Mit der Popularität von Cloud Computing entscheiden sich immer mehr Unternehmen und Privatpersonen für die Bereitstellung von Anwendungen auf Cloud-Servern. Aber auch die Sicherheit von Cloud-Servern ist ein wachsendes Problem, insbesondere angesichts immer ausgefeilterer Cyberangriffe. Um die Sicherheit von Cloud-Servern zu gewährleisten, ist es wichtig, entsprechende Härtungsmaßnahmen zu ergreifen. In diesem Thema wird beschrieben, wie Sie die SSH-Schlüsselanmeldung und die Firewallkonfiguration verwenden, um die Sicherheit Ihres CVM zu verbessern und Ihre Daten und Anwendungen vor externen Bedrohungen zu schützen.

1. SSH-Schlüssel-Login: verbessert die Sicherheit des Fernzugriffs

SSH (Secure Shell) ist das am weitesten verbreitete Remote-Login-Protokoll für Cloud-Server, das die Sicherheit der Datenübertragung durch Verschlüsselung gewährleisten kann. Herkömmliche Passwort-Anmeldemethoden laufen jedoch Gefahr, durch Brute-Force geknackt zu werden. Aus diesem Grund ist die Anmeldung mit einem SSH-Schlüssel eine sicherere Authentifizierungsmethode.

1. Was ist die Anmeldung mit einem SSH-Schlüssel?

Die SSH-Schlüsselanmeldung basiert auf dem Kryptografiemechanismus mit öffentlichem Schlüssel, und der Benutzer generiert ein Schlüsselpaar (öffentlicher Schlüssel und privater Schlüssel). Der öffentliche Schlüssel wird auf dem Server abgelegt, während der private Schlüssel lokal auf dem Gerät des Benutzers gespeichert wird. Auf diese Weise kann sich nur der Benutzer mit dem entsprechenden privaten Schlüssel erfolgreich am Server anmelden, ohne ein Passwort eingeben zu müssen.

2. Warum sollte man einen SSH-Schlüssel verwenden, um sich anzumelden?

• Verhindern Sie Brute-Force: Passwörter können oft durch Brute-Force geknackt werden, und SSH-Schlüsselanmeldungen verbessern die Sicherheit erheblich.

• Verbesserte Authentifizierungssicherheit: Schlüsselpaare sind viel sicherer als herkömmliche Passwörter, und Schlüssel können nicht einfach gestohlen werden.

• Unterstützung von Automatisierungsskripten: Die Schlüsselanmeldung kann einfach in Automatisierungsskripten und CI/CD-Prozessen verwendet werden, um menschliche Eingriffe zu reduzieren.

3. Wie konfiguriere ich eine SSH-Schlüsselanmeldung?

1. SSH-Schlüsselpaar generieren: Generieren Sie ein Schlüsselpaar auf dem lokalen Gerät mit dem folgenden Befehl:

   ssh-keygen -t rsa -b 2048

   Dadurch wird eine öffentliche und eine private Schlüsseldatei generiert, die normalerweise im Verzeichnis ~/.ssh/ gespeichert wird.

2. Laden Sie den öffentlichen Schlüssel auf den Server hoch: Verwenden Sie den Befehl ssh-copy-id, um den öffentlichen Schlüssel auf das ECS hochzuladen:

   ssh-copy-id-username@server_ip

3. Kennwortanmeldung deaktivieren: Melden Sie sich beim Server an, bearbeiten Sie die Datei /etc/ssh/sshd_config und deaktivieren Sie die Kennwortauthentifizierung:

   PasswordAuthentication nein

   Starten Sie dann den SSH-Dienst neu:

   sudo systemctl restart sshd

4. SSH-Schlüsselanmeldung testen: Versuchen Sie, sich mit Ihrem privaten Schlüssel beim Server anzumelden, um sicherzustellen, dass Sie sich erfolgreich anmelden können:

   ssh -i /Pfad/zum/private_key username@server_ip

2. Firewall-Konfiguration: Kontrollieren Sie den Serverzugriff und lehnen Sie bösartigen Datenverkehr ab

Eine Firewall ist ein wichtiges Instrument, um Cloud-Server vor Angriffen von außen zu schützen, und sie kann unbefugten Zugriff verhindern, indem sie den Netzwerkverkehr kontrolliert. Die richtige Firewall-Konfiguration kann Sicherheitsrisiken effektiv reduzieren und böswillige Angreifer daran hindern, das System zu infiltrieren.

1. Warum ist es wichtig, eine Firewall zu konfigurieren?

• Externen Zugriff einschränken: Firewalls können das Eindringen von unnötigem Netzwerkverkehr effektiv verhindern und die Angriffsfläche reduzieren, indem sie die Ports des externen Zugriffs einschränken.

• Verbesserung der Systemstabilität: Durch das Herausfiltern unnötiger Netzwerkanfragen kann die Firewall die Stabilität des Servers verbessern und unnötige Belastungen reduzieren.

• Verhindern Sie DDoS-Angriffe: Firewalls können dazu beitragen, DDoS-Angriffe (Distributed Denial-of-Service) zu identifizieren und zu blockieren und zu verhindern, dass Server mit bösartigem Datenverkehr überlastet werden.

2. Wie konfiguriere ich eine Firewall?

Im Folgenden werden gängige UFWs (Uncomplicated Firewalls) und iptables als Beispiele verwendet, um zu beschreiben, wie eine Firewall konfiguriert wird.

1.0 Konfigurieren der Firewall mit UFW

1. UFW installieren (falls nicht installiert):

   sudo apt-get install ufw

2. UFW aktivieren und Standardregel festlegen: Legen Sie die Standardregel so fest, dass der gesamte eingehende Datenverkehr abgelehnt und der gesamte ausgehende Datenverkehr zugelassen wird:

   sudo ufw default reject incoming sudo ufw default allow outbound

3. SSH-Datenverkehr zulassen: Wenn Sie mit einem SSH-Schlüssel angemeldet sind, stellen Sie sicher, dass Sie den Datenverkehr des SSH-Ports (standardmäßig Port 22) zulassen:

   sudo ufw 22/tcp zulassen

4. Firewall aktivieren: Aktivieren Sie die Firewall und machen Sie sie effektiv:

   sudo ufw aktivieren

5. Firewall-Status anzeigen: Zeigen Sie den Status und die Regeln Ihrer Firewall an:

   SUDO UFW-Status

2.0 Konfigurieren der Firewall mit iptables

iptables ist ein leistungsstarkes Firewall-Tool unter Linux, das eine granulare Kontrolle über den Netzwerkverkehr durch benutzerdefinierte Regeln ermöglicht.

1. Zulässiger SSH-Datenverkehr: Zulässiger SSH-Datenverkehr (Port 22):

   sudo iptables -A INPUT -p tcp --dport 22 -j AKZEPTIEREN

2. Allen anderen eingehenden Datenverkehr ablehnen: Standardmäßig den gesamten eingehenden Datenverkehr ablehnen:

   sudo iptables -A EINGABE -j DROP

3. iptables-Regel speichern: Verwenden Sie den folgenden Befehl, um die iptables-Regel zu speichern:

   sudo iptables-save > /etc/iptables/rules.v4

3. Zusammenfassung: Stellen Sie einen mehrschichtigen Schutz von ECS sicher

Durch die Implementierung von SSH-Schlüsselanmeldung und Firewall-Konfigurationen können Sie die Sicherheit Ihres ECS erheblich verbessern. Die SSH-Schlüsselanmeldung bietet eine sicherere Authentifizierungsmethode, um Brute-Force-Angriffe zu verhindern. Firewalls hingegen verhindern, dass böswillige Angreifer in das System eindringen, indem sie den Netzwerkverkehr und die Zugangsports einschränken. In Kombination mit anderen Sicherheitsmaßnahmen, wie z. B. der regelmäßigen Aktualisierung Ihres Systems, der Verwendung sicherer Passwörter und der Aktivierung der Multi-Faktor-Authentifizierung, können Sie eine starke Verteidigungslinie für Ihren Cloud-Server aufbauen, um sicherzustellen, dass Ihre Daten und Anwendungen immer sicher sind.

Der Schutz von ECS sollte nicht vernachlässigt werden, und die Sicherheitsverstärkung muss während des Gebrauchs verstärkt werden, um potenzielle Sicherheitsrisiken zu vermeiden.

Quelle: Mengfei Cloud Host