档案数据安全隐患排查与全链路加固实操指南

一、服务器基础环境加固

档案系统的安全基石在于操作系统的健壮性。首要任务是切断所有非必要的入侵路径，并强化身份认证机制。

1. SSH服务安全配置

默认的SSH配置往往存在弱口令和加密算法过时的风险。我们需要直接修改配置文件来封锁这些漏洞。

编辑SSH配置文件：

vi /etc/ssh/sshd_config

将以下内容完整覆盖或修改到文件中。这些设置禁用了不安全的协议，强制使用高强度的加密算法，并禁止root直接登录：

 端口建议修改为非标准端口，如 22222
Port 22222
仅允许SSHv2
Protocol 2
禁止root直接登录
PermitRootLogin no
禁止密码认证，强制使用密钥认证（建议先配置好密钥再开启此项）
PasswordAuthentication no
PubkeyAuthentication yes
限制登录用户
AllowUsers arch_admin
设置会话超时时间（秒），防止长时间未操作被劫持
ClientAliveInterval 300
ClientAliveCountMax 2
使用更安全的加密算法
Ciphers aes256-gcm@openssh.com,chacha20-poly1305@openssh.com,aes256-ctr
KexAlgorithms curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com

修改完成后，重启SSH服务使配置生效：

systemctl restart sshd

2. 防火墙策略配置

使用firewalld管理防火墙，仅开放必要的服务端口（如修改后的SSH端口和Web服务端口），拒绝所有其他入站连接。

首先启动并设置开机自启：

systemctl start firewalld
systemctl enable firewalld

执行以下命令配置规则，假设Web服务使用8080端口，SSH使用22222端口：

 移除默认的ssh服务（如果使用了默认端口）
firewall-cmd --remove-service=ssh --permanent
开放自定义SSH端口
firewall-cmd --add-port=22222/tcp --permanent
开放Web服务端口
firewall-cmd --add-port=8080/tcp --permanent
丢弃所有入站请求（默认策略，显式声明以确保安全）
firewall-cmd --set-default-zone=drop
将网卡接口添加到trusted区域（仅限本地回环或内网受信接口，外网接口保持drop）
firewall-cmd --zone=trusted --change-interface=eth1 --permanent
重载防火墙
firewall-cmd --reload

二、数据传输通道加密

档案数据在传输过程中极易被窃听。必须强制全站使用HTTPS，并配置高强度的SSL/TLS策略。

1. Nginx强制HTTPS跳转配置

如果使用Nginx作为反向代理，需配置SSL证书并强制HTTP请求跳转至HTTPS。首先确保已安装Nginx：

yum install nginx -y
或
apt install nginx -y

编辑站点配置文件（通常位于 /etc/nginx/conf.d/arch_ssl.conf），内容如下：

server {
listen 80;
server_name archives.yourdomain.com;
强制所有HTTP流量跳转到HTTPS
return 301 https://$server_name$request_uri;
}
server {
listen 443 ssl http2;
server_name archives.yourdomain.com;
证书路径（请替换为实际证书路径）
ssl_certificate /etc/nginx/ssl/arch.crt;
ssl_certificate_key /etc/nginx/ssl/arch.key;
SSL优化配置
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384';
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
HSTS头部，强制浏览器使用HTTPS
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
其他安全头部
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
location / {
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
}

检查配置并重启Nginx：

nginx -t
systemctl restart nginx

2. 禁用明文FTP协议

档案传输严禁使用FTP。如果必须使用文件传输服务，请配置SFTP（基于SSH）。在 /etc/ssh/sshd_config 中添加如下配置，限制用户只能访问SFTP且无法执行Shell命令：

 匹配特定的档案上传用户
Match User arch_uploader
强制使用内部SFTP服务
ForceCommand internal-sftp
禁止TCP转发
AllowTcpForwarding no
禁止X11转发
X11Forwarding no
限制用户根目录，防止遍历系统文件
ChrootDirectory /data/archives

三、存储层数据加密

防止磁盘被盗或数据库文件被直接拷贝导致的数据泄露，必须对静态数据进行加密。

1. 敏感字段数据库加密（MySQL示例）

对于身份证号、密级等核心字段，不能明文存储。利用MySQL的内置函数进行加密存储。

创建测试表并插入加密数据：

CREATE TABLE archive_files (
id INT AUTO_INCREMENT PRIMARY KEY,
file_name VARCHAR(255) NOT NULL,
-- 使用VARBINARY存储加密后的二进制数据
secret_content VARBINARY(255),
iv VARBINARY(16) -- 存储初始化向量
);
-- 插入数据时使用AES_ENCRYPT，使用随机字符串作为密钥（实际应用中密钥应存储在应用配置中）
INSERT INTO archive_files (file_name, secret_content, iv)
VALUES (
'top_secret_doc.pdf',
AES_ENCRYPT('Confidential Content String', 'MyStrongEncryptionKey123'),
RANDOM_BYTES(16)
);

查询时解密：

SELECT
file_name,
AES_DECRYPT(secret_content, 'MyStrongEncryptionKey123') as decrypted_content
FROM archive_files
WHERE id = 1;

2. 磁盘级透明加密（LUKS）

针对存放档案文件的独立数据盘（如 /dev/sdb），使用LUKS进行全盘加密。格式化过程会清空数据，请务必先备份。

步骤1：加密分区

 安装cryptsetup
yum install cryptsetup -y
对分区进行加密（会提示设置密码）
cryptsetup -y -v luksFormat /dev/sdb

步骤2：映射并打开加密设备

 打开设备，映射名为arch_secure
cryptsetup luksOpen /dev/sdb arch_secure

步骤3：格式化并挂载

 格式化为ext4
mkfs.ext4 /dev/mapper/arch_secure
创建挂载点
mkdir -p /data/archives
挂载
mount /dev/mapper/arch_secure /data/archives

步骤4：配置开机自动挂载

编辑 /etc/crypttab：

arch_secure /dev/sdb none luks

编辑 /etc/fstab：

/dev/mapper/arch_secure /data/archives ext4 defaults 0 2

四、操作审计与日志监控

建立完整的审计链条，确保任何对档案数据的访问、修改、删除都有据可查。

1. Linux审计日志部署

使用auditd监控系统关键文件的访问行为。

 安装auditd
yum install auditd -y
systemctl start auditd
systemctl enable auditd

配置审计规则，监控档案目录的写入和删除操作：

 编辑审计规则文件
vi /etc/audit/rules.d/archive.rules

添加以下内容：

 监控/data/archives目录的写入、属性修改、删除操作
-w /data/archives -p wa -k archive_modification
监控/etc/passwd文件的访问，防止提权
-w /etc/passwd -p rwa -k passwd_access

重启auditd应用规则：

systemctl restart auditd

查看日志：

 搜索包含archive_modification标记的日志
ausearch -k archive_modification -i

五、自动化备份与容灾

数据安全的最后一道防线是备份。必须实现自动化、异地备份策略。

1. Rsync异地同步脚本

编写Shell脚本，通过Rsync将档案数据增量同步到异地备份服务器。假设备份服务器IP为 192.168.1.100。

创建脚本文件 /usr/local/bin/backup_archive.sh：

!/bin/bash
SOURCE_DIR="/data/archives"
DEST_USER="backup_user"
DEST_IP="192.168.1.100"
DEST_DIR="/backup/archives"
LOG_FILE="/var/log/archive_backup.log"
获取当前时间
DATE=$(date '+%Y-%m-%d %H:%M:%S')
echo "[$DATE] 开始同步档案数据..." >> $LOG_FILE
执行rsync同步
-a: 归档模式，保留权限
-v: 详细输出
-z: 压缩传输
--delete: 删除目标目录中源目录没有的文件（保持一致性）
rsync -avz --delete $SOURCE_DIR/ $DEST_USER@$DEST_IP:$DEST_DIR/ >> $LOG_FILE 2>&1
if [ $? -eq 0 ]; then
echo "[$DATE] 同步成功。" >> $LOG_FILE
else
echo "[$DATE] 同步失败！请检查日志。" >> $LOG_FILE
此处可添加发送告警邮件或短信的逻辑
fi

赋予执行权限并设置定时任务：

chmod +x /usr/local/bin/backup_archive.sh
编辑crontab，每天凌晨2点执行
crontab -e
添加以下行
0 2    /usr/local/bin/backup_archive.sh