安全运维

堡垒机简介 运维审计系统 （堡垒机），即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和破坏，而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动，以便集中报警、及时处理及审计定责。 主要用于服务器、网络设备、安全设备的权限分离和安全管控。 堡垒机功能 从功能上讲，它综合了核心系统运维和安全审计管控两大主干功能 从技术实现上讲，通过切断终端计算机对网络和服务器资源的直接访问，而采用协议代理的方式，接管了终端计算机对网络和服务器的访问 形象地说，终端计算机对目标的访问，均需要经过运维安全审计的翻译。打一个比方，运维安全审计扮演着看门者的工作，所有对网络设备和服务器的请求都要从这扇大门经过。因此，运维安全审计能够拦截非法访问，和恶意攻击，对不合法命令进行阻断，过滤掉所有对目标设备的非法访问行为，并对内部人员误操作和非法操作进行审计监控，以便事后责任追踪。 安全审计作为企业信息安全建设不可缺少的组成部分，逐渐受到用户的关注，是企业安全体系中的重要环节。同时，安全审计是事前预防、事中预警的有效风险控制手段，也是事后追溯的可靠证据来源。 单点登录功能 ：支持对X11、Linux、Unix、数据库、网络设备、安全设备等一系列授权账号进行密码的自动化周期更改，简化密码管理，让使用者无需记忆众多系统密码，即可实现自动登录目标设备，便捷安全。

本文根据 InfoQ 中文站跟陈皓（@左耳朵耗子）在 2014 年 3 月的一次聊天内容整理而成。 在沟通中，陈皓分享了自己对云计算的理解，包括云计算为什么会分三层，实现一个云平台的难点在什么地方，运维之于云计算的重要性，电商云为什么有价值等。 对云计算的定义 云计算其实跟 PC 机有一样的概念，有 CPU、硬盘、操作系统、应用软件。 云计算的计算节点（虚拟机）就是 PC 中的 CPU，数据缓存服务就是 PC 的内存，存储节点就是 PC 的硬盘，提供数据服务，让数据不丢、高可用，PC 中的控制器就是云计算的控制系统。PC 机的硬件上面要有操作系统。 操作系统很大一块是给开发人员提供系统的 API 接口，提供系统监控以看运行情况，并且还要有系统管理——如用户账号的权限管理、备份恢复等等。操作系统上面要有应用软件，这样才能服务于最终用户，应用软件就是真正落地的业务，这样才会有用户；有了用户，整个体系就运转起来了。 这就是工程师说的 stack，也就是我们听到的 IaaS、PaaS、SaaS 三个层。 IaaS 层就像 PC 机的基础硬件加驱动程序，PaaS 层就像 PC 机上的操作系统——把基础硬件抽象、包起来并屏蔽硬件和硬件驱动细节、调度基础硬件，而 SaaS 层就是 PC 机里的应用软件。 另外，我们还得给开发人员提供各种开发框架、类库和开发环境，这就是为什么 AWS 还做通知

系统运维 主要负责：系统运维负责IDC、网络、CDN和基础服务的建设（LVS、NTP、DNS）；负责资产管理，服务器选型、交付和维修 IDC数据中心建设 收集业务需求，预估未来数据中心的发展规模，从骨干网的分布，数据中心建筑，以及Internet接入、网络攻击防御能力、扩容能力、空间预留、外接专线能力、现场服务支撑能力等方面评估选型数据中心。负责数据中心的建设、现场维护工作。 == 网络建设== 设计及规划生产网络架构，这里面包括：数据中心网络架构、传输网架构、CDN网络架构等，以及网络调优等日常运维工作 LVS负载均衡和SNAT建设 LVS是整个站点架构中的流量入口，根据网络规模和业务需求，构建负载均衡集群；完成网络与业务服务器的衔接，提供高性能、高可用的负载调度能力，以及统一的网络层防攻击能力；SNAT集中提供数据中心的公网访问服务，通过集群化部署，保证出网服务的高性能与高可用。 CDN规划和建设 CDN工作划分为第三方和自建两部分。建立第三方CDN的选型和调度控制；根据业务发展趋势，规划CDN新节点建设布局；完善CDN业务及监控，保障CDN系统稳定、高效运行；分析业务加速频道的文件特性和数量，制定最优的加速策略和资源匹配；负责用户劫持等CDN日常故障排查工作。 服务器选型、交付和维护 负责服务器的测试选型，包含服务器整机、部件的基础性测试和业务测试，降低整机功率

一、 1、以资产和平台为目标，明确监控数量和监控维度 1.1、管理入口、数据区、接口、网络边界和DMZ，这些都是必须重点监控的 1.2、以管理入口为例：IP绑定，前后台分离，后台验证码、登录监控、IP白名单、二次验证机制、httponly+hash（预防CSRF or XSRF）、登陆凭证单IP锁定，多地登陆告警、异地登陆手机验证、访问行为学习监控、众测和SRC等 2、综合考虑现有资源，选择合适的巡检方案 2.1、能自动化的，一定不要手动。能用一个shell脚本解决的，不要扯框架 2.2、人工渗透检测的成本一定要严格控制，非核心、非新业务、不建议 3、定制巡检规范和反馈机制，打通部门之间的安全信息通路 二、被动式安全-安全监控 1、安全监控策略（分而治之） 1.1多点监控往往比单一监控，更能有效捕捉到异常行为 虚假bash，捕捉黑阔 虚假数据库，防脱库 特制业务蜜罐，保护核心业务平台安全 1.2 网络流量旁路分析+主机监控+容器监控+数据监控+蜜罐+统一接口监控=>完整的数据流监控 三、监控平台选择 1、开源 OSSIM（分析功能强，但是友好度不够） OSSEC（HIDS好用） Suricata（强） HoneyDrive（蜜罐全家桶） 2、闭源 安全够服云（主机监控+WAF+攻击链智能分析+预警+攻防情报+扩平台+跨边界+巡检+人工服务+物美价廉） 3、造轮子

主题：如何构建高效安全的运维服务平台 时间：4 月 12 日 20：30 —— 22：00 地点：青云QingCloud 技术分享群，文末有二维码。 讲师：章华鹏，乌云唐朝安全巡航产品负责人。 曾作为百度云安全部高级安全工程师先后经历百度安全管理运营团队、百度内部应急响应团队、内部监控体系建设和百度云加速项目。对甲方安全建设有丰富的经验和深刻的理解。2015 年初加入乌云担任唐朝安全巡航产品负责人，同时章华鹏作为一个国内活跃的知名白帽子，曾经帮助 BAT 等企业多次发现高危安全风险，网络的 ID 是 booooom 。 本期内容介绍： 本次分享的话题是“如何构建高效安全的运维服务平台”，包括：企业的数据安全问题，运维安全中面临的网络、系统服务、应用相关配置等问题。 扫描下方二维码，输入『听课』，小编拉你入群 来源： oschina 链接： https://my.oschina.net/u/2306887/blog/656433

安全 运维人员的权限很大，一定要保证账号/私钥的安全 使用加密工具存储，给ssh私钥加密码，基于本地存储；稳定安全是运维的最高责任。 责任心 遇到报警要第一时间进行处理，不用等着别人去处理；如无法处理，应该第一时间让同事协助帮忙， 细心 自己的任何一个操作都要谨慎，都有可能造成系统的损害、业务出问题等。敲命令一定细心、再三确认，再快的手速也就省下几秒钟，但是出了问题就是大事 推进及改善 如果代码有问题，造成系统的开销很大，比如负载、io等，应该第一时间和开发联系，优化代码。 进取心 运维知识广泛、要不断的学习。遇到问题，做好分析及记录，事后可以在部门内部进行分享和交流。 懂网络、懂系统、懂数据库、还要懂业务逻辑。 抗压能力 拥有良好的心态。 永远不要只有一个方案 解决问题不要只想一个方案，多想几个方案，多几手准备反正不会有坏处~ 沟通能力 描述问题： 你需要描述清楚在工作中遇到的问题，及时寻求帮助。 解释不能实现的功能： 当你向客户解释某个产品的功能时，哪些是可以展现出来，哪些是不能实现，那不能实现的功能有没有替代方案，都需要描述清楚。 来源：51CTO 作者： 链接：https://blog.51cto.com/13870640/2448453

知识框架： 1.Linux基础知识 2.系统管理 服务安全 服务管理 shell脚本编程 Linux服务管理 openssl, web, ftp, samba, nfs, dhcp, dns 3.MySQL数据库系统 瞬时&持久 cache$storage 4.Linux集群：负载均衡，clustor LB：lvs, nginx, haproxy （4lager 7lager） HA: heartbeat, corosync, rhcs, keepalived 5.分布式应用： MogileFS MongoDB (NoSQL) HDFS, MapReduce 分布式文件系统 zookeeper 6.缓存系统： varnish 7.虚拟化： xen, kvm（基于内核的虚拟机）, docker 8.openstack： IAAS云（xen, kvm, lxc） 9.运维工具： puppet（RUBY）, saltstack（Python）， ansible 10.监控： zabbix 11.大数据处理： hadoop（上一代） DT时代 spark，strom elk elastic search logstash kibana 12.Docker 13.Python 来源： https://www.cnblogs.com/zhimahu/p/11735071.html

运维工作应该掌握哪些技能？ 运维中关键技术点解剖：1 大量高并发网站的设计方案 ；2 高可靠、高可伸缩性网络架构设计；3 网站安全问题，如何避免被黑？4 南北互联问题,动态CDN解决方案；5 海量数据存储架构 一、什么是大型网站运维？ 首先明确一下，全文所讲的”运维“是指：大型网站运维，与其它运维的区别还是蛮大的；然后我们再对大型网站与小型网站进行范围定义，此定义主要从运维复杂性角度考虑，如网站规范、知名度、服务器 量级、pv量等考虑，其它因素不是重点；因此，我们先定义服务器规模大于1000台，pv每天至少上亿（至少国内排名前10），如sina、baidu、 QQ， http:// 51.com 等等；其它小型网站可能没有真正意义上的运维工程师，这与网站规范不够和成本因素有关，更多的是集合网络、系统 、开发工作于一身的“复合性人才”，就如有些公司把一些合同采购都纳入了运维职责范围，还有如IDC网络规划也纳入运维职责。所以，非常重要一定需要明白：运维对其它关联工种必须非常了解熟悉：网络、系统、系统开发、存储，安全,DB等；我在这里所讲的运维工程师就是指专职运维工程师。 我们再来说说一般产品的“出生”流程： 1、首先公司管理层给出指导思想，PM定位市场需求（或copy成熟应用）进行调研、分析、最终给出详细设计。 2、架构师根据产品设计的需求，如pv大小预估、服务器规模

一、前言：最近学了一些关于安全运维的一些东西，整理记录一下。 1、删除特殊的用户和用户组： 我们的Linux都有很多的特殊用户和用户组，针对一些没用的默认用户和用户组，可以删除，减少被利用的风险。 系统默认用户： 系统默认用户组： 可使用 userdel 用户名 去删除一些没用的用户，如adm,lp,halt,news等 可使用 groupdel 用户组 去删除一些没用的用户组，如adm,lp,news等 有些时候，某些用户需要用作进程调用或者用户组调用，但并不需要登录，此时，要禁止这些用户的登录功能，如nagios用户等，可执行如下命令： usermod -s /sbin/nologin nagios 2、合理使用su、sudo命令： 我们都知道，Linux系统一般都禁止超级用户直接登录的，但有时普通用户需要执行一些超级用户才能执行的命令，怎么办，例如，想查看/etc/shadow的内容，普通用户没有权限； 如果su切换到超级用户来执行，这样对超级用户的密码存在很大隐患，我们可以通过配置/etc/sudoers文件，进而使用sudo命令来解决问题。 3、禁止Control-Alt-Delete键盘关闭命令： linux默认设置下，同时按Control-Alt-Delete组合键，系统将自动重启，这个策略很不安全。对于目前Windows通过ssh连接远程服务器来说可能影响不是很大

互联网运维工作，以服务为中心， 以稳定、安全、高效为三个基本点 ，确保公司的互联网业务能够 7×24 小时为用户提供高质量的服务。 什么是运维和运维工程师： 一、初入运维领域的头衔： 运维实习生 系统管理员 网络管理员 二、使用频率最高的运维头衔： 运维工程师 IT运维工程师 Linux运维工程师 运维开发工程师 应用运维工程师 三、侧重某项技能或行业的运维头衔： 系统运维工程师 数据库运维工程师 网络运维工程师 安全运维工程师 桌面运维工程师 软件运维工程师 业务运维工程师 CDN运维工程师 IDC运维工程师 存储运维工程师 硬件运维工程师 游戏运维工程师 与业务强相关的岗位，如：直播运维工程师、中间件运维工程师 四、新兴的运维头衔： 自动化运维软件开发工程师 DevOps运维开发工程师 五、资深的运维头衔： 高级运维工程师 运维专家 六、走上管理岗位的运维头衔： 运维主管 运维经理 高级运维经理 运维总监 七、最洋气的运维头衔 SRE(Site Reliability Engineer) 运维人员对公司 互联网业务所依赖的基础设施、基础服务、线上业务进行稳定性加强，进行日常巡检发现服务可能存在的隐患，对整体架构进行优化以屏蔽常见的运行故障，多数据中接入提高业务的容灾能力 。 运维的手段=》 通过监控、日志分析等及时发现和响应服务故障，减少服务中断的时间，