V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
kieya00
V2EX  ›  站长

弱弱的问个事,需要给网站加防护吗?

  •  
  •   kieya00 · 2019-12-02 16:38:33 +08:00 · 4635 次点击
    这是一个创建于 1578 天前的主题,其中的信息可能已经有所发展或是发生改变。

    自己弄了个简单的小网站,在阿里云上部署的,然而并不懂什么安全之类的,需要加什么防护吗?如果需要,直接买阿里云的靠谱吗?

    17 条回复    2019-12-03 13:52:20 +08:00
    ceet
        1
    ceet  
       2019-12-02 16:53:46 +08:00
    没必要的。就像我的网站 https://aiylqy.com 什么 ddos 啊什么 cc 啊 什么后台爆破啊。鸟都不鸟他。哈哈
    tyzrj766
        2
    tyzrj766  
       2019-12-02 16:53:49 +08:00   ❤️ 1
    主机上的防护:改 SSH 登录端口;复杂 Root 密码;不嫌麻烦可以用 KEY 登录最安全,除非你丢了。
    删掉 PHP 等参数页面,如果你用 LNMP 各种一键包一般都会留这个,改掉 phpMyAdmin 的默认路径(如果你在用的话)
    到腾讯云后台关闭不必要的端口,留几个常用的就行,例如 22、80、443、3306、22、21 等,Win 还得开 3389。
    腾讯云有免费的 10G 流量 CDN,可以套上隐藏服务器 IP,小网站够用了。
    安装 Fail2ban,避免暴力爆破。
    以上,基本能杜绝大部分情况,再高级的还得花钱或者靠学技术了。
    libook
        3
    libook  
       2019-12-02 17:15:46 +08:00   ❤️ 1
    云厂商的防护不是万金油,基本上只能针对 DDoS 等攻击方式,绝大多数安全问题都是来自于程序的、系统用户和权限上的安全性缺陷。
    服务尽可能跑在受限用户上,
    SSH 尽可能禁用密码用秘钥登录,
    程序上要尽量避免产生 SQL 注入漏洞(有的云厂商的负载均衡会带一个基本防护能力),
    CDN 和发短信邮件等一些花钱的地方要做好限流,
    返回用户个人信息的接口要做好鉴权以防止有人大量盗取用户信息。

    信息安全的事情不少,以上只是些最基本的。
    orzorzorzorz
        4
    orzorzorzorz  
       2019-12-02 17:25:33 +08:00
    linux 主机建个账号,别什么事都用 root。数据库也一样,独立个账号出来。需要注意的就是权限。
    还有就是别太高看自己的数据,我是觉着世界上百分之九十九的服务器都是没啥攻击价值的,你倒贴钱可能人家都不愿意动手...
    lneoi
        5
    lneoi  
       2019-12-02 17:30:03 +08:00
    云锁 悬镜之类防护软件可以加一个,免费功能就够用。程序把已知的漏洞补上一般就行了,小站也不会被人盯着搞,有漏洞也不一定爱搞
    love
        6
    love  
       2019-12-02 17:35:59 +08:00
    没必要,只要做对最基本的事情,我的网站十几年了毫无问题
    lc7029
        7
    lc7029  
       2019-12-02 17:57:07 +08:00   ❤️ 1
    1,通过堡垒机登录服务器。如果没有堡垒机,改掉 SSH 端口或者只对自己的 IP 放行也行。
    2,服务器和客户中间加一层 CDN,可以 WAF 过滤掉某些奇怪的请求,也可以隐藏真实 IP。
    3,修改配置禁止某些高危函数。
    4,不管是系统还是数据库,尽量不要用 root 或 administrator/sa,最小权限。
    其他想起来再写。
    cco
        8
    cco  
       2019-12-02 18:25:44 +08:00
    WP 博客,每天都被几百人包里破解密码。。。装个插件完事。。
    weiruanniubi
        9
    weiruanniubi  
       2019-12-02 19:24:41 +08:00
    没必要。
    superrichman
        10
    superrichman  
       2019-12-02 19:49:06 +08:00 via iPhone
    最基础的要做的:先把防火墙跑起来,别把什么都暴露在外面了。 然后把密码改复杂点。后面就多注意观察日志,看有谁攻击你
    kieya00
        11
    kieya00  
    OP
       2019-12-03 11:29:45 +08:00
    @ceet 这。。。。真的行吗?我感觉我的网站一直处在高度危险中啊
    kieya00
        12
    kieya00  
    OP
       2019-12-03 11:30:39 +08:00
    @tyzrj766 果然大佬,感谢感谢,正在研究中,非常感谢!
    kieya00
        13
    kieya00  
    OP
       2019-12-03 11:31:15 +08:00
    @libook 感谢指点
    kieya00
        14
    kieya00  
    OP
       2019-12-03 11:32:34 +08:00
    @lneoi 我之前公司官网就被人当肉机了,另外还有可能让别人利用服务器来挖矿吧,因为不懂,所以怕怕啊
    kieya00
        15
    kieya00  
    OP
       2019-12-03 11:33:00 +08:00
    @lc7029 感谢大佬,研究中
    lc7029
        16
    lc7029  
       2019-12-03 12:18:03 +08:00
    @kieya00 一般不用太在意,大多数人黑站是扫描,发现你的站点匹配不到某些规则就放过扫别人去了,除非真实和你有仇或者要搞你的人。
    ceet
        17
    ceet  
       2019-12-03 13:52:20 +08:00
    @kieya00 随便弄个服务器。只要程序漏洞 网站随便套一个 CDN。就没人拿你有办法。 因为破坏你的网站付出的绝对超过你部署的很多呗 没那么多傻逼的
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   我们的愿景   ·   实用小工具   ·   4511 人在线   最高记录 6543   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 27ms · UTC 10:07 · PVG 18:07 · LAX 03:07 · JFK 06:07
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.