zookeeper安全加固手册

1、端口保护

规范1.1：【强制】修改zookeeper默认监听端口2181为不易猜测的端口。

说明

一般攻击者会根据默认端口来猜测中间件类型，这降低了攻击者对服务器的攻击难度。

实时指导

修改zookeeper的配置文件，将端口号更改为不易猜测的端口，如下所示：

clientPort=3285

2、预防DOS攻击

规范2.1：【建议】建议限制zookeeper客户端的最大连接数。

说明

默认值是10，连接到同一个服务器上的最大连接数，根据IP来区分。为0时，表示没有任何限制。建议设置该值，防止DoS攻击。

实时指导

修改zookeeper的配置文件，设置客户端最大连接数，如下所示：

maxClientCnxns=60

3、禁用管理控制台

规范3.1：【建议】如不需要使用zookeeper的管理控制台，建议禁用。

说明

zookeeper的管理控制台是由jetty启动的，默认为http，存在一定的信息泄露及安全隐患。

实施指导

在bin/zkServer.sh文件中，将如下

start)
    echo  -n "Starting zookeeper ... "
    if [ -f "$ZOOPIDFILE" ]; then
      if kill -0 `cat "$ZOOPIDFILE"` > /dev/null 2>&1; then
         echo $command already running as process `cat "$ZOOPIDFILE"`.
         exit 1
      fi
    fi
    nohup "$JAVA" $ZOO_DATADIR_AUTOCREATE "-Dzookeeper.log.dir=${ZOO_LOG_DIR}" \
    "-Dzookeeper.log.file=${ZOO_LOG_FILE}" "-Dzookeeper.root.logger=${ZOO_LOG4J_PROP}" \

修改为

start)
    echo  -n "Starting zookeeper ... "
    if [ -f "$ZOOPIDFILE" ]; then
      if kill -0 `cat "$ZOOPIDFILE"` > /dev/null 2>&1; then
         echo $command already running as process `cat "$ZOOPIDFILE"`.
         exit 1
      fi
    fi
    nohup "$JAVA" $ZOO_DATADIR_AUTOCREATE "-Dzookeeper.log.dir=${ZOO_LOG_DIR}" \
    "-Dzookeeper.log.file=${ZOO_LOG_FILE}" "-Dzookeeper.admin.enableServer=false" "-Dzookeeper.root.logger=${ZOO_LOG4J_PROP}" \

即在nohup这一行，添加了

"-Dzookeeper.admin.enableServer=false"

4、授权访问

规范4.1：【强制】添加对zookeeper的访问控制权限。

说明

zookeeper在默认情况下，是允许任意客户端未经授权访问，存在很大的安全隐患。

实施指导

具体授权访问，可参照安全管理平台知识库中《zookeeper授权方式设置》一文。

5、日志审计

规范5.1：【强制】添加zookeeper日志审计。

说明

开启日志功能，有利于开发人员或安全人员进行朔源取证，安全审计。

6、事务日志与快照日志分离

规范6.1：【建议】在部署时，建议zookeeper的事务日志与快照日志分离。

说明

建议将事务日志（dataLogDir）与快照日志（dataLog）单独配置，因为当zookeeper集群进行频繁的数据读写操作时，会产生大量的事务日志信息，将两类日志分开存储会提高系统性能，而且，可以允许将两类日志存在在不同的存储介质上，减少磁盘压力。

实施指导

在配置文件中，增加日志配置，如下所示：

dataDir=/home/sct/tool/zookeeper-cluster/zookeeper-1/data
dataLogDir=/home/sct/tool/zookeeper-cluster/zookeeper-1/dataLog

7、日志清理

规范7.1：【建议】建议设置对zookeeper日志的定期清理功能。

说明

客户端在与zookeeper交互过程中会产生非常多的日志，而且zookeeper也会将内存中的数据作为snapshot保存下来，这些数据是不会被自动删除的，这样磁盘中这样的数据就会越来越多，造成磁盘容量被大量占用。

实施指导

在配置文件中清理日志策略，如下所示：

autopurge.snapRetainCount=10  //保留多少个快照
autopurge.purgeInterval=24     //多少小时清理一次