Linux系统安全加固

1. 锁定系统中多余的自建帐号

检查方法:

执行命令

#cat /etc/passwd

#cat /etc/shadow

查看账户、口令文件,与系统管理员确认不必要的账号。对于一些保留的系统伪帐户如:bin, sys,adm,uucp,lp, nuucp,hpdb, www, daemon等可根据需要锁定登陆。

备份方法:

#cp -p /etc/passwd /etc/passwd_bak

#cp -p /etc/shadow /etc/shadow_bak

加固方法:

使用命令passwd -l <用户名>锁定不必要的账号。

使用命令passwd -u <用户名>解锁需要恢复的账号。

风险:

需要与管理员确认此项操作不会影响到业务系统的登录


2. 设置系统口令策略

检查方法:

使用命令

#cat /etc/login.defs|grep PASS查看密码策略设置

备份方法:

cp -p /etc/login.defs /etc/login.defs_bak

加固方法:

#vi /etc/login.defs修改配置文件

PASS_MAX_DAYS 90 #新建用户的密码最长使用天数

PASS_MIN_DAYS 0 #新建用户的密码最短使用天数

PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

PASS_MIN_LEN 8 #最小密码长度9

注:如果需要单独对某个用户密码不限制最长时间,使用命令

passwd –x 99999 用户名;或者passwd –x -1 用户名

风险:无可见风险


3.禁用root之外的超级用户

检查方法:

#cat /etc/passwd 查看口令文件,口令文件格式如下:

login_name:password:user_ID:group_ID:comment:home_dir:command

login_name:用户名

password:加密后的用户密码

user_ID:用户ID,(1 ~ 6000) 若用户ID=0,则该用户拥有超级用户的权限。查看此处是否有多个ID=0。

group_ID:用户组ID

comment:用户全名或其它注释信息

home_dir:用户根目录

command:用户登录后的执行命令

备份方法:

#cp -p /etc/passwd /etc/passwd_bak

加固方法:

使用命令passwd -l <用户名>锁定不必要的超级账户。

使用命令passwd -u <用户名>解锁需要恢复的超级账户。

风险:需要与管理员确认此超级用户的用途。


4. 检查shadow中空口令帐号

检查方法:

# awk -F: '($2 == "") { print $1 }' /etc/shadow

备份方法:cp -p /etc/shadow /etc/shadow_bak

加固方法:对空口令账号进行锁定(passwd –l 用户名),或要求增加密码.

Linux系统安全加固

注:当新增加账号还没有设置密码的时候,该账号默认为锁定状态。

clip_image001

风险:要确认空口令账户是否和应用关联,增加密码是否会引起应用无法连接。


5. 设置合理的初始文件权限

检查方法:

#cat /etc/profile 查看umask的值

备份方法:

#cp -p /etc/profile /etc/profile_bak

加固方法:

#vi /etc/profile

umask 022

风险:会修改新建文件的默认权限为(644),如果该服务器是WEB应用,则此项谨慎修改。


6. 设置访问控制策略限制能够管理本机的IP地址

检查方法:

#cat /etc/ssh/sshd_config 查看有无AllowUsers的语句

备份方法:

#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

加固方法:

#vi /etc/ssh/sshd_config,添加以下语句

AllowUsers *@10.138.*.* 此句意为:仅允许10.138.0.0/16网段所有用户通过ssh访问

保存后重启ssh服务

#service sshd restart

风险:需要和管理员确认能够管理的IP段


7. 禁止root用户远程登陆

检查方法:

#cat /etc/ssh/sshd_config 查看PermitRootLogin是否为no

备份方法:

#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

加固方法:

#vi /etc/ssh/sshd_config

PermitRootLogin no

保存后重启ssh服务

service sshd restart

clip_image002

Linux系统安全加固

风险:root用户无法直接远程登录,需要用普通账号登陆后su


8. 限定信任主机

检查方法:

#cat /etc/hosts.equiv 查看其中的主机

#cat /$HOME/.rhosts 查看其中的主机

备份方法:

#cp -p /etc/hosts.equiv /etc/hosts.equiv_bak

#cp -p /$HOME/.rhosts /$HOME/.rhosts_bak

加固方法:

#vi /etc/hosts.equiv 删除其中不必要的主机

#vi /$HOME/.rhosts 删除其中不必要的主机

风险:在多机互备的环境中,需要保留其他主机的IP可信任。


9. 屏蔽登录banner信息

检查方法:

#cat /etc/ssh/sshd_config 查看文件中是否存在Banner字段,或banner字段为NONE

#cat /etc/motd 查看文件内容,该处内容将作为banner信息显示给登录用户。

备份方法:

#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

#cp -p /etc/motd /etc/motd_bak

加固方法:

#vi /etc/ssh/sshd_config

banner NONE

#vi /etc/motd

删除全部内容或更新成自己想要添加的内容

风险:无可见风险


10. 防止误使用Ctrl+Alt+Del重启系统

检查方法:

#cat /etc/inittab|grep ctrlaltdel 查看输入行是否被注释

备份方法:

#cp -p /etc/inittab /etc/inittab_bak

加固方法:

#vi /etc/inittab

在行开头添加注释符号“#”

#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

clip_image003

Linux系统安全加固

风险:无可见风险


11. 禁止ping命令

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all ##注:如果是0的话是允许ping的。

还有另外一种方法:

修改/etc/sysconfig/iptables文件:

-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j DROP


12. 修改帐户TMOUT值,设置自动注销时间

检查方法:

#cat /etc/profile 查看有无TMOUT的设置

备份方法:

#cp -p /etc/profile /etc/profile_bak

加固方法:

#vi /etc/profile

增加

TMOUT=600 无操作600秒后自动退出

风险:无可见风险


13. 设置Bash保留历史命令的条数

检查方法:

#cat /etc/profile|grep HISTSIZE=

#cat /etc/profile|grep HISTFILESIZE= 查看保留历史命令的条数

备份方法:

#cp -p /etc/profile /etc/profile_bak

加固方法:

#vi /etc/profile

修改HISTSIZE=20即保留最新执行的20条命令

风险:无可见风险

本文转自飞奔的小GUI博客51CTO博客,原文链接http://blog.51cto.com/9237101/1895004如需转载请自行联系原作者

ziwenzhou
上一篇:iOS开发-xCode6(iOS 8)中应用程序图标和启动页面设置


下一篇:美国国家安全局网络武器被公开,微软宣布已修复可攻破的 Windows 漏洞