早安，一點也不簡單

早安，一句看似簡單的問候，其實一點也不簡單。
對於身處在同一個空間的人來說，每天早上的一句「早安」，或許就純粹是一聲打招呼的話語，不足為奇。
然而，對於身處異地的兩個人，由於無法見面，這一句「早安」的意義，就不僅僅是一句問候而已。
我有個朋友，與戀人分隔兩地，由於某些特定原因，他們彼此達成協議，不讓對方加入自己的社交圈子。雖然缺乏網絡上的互動，但他們向來都會互道早安和晚安。只是後來男方覺得每天被規定做這樣的「動作」，很不耐煩，於是就開始有一天沒一天地問安。一旦女方問起，他也只是很敷衍地說忘記了。
這天早上，女方同樣地沒有收到男方的「早安」信息。她開始時也不以為意，雖然有點難過但也無可奈何。一直到下午，男方仍然沒有任何的消息，女方急了，趕緊通過信息和電話找他。
後來，幾經波折，才從他家人的口裡知道，他之前身體不適，昨天夜裡在睡夢中走了，連一句告別的話也沒說，連最愛的人最後一面也沒有見到。他最後的「遺書」就是他發表在網絡上的文字。
發生在朋友身上的事，讓同樣身處異地的我，感到極大的震撼，也開始有了警惕。
我這才猛然驚覺，原來「早安」不僅僅是一句問候，它真正的意義，是告訴我們愛的人，自己平安地進入了第二天。
這並不是什麼悲觀的心理，而是很現實的一個現象，因為我們沒有人知道自己什麼時候會離開。所以，每天能夠睜開眼睛看到這個世界，其實就是一件值得感恩的事。
所以，朋友們，每天安然醒來後，千萬不要吝嗇你的一句「早安」哦！

[轉載出處]
http://www.sinchew.com.my/node/1046155

Linux基礎安全性設定-功能

Aapche

以下設定，皆是編輯 /etc/httpd/conf/httpd.conf
1.關閉Apache回應資訊功能

ServerTokens ProductOnly
ServerSignature Off
TraceEnable Off

2.設定 Cookie HttpOnly，降低XSS漏洞攻擊。

Header edit Set-Cookie ^(.*)$ $1;HttpOnly; Secure

較舊的版本則改用

Header set Set-Cookie HttpOnly;Secure

3.關閉Apache回應目錄功能
找到網頁放置目錄的標籤，在<Directory "/var/www">與</Directory>包含的區塊內新增

Options None

4.限制特定目錄的存取權限
例：限制phpMyAdmin目錄存取
找到phpmyadmin目錄的標籤（若沒有可自行建立）
在<Directory "/var/www/phpmyadmin">與</Directory>包含的區塊內新增

Order allow,deny
Allow from [來源IP]

PHP

以下設定，皆是編輯 /etc/php.ini
1.關閉開啟遠端檔案與include遠端檔案功能

allow_url_fopen = Off
allow_url_include = Off

2.禁用易造成危害的function

disable_functions = show_source, system, shell_exec, passthru, exec, phpinfo, popen, proc_open

3.隱藏php版本(並無法增加安全性)

expose_php = Off

4.設定正確的時區

date.timezone = "Asia/Taipei"

5.限制腳本可取得的最大記憶體

memory_limit = 32M

6.關閉register_globals
本特性已自 PHP 5.3.0 起廢棄並將自 PHP 5.4.0 起移除。

register_globals = Off

7.關閉magic_quotes
本特性已自 PHP 5.3.0 起廢棄並將自 PHP 5.4.0 起移除。

magic_quotes_gpc = Off
magic_quotes_runtime = Off
magic_quotes_sybase = Off

8.關閉display_errors

display_errors = Off

9.使用HttpOnly cookie，降低XSS漏洞攻擊。

session.cookie_httponly = 1

參考連結(外部)

設定 Cookie 時可善用 HttpOnly 特性減低網站安全風險(XSS)
Set-Cookie - HTTP | MDN
Apache 針對 Header 的安全性設定
HttpOnly - HTTP Headers 的資安議題 (3) | DEVCORE 戴夫寇爾

Linux基礎安全性設定-主機

限制連線權限

1.hosts限制

編輯hosts.allow檔案

vim /etc/hosts.allow

在檔案尾端加入欲開放連線的IP或網段，如有多個可用空白隔開，例如：

sshd:192.168.1.10 192.168.10.0/255.255.255.0

編輯hosts.deny檔案

vim /etc/hosts.deny

在檔案尾端加入欲禁止連線的IP或網段，如有多個可用空白隔開，一般會使用全部鎖定，例如：

ALL:ALL

2.ssh限制

編輯/etc/ssh/sshd_config檔案

vim /etc/ssh/sshd_config

修改下列內容，如列首有#請移除

Port 22
Protocol 2
PermitRootLogin no #關閉root登入
ClientAliveInterval 600 #使用者閒置關閉連線時間
ClientAliveCountMax 3 #容許閒置未回應的最大次數
AllowUsers demo@192.168.1.10 demo@192.168.10.* #指定可以SSH連線的帳號與IP

重啟服務後生效
注意!!重啟服務後請不要立即登出當前使用者，需另開連線確認使用者可正常連線

service sshd restart

3.iptables限制

新增連線規則，依需求可設定多個規則

iptables -A INPUT -s [來源IP] -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT

注意!!設定下面這行建議在本機前進行操作

iptables -P INPUT DROP

4.Timeout閒置離線

設定閒置時間，自動登出，編輯/etc/profile檔案

vim /etc/profile

在檔案最末端加上export TMOUT=[時間](秒)

export TMOUT=1800

限制存取權限

一般使用者

創建普通使用者帳號取代root登入
建立使用者

useradd [使用者名稱]

設定密碼

passwd [使用者名稱]

特殊管理者

限制su

usermod –a –G wheel [使用者帳號]

編輯/etc/pam.d/su

vim /etc/pam.d/su

如列首有#請移除

auth required pam_wheel.so use_uid

使用者帳號有效期

檢視帳號有效期(Account expires)

chage -l [使用者帳號]

設定帳號有效期

chage -E yyyy-mm-dd [使用者帳號]

開放服務連線

Web(http)

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT

Web(https)

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT

FTP

iptables -A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT

Windows SSL安全性設定

目的：為增加SSL安全性，進行以下設定
1.停用SSLv2、SSLv3協定
2.停用RC4演算加密
3.設定使用TLS 1.2
4.修改TLS的Diffie-Hellman質數至2048bits以上

OS：Windows Server 2008 R2 64bit