1、帐号安全 1.1 锁定系统中的自建帐号
7 Y1 ?* w" K* R8 p9 f 查看帐号：- P7 C- g% w! k/ [0 }! \
#cat /etc/passwd
0 S* K7 ] E2 D m. o #cat /etc/shadow, E0 v; _- L4 n2 G! S, @% G
查看账户、口令文件，与系统管理员确认不必要的账号。对于一些保留的系统伪帐户如：bin, sys，adm，uucp，lp, nuucp，hpdb, www, daemon等可根据需要锁定登陆。
$ S- o$ f# ]7 J8 p 在修改之前先备份一下，省的出问题：
5 ~8 c9 }7 s% q( b, g$ |* i 备份方法：0 W5 a% R: ^. B
#cp -p /etc/passwd /etc/passwd_bak
" Z' I" l5 x6 G8 F8 [ #cp -p /etc/shadow /etc/shadow_bak" A; g2 E; T. T# z1 ]" }* D
加固方法：. E7 F* Y0 {( s' Y4 D
使用命令passwd -l <用户名>锁定不必要的账号。/ G$ ]" i2 }5 z8 K; p9 P$ J
使用命令passwd -u <用户名>解锁需要恢复的账号。
' |8 V d2 E6 f- b, ^ 风险：需要与管理员确认此项操作不会影响到业务系统的登录8 m% G' ^, ?& X
1.2设置系统口令策略8 u. Q/ o, Z, e* Z
查看密码策略设置：cat /etc/login.defs|grep PASS
' A' m d* l }* o: K, z 修改之前先备份一下： cp -p /etc/login.defs /etc/login.defs_bak* I! M3 z. J- X( l2 H& Z& r
修改配置文件：vi /etc/login.defs
1 F9 ?4 z5 Z# {, K+ f$ ]! l% g# d' o 文件内参数解释：
7 H% v2 R* ^4 `4 z2 Y PASS_MAX_DAYS 90 #新建用户的密码最长使用天数
* Q- l+ F* Q7 u PASS_MIN_DAYS 0 #新建用户的密码最短使用天数( B- b2 `' f' f% J2 r
PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数* @; d- k0 B3 z# g( k( B
PASS_MIN_LEN 0 #最小密码长度0/ }% O5 f; T8 G: `5 n% V
PASS_MAX_LEN 9 #最大密码长度9
4 E' q! s6 L2 o' ^* M( w1 R 1.3禁用root之外的超级用户
: G$ {: ?5 A* y% v 查看口令文件：cat /etc/passwd
~8 e* ~9 {, {4 A9 J 属性解释：. D3 ?8 ^7 F, q6 _
login_name：用户名
7 J: |! \7 A9 L3 H password：
# Y' g. V/ F- t$ K/ o$ @加密$ _$ g/ ^. o" C# I y: d( x
后的用户密码
/ ?9 S( i+ B5 F6 \. d user_ID：用户ID，(1 ~ 6000) 若用户ID=0，则该用户拥有超级用户的权限。查看此处是否有多个ID=0。
( z! Q: b# ~! B+ P' T group_ID：用户组ID
. e) {/ Q+ k& c comment：用户全名或其它注释信息
2 u: o+ W) k& [ Z9 N6 a8 @ home_dir：用户根目录( F$ f4 x7 e4 y5 `/ U0 w
command：用户登录后的执行命令, J! y1 v4 M J& Q) k/ S
加固方法与1.1的加固方法一样！
% p8 }% c2 u% \ 1.4 限制能够su为root的用户: R: t& z c( ^. G9 |+ f$ [& [
修改 /etc/pam.d/su 文件 先备份：cp -p /etc/pam.d/su /etc/pam.d/su_bak, o* K5 M* ~+ ?0 v8 I1 O! B
在头部添加：auth required /lib/security/pam_wheel.so group=wheel #只有wheel组的可以su+ T1 u' @; m/ j. ]4 q0 @/ D
将test用户加入wheel组：usermod -G wheel test
/ v4 I( T/ f" M, |7 \6 l+ o$ N 排错方法：当
* |/ N6 X- |5 u$ B3 [ J2 f5 E" H; w系统3 R; ?3 _: ~2 u
验证出现问题时，首先应当检查/var/log/messages或者/var/log/secure中的输出信息，根据这些信息判断用户账号的有效性。如果是因为PAM验证故障，而引起root也无法登录，只能使用single user或者rescue模式进行排错。) R- e' v) V4 E: v+ b
2、最小化服务0 e( k+ r8 `& I. q/ S
2.1 停止或禁用与承载业务无关的服务
5 f' v0 J, g1 N% T) X 查看当前init级别 who -r 或者 runlevel: b9 T3 h1 Q9 P* Z [
查看所有服务的状态 chkconfig –list
" D2 V$ Y5 P% A& ^1 l 设置服务在个init级别下开机是否启动 chkconfig –level <服务名> on|off|reset
- F, H& b5 s( i7 | 注意：要安装chkconfig，radhat上面自带的有！ S: N: l. R1 f. J9 ?& O1 F
3、数据访问控制
$ t7 a( [5 c8 s( X: k 修改umask的值 改变新建文件的安全属性. W5 B1 m4 t5 z& A3 E7 n3 H
备份：cp -p /etc/profile /etc/profile_bak- t: }2 G' X" A+ x
修改umask=027$ j* P! \7 p( C; O
作用：通过设置umask值，可以为新创建的文件和目录设置缺省权限
^' {4 D& c; t6 l 风险：会修改新建文件的默认权限，如果该服务器是WEB应用，则此项谨慎修改。
& U3 o9 z' O0 p* o) Q- o 具体解释：请百度。。。。
5 X3 Z: a: Q# G, O% c 4、网络访问控制; t$ C2 q. o6 L
4.1 使用SSH进行管理, d7 u8 f( P% b3 y* i
查看服务是否开启： ps -aef|grep sshd8 t, C2 Y6 y+ Z" q7 E( {+ K
开启服务：service sshd start
$ S A7 e- X/ i& v, V1 l- G5 } D- u 关闭服务：service sshd stop
" F% C" ~4 x6 z4 ^# S3 h 重启服务：service sshd restart" V# E9 Y0 i. l5 ~3 S
4.2设置访问控制策略限制能够管理本机的IP地址
, Y9 L$ Z- c& D 先备份文件：cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak
7 R4 w, i5 V& @- b1 J0 S; `7 w: ] 修改文件：0 f( g- H% v1 C& ^ c+ A
添加：AllowUsers *@10.138.*.* #仅允许10.138.0.0/16网段所有用户通过ssh访问4 P9 ?0 x& a+ I, }9 o2 K
保存后，重启ssh。! i% r) m/ V& [& c
4.3 禁止root用户远程使用ssh
+ `' Z- l6 w+ d& b# v& p7 Q 修改文件/etc/ssh/sshd_config 将PermitRootLogin修改为yes
/ l( G$ F" A2 U1 t 记得修改之前要备份
7 e( Y+ b+ U: q2 b; n; X 4.4 限定信任主机
- U g1 k/ F7 P# [+ M# B; x 修改/etc/hosts.allow，添加一下代码：
- {" |- z9 [9 z+ V sshd:192.168.0.100:allow //允许IP 192.168.0.100 登录& I" l- s# g$ m: F4 C
sshd:192.168.10.:allow //允许IP 192.168.10. 网段登录) @. N( u" j( B, |- C
修改/etc/hosts.deny，添加一下代码
0 d! _! N5 E) u; z4 f sshd:all:deny //禁止其他的所有IP登录
9 s2 l# F0 N& {1 @2 h" l# J 4.5防止误使用Ctrl+Alt+Del重启系统6 P8 t9 R7 z; z# ]2 Y
修改/etc/init/control-alt-delete.conf 文件，将最后一行：
) j& t3 h& F) j) b6 a# @ exec /sbin/shutdown -r now “Control-Alt-Delete pressed” 注释掉就可以了
# L/ Y+ d! p$ X) d& {$ W. ] 5、用户鉴别$ {2 |$ g8 P6 G+ h$ e: f, Z
5.1设置帐户锁定登录失败锁定次数、锁定时间9 X1 x' P2 W s$ r& y; p9 b
修改文件/etc/pam.d/system-auth 添加一行：
0 W3 W3 V) X) W auth required pam_tally.so onerr=fail deny=6 unlock_time=300
8 t& d/ D( a* s& V #设置为密码连续错误6次锁定，锁定时间300秒0 h) Y1 d" x& z: S9 p
用户锁定后，解锁：faillog -u <用户名> -r9 n5 F$ Q7 I! P; ?3 R! Q+ @$ q7 s
风险：需要PAM包的支持;对pam文件的修改应仔细检查，一旦出现错误会导致无法登陆; 当系统验证出现问题时，首先应当检查/var/log/messages或者/var/log/secure中的输出信息，根据这些信息判断用户账号的有效性。+ d7 ~9 f% s3 T7 S! k
5.2 修改帐户TMOUT值，设置自动注销时间' v' G5 A2 F0 }. R+ l6 O% K! B
修改/etc/profile文件$ k* Y* n% p' ^3 H- h1 y' l1 C
在”HISTFILESIZE=”后面加入下面这行，添加：TMOUT=600 #表示无操作600秒后自动退出# f# f8 a4 n1 c" T( E
5.3设置Bash保留历史命令的条数# x/ V3 m+ j' r+ h
修改/etc/profile文件的HISTSIZE的值，自己设定% i; C/ G$ g3 S# C0 \1 @: @
6、审计策略
+ `8 ?, Q3 j3 G 6.1 配置系统日志策略配置文件
2 }9 J9 `1 P/ W" O+ ^ 查看syslog是否启动：ps -aef | grep syslog
1 m) \: q+ {' ~4 p' C 查看rsyslogd的配置，并确认日志文件是否存在：cat /etc/rsyslog.conf! X" ?; f. K1 F& m6 |
6.2审计产生的数据分配合理的存储空间和存储时间
8 z, L& V( W5 ^& {5 @7 G 查看系统轮询配置：cat /etc/logrotate.conf
" r3 @" p1 @" m; i/ x 一些属性:. Q' {3 j! m$ {5 H+ o% U
rotate 4 日志文件保存个数为4，当第5个产生后，删除最早的日志
) r$ s$ l% l" \7 e$ z7 ]# Q$ e size 100k 每个日志的大小% c) u; f; g9 l# d- \
$ z9 Q# ]5 P( O% Y8 Q1 g
转自江苏三艾网络 |
1 g" F3 s! ?: q# c |
楼主V5，
