![如何防止我的 syslog-ng 服务器被黑客入侵](https://linux22.com/image/752600/%E5%A6%82%E4%BD%95%E9%98%B2%E6%AD%A2%E6%88%91%E7%9A%84%20syslog-ng%20%E6%9C%8D%E5%8A%A1%E5%99%A8%E8%A2%AB%E9%BB%91%E5%AE%A2%E5%85%A5%E4%BE%B5.png)
我最近在防火墙后面构建了一个 Ubuntu syslog-ng 服务器。我打开了 TCP 端口 514、515 和 516。我注意到黑客正在向我的 syslog-ng 服务器写信,他们来自中国。我该如何防止黑客入侵我的 syslog 服务器,使其只接收来自特定服务器的日志条目?最好的方法是什么?我应该通过 iptables(这可能很繁琐)还是通过 syslog-ng 服务器上的 syslog-ng.conf 文件来做到这一点?
答案1
您忘记了创建防火墙策略时的主要规则:最小特权原则。
你的防火墙策略/例外应该仅允许访问已知系统,而不是整个互联网,除非您确实在提供公共服务。
系统日志服务器是一种内部审计工具,在大多数网络设计中,它根本不应该从互联网访问,但如果需要,它应该只对特定系统可用。
一般来说,防火墙更适合维护基于 IP 地址的 ACL。
并非所有应用程序都首先具有本机支持,而对于那些允许您配置基于 IP 地址的访问控制的应用程序,它们都将使用不同的语法,这使得在需要时难以快速准确地更改 ACL。