| 加固项 | 大数据组件安全 |
|---|---|
| 适用平台 | Linux（Hadoop） |
| 风险等级 | 高 |
| 基线 | Web 界面不暴露、开认证 |
核查
核查
ss -tlnp | grep -E ':8088|:8089|:50070'
curl -s --max-time 5 http://127.0.0.1:8088/ws/v1/cluster/apps | head -c 200未授权 YARN 可提交恶意应用并拿到容器权限：发现暴露立即封堵，并按已被入侵评估排查。
Hadoop/YARN Web 界面未授权访问
YARN ResourceManager Web UI（8088/8089）无认证可提交任务：历史上有通过 REST API 执行命令的公开利用链，务必收敛。
易错点
- Kerberos 化改造成本高：过渡期至少先做边界封禁 + 反向代理认证
- 各组件（HDFS/Hive/Spark）端口都要盘点：只封 8088 不够
数据来源与参考
- Apache Hadoop 官方文档：Web 认证
- 等保 2.0：入侵防范