如何保護(hù)ftp服務(wù)器托管主機(jī)

ftp服務(wù)器是服務(wù)器托管用戶比較常用的一種類型，同樣也是黑客們比較喜歡攻擊的一種服務(wù)器類型，所以日常的安全維護(hù)工作這時就顯得尤為重要了。

1.禁止系統(tǒng)級用戶登錄FTP服務(wù)器。

為員工設(shè)置單獨的FTP帳戶可以提高FTP服務(wù)器的安全性。最好不要將系統(tǒng)級用戶用于普通用戶，這會帶來很大的安全風(fēng)險。在VSFTP服務(wù)器中，可以通過配置文件vsftpd.ftpusers管理登錄帳戶。但是，此帳戶是黑名單，該帳戶中列出的人將無法使用其帳戶登錄FTP服務(wù)器。部署VSFTP服務(wù)器后，我們可以使用vi命令查看此配置文件，并發(fā)現(xiàn)它已經(jīng)具有許多默認(rèn)帳戶。其中，系統(tǒng)的超級用戶根也位于其中?？梢钥闯觯鲇诎踩?，默認(rèn)情況下，VSFTP服務(wù)器禁止root帳戶登錄FTP服務(wù)器。如果系統(tǒng)管理員想登錄FTP服務(wù)器（例如root），則需要刪除該配置文件中的root和其他相關(guān)用戶名。但是，允許系統(tǒng)帳戶登錄FTP服務(wù)器將對其安全性產(chǎn)生負(fù)面影響，因此，我不建議系統(tǒng)管理員使用它。最好不要更改此文件中的相關(guān)系統(tǒng)帳戶管理員，并保留這些帳戶的設(shè)置。

如果由于其他原因需要禁用其他帳戶，則可以將帳戶名添加到此文件中。例如，F(xiàn)TP服務(wù)器和數(shù)據(jù)庫服務(wù)器可以同時部署在服務(wù)器上。因此，出于安全原因，將數(shù)據(jù)庫管理員的帳戶包括在此黑名單中是一種很好的做法。

第二，加強(qiáng)對匿名用戶的控制。

匿名用戶是未在FTP服務(wù)器中定義的那些帳戶，并且FTP系統(tǒng)管理員仍需要登錄才能輕松管理。但是，他們畢竟還沒有獲得服務(wù)器的授權(quán)。為了提高服務(wù)器的安全性，它們必須限制其權(quán)限。 VSFTP服務(wù)器上還有許多參數(shù)可用于控制匿名用戶的權(quán)限。系統(tǒng)管理員需要根據(jù)FTP服務(wù)器的安全級別進(jìn)行相關(guān)的配置工作。需要說明的是，匿名用戶權(quán)限的控制越嚴(yán)格，F(xiàn)TP服務(wù)器的安全性就越高，但是用戶訪問的便利性也降低了。因此，系統(tǒng)管理員仍然需要在服務(wù)器安全性和便利性之間取得平衡。

以下是匿名用戶的一些推薦配置。如果您不知道如何配置它們，則可以參考這些配置。這些配置考慮了服務(wù)器的安全性和用戶的便利性。

一個是參數(shù)anon_world_可讀_only。該參數(shù)主要用于控制匿名用戶是否可以從FTP服務(wù)器下載可讀文件。如果FTP服務(wù)器部署在企業(yè)內(nèi)部并且主要供內(nèi)部員工使用，則最好將此參數(shù)設(shè)置為YES。然后在它們上面放一些公共可用的表單，例如公司通用表單，以便員工可以匿名下載這些文件。這不會影響FTP服務(wù)器的安全性，但也會為其他員工帶來便利。

第二個是參數(shù)anon_upload_enable。該參數(shù)表示匿名用戶是否可以通過匿名訪問將文件上傳到FTP服務(wù)器。通常，此參數(shù)應(yīng)設(shè)置為“否”。也就是說，在匿名訪問期間，不允許用戶上傳文件。否則，如果任何人都可以上載文件，如果另一方上載了病毒文件，則企業(yè)將不會受到影響。因此，應(yīng)禁止匿名用戶上傳文件。但是有一些例外。例如，某些企業(yè)使用FTP協(xié)議備份文件。此時，如果可以保證企業(yè)網(wǎng)絡(luò)的安全性，則可以將此參數(shù)設(shè)置為YES，從而允許操作系統(tǒng)調(diào)用FTP命令來備份FTP服務(wù)器上的文件。