道也很...
卖家从做号的第1分钟开始,就一定要想好变现路径是什么?一定要以变现为目的去...
小提示:您应该对本页介绍的“互联网公司-阿里云主机安全加固方案”相关内容感兴趣,若您有相关需求欢迎拨打我们的服务热线或留言咨询,我们尽快与您联系沟通互联网公司-阿里云主机安全加固方案的相关事宜。
关键词:互联网公司-阿里云主机安