1 服务器一般安全策略：

1） 最好使用硬件防火墙，如果没有，则使用iptables+TCP_Wrappers构建安全策略。

2） 密码绝对安全，24位以上

3） 采取密钥登陆，防止暴力破解，禁止root登陆，普通用户+密钥认证+IP限制+用户限制

4） 定期分析系统的日志文件，如last，lastlog，

5） 定期采用grep error /var/log/messages检查服务器是否存在硬件损坏的情况

6） 停掉不必要的服务，强化内核。

iptables主机型防火墙脚本：

#!/bin/bash

iptables -F

iptables -F -t nat

iptables -X

iptables -P INPUT DROP

iptables -P OUTPUT ACCEPT

iptables -P FORWARD ACCEPT

iptables -A INPUT -p tcp -m multiport --dport 80,22,3306 -j ACCEPT

TCP_Wrappers访问控制：

[root@localhost ~]# rpm -q tcp_wrappers

tcp_wrappers-7.6-58.el6.i686

[root@localhost ~]# ldd /usr/sbin/sshd | grep 'libwrap'

libwrap.so.0 => /lib/libwrap.so.0 (0x00c4f000)

/etc/hosts.allow：允许策略

/etc/hosts.deny：拒绝策略

访问控制基本原则：首先检查/etc/hosts.allow，如果找到匹配策略则允许访问，否则继续查找/etc/hosts.deny，如果找到匹配的策略，则拒绝访问，如果以上两个文件都没有找到则允许访问。

• 宽松的策略：允许所有，拒绝个别

vim /etc/hosts.deny 

sshd:192.168.154.1

• 严格的策略：拒绝所有，允许个别

vim /etc/hosts.allow

sshd:192.168.154.1

vim /etc/hosts.deny 

sshd:ALL

ALL:103.197.244.10    #拒绝访问所有服务

2 服务器遭受攻击后的一般处理流程：

1）切断网络；

2）查找攻击源：分析系统日志文件和登陆日志文件，（如发现可疑用户，中断其远程连接）

如：

[root@localhost ~]# tail -f /var/log/messages

[root@localhost ~]# lastlog

[root@localhost ~]# lastb                            #查看失败的登陆记录

[root@localhost ~]# tail -f /var/log/secure          #查看用户相关的安全日志

[root@localhost ~]# pkill -kill -t  pts/0              #把异常登陆用户踢出去

3）分析入侵原因和途径；

遭受入侵的原因是多方面的，可能是系统漏洞，也可能是程序漏洞导致的，需要找到攻击源和途径，才能删除和修复漏洞。

4）备份数据；

5）重装系统（根据实际情况决定，如提供在线服务显然不可行）

6）修复程序或系统漏洞

7）恢复数据和网络；