基线漏洞安全整改 修复环境:centos7及以上 安全基线的概念 安全基线是一个信息系统的最小安全保证,即该信息系统最基本需要满足的安全要求.信息 系统安全往往需要在安全付出成本与所能够承受的安全风险之间进行平衡,而安全基线正 是这个平衡的合理的分界线.不满足系统最基本的安全需求,也就无法承受由此带来的安全 风险,而非基本安全需求的满足同样会带来超额安全成本的付出,所以构造信息系统安全 基线已经成为系统安全工程的首要步骤,同时也是进行安全评估.解决信息系统安全性问题 的先决条件. 修复基线漏洞名

一.背景说明 当前在服务上线前,安全部门都会对服务基线配置进行把关,整个流程可以分为扫描.生成报告.修复三步. 在执行这一流程时当前普遍的做法是半自动化的,扫描和生成报告是自动化的,执行扫描.执行生成报告和修复都是手动的. 这里我们要讲的,一是扫描脚本和生成报告脚本实现,二是执行扫描.执行生成报告和修复自动化实现. 二.项目说明 2.1 检测项 1. 删除示例文档 删除webapps/docs.examples.manager.ROOT.host-manager 禁用tomcat默认帐号 如下所

在现网应用中,安全加固后的主机是不允许直接以root用户登陆的,而很多命令又需要root用户来执行,在不改造现网的情况下.希望通过一个普通用户先登陆,再su切到root执行.而且每台主机的普通用户和root用户的密码又不同.希望在通过ansible执行的时候不需要交互输入密码,而是直接执行后输出结果. 一.ansible hosts配置文件 在之前的系列文章中我们提到,可以把密码写到hosts配置文件,通过查询官网的相关信息了解了,其除了ansible_ssh_user.ansible_ssh_

分享一个Linux加固脚本项目,可快速对服务器进行安全加固,顺便做下备忘,安全人员必须熟悉运维相关的知识! 支持的操作系统平台: Amazon 2013.03 Amazon 2013.09 Amazon 2016.03 Amazon 2016.09 Amazon 2017.03 Amazon 2017.09 Amazon 2017.12 Amazon Candidate Debian jessie Debian wheezy EL 6 EL 7 Ubuntu bionic Ubuntu prec

最近在写一个批量巡检工具,利用ansible将脚本推到各个机器上执行,然后将执行的结果以json格式返回来. 如下所示: # ansible node2 -m script -a /root/python/health_check.py node2 | SUCCESS => { "changed": true, , "stderr": "Shared connection to 192.168.244.20 closed.\r\n", &q

四.Inventory配置ansible通过Inventory来定义主机和组,使用时通过-i指定读取,默认/etc/ansible/hosts.可以存在多个Inventory,支持动态生成.1.定义主机和组# vim /etc/ansible/hosts192.168.12.22    #可以直接为IP地址nfs.magedu.com    #可以是域名ntp.magedu.com:2200    #可以:接ssh端口[webserver]    #[]内为分组名,下面都是该组组员web[1:1

This article includes some useful Ansible commands. I will try to write blogs by English. You may want to add my wechat public account or add my technical blogs's rss feed How ansible works Ansible works by connecting to your nodes and pushing out sm

七.Playbook1.语法特性如下:(1)"---"首行顶格开始(2)#号注释(3)缩进统一,不同的缩进代表不同的级别,缩进要对齐,空格和tab不能混用(4)区别大小写,键值对k/v的值也大小写敏感(5)k/v的值同行使用":"分开,换行写需以"-"分隔2.格式---- name: test  hosts: test  gather_facts: no  vars:    http: 8080    https: 1443  vars_file

五.Ad-Hoc命令集1.Ad-Hoc命令集通过/usr/bin/ansible命令实现:ansible <host-pattern> [options]    -v,--verbose  输出执行过程信息verbose mode (-vvv for more, -vvvv to enable connection debugging)    -i INVENTORY, --inventory-file=INVENTORY    指定inventory信息,(default=/etc/ansi

2016-12-23 读这本<Ansible权威指南>学习ansible,根据本书内容和网上的各种文档,以及经过自己测试,写出以下笔记.另,这本书内容很好,但印刷错误比较多,作者说第二版会改进,还没买的小伙伴们可以买第二版. 一.安装1.安装要求:控制服务器:需要安装Python2.6/2.7被管理服务器:需要安装Python2.4 以上版本,若低于Python2.5 需要安装pythonsimplejson;若启用了selinux,则需要安装libselinux-python 2.yum安装

测试环境master 192.168.16.74webserver1 192.168.16.70webserver2 192.168.16.72安装ansiblerpm -Uvh http://ftp.linux.ncsu.edu/pub/epel/6/x86_64/epel-release-6-8.noarch.rpmyum install ansible -y 修改主机与组配置,添加2台主机ip,同时定义2个ip到webservers组vi /etc/ansible/hosts192.168

1.漏洞危害 开启MongoDB服务时不添加任何参数时,默认是没有权限验证的,登录的用户可以通过默认端口无需密码对数据库任意操作(增删改高危动作)而且可以远程访问数据库. 2.漏洞成因 在刚安装完毕的时候MongoDB都默认有一个admin数据库,此时admin数据库是空的,没有记录权限相关的信息!当admin.system.users一个用户都没有时,即使mongod启动时添加了-auth参数,如果没有在admin数据库中添加用户,此时不进行任何认证还是可以做任何操作(不管是否是以-auth

一.安装: $ sudo apt-get install ansible 二.配置: a.基本配置 $ cd /etc/ansible/ $ sudo cp hosts hosts_back 备份一个副本并定义自己的管理组 $ sudo ssh-keygen -t rsa -P ''  创建个公私钥   c.复制密匙到目标主机 $ ssh-copy-id -i .ssh/id_rsa.pub uname@ip 默认端口为22 $ ssh-copy-id -i .ssh/id_rsa.pub "-

copy模块: 目的:把主控端/root目录下的a.sh文件拷贝到到指定节点上 命令:ansible 10.1.1.113 -m copy -a 'src=/root/a.sh dest=/tmp/' file模块: 目的:更改指定节点上/tmp/t.sh的权限为755,属主和属组为root 命令:ansible all -m file -a "dest=/tmp/t.sh mode=755 owner=root group=root" cron模块: 目的:在指定节点上定义一个计划任

通过修改CentOS 6.5 的系统默认设置,对系统进行安全加固,进行系统的性能优化. 环境: 系统硬件:vmware vsphere (CPU:2*4核,内存2G) 系统版本:Centos-6.5-x86_64(最小化安装) 步骤: 1.关闭SELinux [root@centos ~]# vim /etc/selinux/config 打开文件,修改并保存 SELINUX=disabled    #禁止 如果需要生效,需要设置为Enforcing SELINUX=Enforcing  #生效

这是一个关于Vagrant的学习系列,包含如下文章: Vagrant入门 创建自己的Vagrant box 用Vagrant搭建Jenkins构建环境 用Vagrant和Ansible搭建持续交付平台 随着微服务越来越被行业所接受,与之相关的持续集成和持续交付的作用和价值也更加突显.在本文中,我们将使用Vgrant和Ansible来自动地创建一套持续交付平台——ThoughtWorks的GoCD.如果你对Jenkins比较熟悉,也可以参考笔者另外一篇搭建Jenkins多机构建环境的文章. 我们将

新增功能: 2015-03-11 除pass(备份与更新)与start(启动服务)外,实现一切自动化. 注:pass与start设为业务类,由于各类业务不同,所以无法实现自动化.同类业务除外,如更新的都是tomcat的war包等... 新增“list”快捷键,快速操作list规则文件. 简化代码冗余,合拼原有exec工具类到tools. 修复上一轮版本配置文件乱码问题. 新增部署成功后系统版本监控功能. 2015-01-28 逻辑与业务分离,完美实现逻辑与业务分离,业务实现统一shell脚本开发

新增功能: 逻辑与业务分离,完美实现逻辑与业务分离,业务实现统一shell脚本开发,由框架统一调用. 并发多线程部署,不管多少台服务器,多少个服务,同时发起线程进行更新.部署.启动. 提高list规则文件DIY程度,减少新增服务带来的修改代码,实现扫描list自动化安装部署.(配置.与监控属于业务范围,还需手动修改.) 完善回滚机制,可根据时间段进行回滚,实现即时回滚即时使用. 1  引言 自动化部署与统一安装升级,适用于多资源型分布/分离式部署项目. 随着服务/业务的越来越多,配置文件更是眼花

假设A机器上安装ansible yum install ansible vim /etc/ansible/hosts 对每个主机加key认证ssh-copy-id -i ~/.ssh/id_rsa.pub root@B_ip ansible all -m ping 一个playbook文件可以引入其他的yml文件,实现复用.- include: path/other.yml roles 使用roles可以更好的组织框架,简单例子: 当前目录结构: .├── hosts├── roles│ └──

我的配置: /etc/hosts: /etc/ansible/hosts: nglinx安装包: ansible自动化安装nginx: 1.安装ansible. 2.创建目录结构: mkdir -p /ansible/roles/nginx/{defaults,files,handlers,meta,tasks,templates,vars} 3.install_nginx.sh: #!/bin/bash yum -y install zlib zlib-devel openssl openss

一.ansible介绍常用的自动化运维工具 Puppet —基于 Ruby 开发,采用 C/S 架构,扩展性强,基于 SSL,远程命令执行相对较弱SaltStack —基于 Python 开发,采用 C/S 架构,相对 puppet 更轻量级,配置语法使用 YMAL,使得配置 脚本更简单 Ansible —基于 Pythonparamiko 开发,分布式,无需客户端,轻量级,配置语法使用 YMAL 及 Jinja2 模板语言,更强的远程命令执行操作 其他 DevOps 请参看:https://g