UBSIO-BoostIO 安全指南 ​

本文档汇总 UBSIO-BoostIO 的通信矩阵、运行用户与文件权限建议、安全加固、账户及公网地址说明。

通信矩阵 ​

通信矩阵中涉及的安全配置建议用户根据实际业务场景和安全要求进行配置。

运行用户建议 ​

基于安全性考虑，建议您在执行任何命令时，不建议使用root等管理员类型账户执行，遵循权限最小化原则。

文件权限建议 ​

• 建议用户在主机（包括宿主机）及容器中设置运行系统umask值为0027及以上，保障新增文件夹默认最高权限为750，新增文件默认最高权限为640。
• 建议对使用当前项目已有和产生的文件、数据、目录，设置如下建议权限。

安全加固 ​

设置登录会话超时时间 ​

登录会话30分钟（或更短）的时间内没有活动的情况下属于超时。

1. 登录安装UBS IO组件的节点。

2. 执行以下命令，打开“/etc/profile“文件。

   cmd

   vim /etc/profile

3. 按“i”进入编辑模式，在文件尾部增加以下内容。

   cmd

   export TMOUT=1800
   readonly TMOUT

4. 按“ESC”键，输入:wq!，按“Enter”保存并退出编辑。

设置umask ​

建议用户服务器的umask设置为027~077，提高文件权限。

此处以设置umask为027为例。

1. 以root用户登录服务器，编辑“/etc/profile“文件。

   cmd

   vim /etc/profile

2. 在“/etc/profile“文件末尾加上umask 027，保存并退出。

3. 执行如下命令使配置生效。

   cmd

   source /etc/profile

安全配置基线 ​

密钥更新 ​

密钥更新需要重启UBS IO加速组件服务，请合理规划密钥更新周期。密钥管理请参见配置说明中的 TLS 认证配置。

缓冲区溢出安全保护 ​

为阻止缓冲区溢出攻击，建议使用ASLR（Address space layout randomization）技术，通过对堆、栈、共享库映射等线性区布局的随机化，增加攻击者预测目的地址的难度，防止攻击者直接定位攻击代码位置。该技术可作用于堆、栈、内存映射区（mmap基址、shared libraries、vdso页）。

开启方式：

echo 2 >/proc/sys/kernel/randomize_va_space

说明：

该命令需要root权限才能执行，且该修改方式是临时的，系统重启后会失效。

账户一览表 ​

说明：

用户创建的安装用户需定期修改密码。

公网地址声明 ​

以下地址来自源码、构建配置或文档引用，均用于开源依赖、许可证或安全配置说明。