Linux安全加固#

1
2.1 限制系统没用的默认账户登录
2
passwd -l [用户名] #锁定用户
3
passwd -u [用户名] #解锁用户
4
usermod -L [用户名] #锁定用户
5
usermod -U [用户名] #解锁用户

1
2.2 root用户远程登录控制
2
相关文件：
3
/etc/ssh/sshd_config
4
修改参数
5
PermitRootLogin no
6
# 不允许root用户远程登录

1
2.3 口令生存周期
2
相关文件：
3
/etc/login.defs   # 此文件配置对Root账户无效
4

5
2.3.1 修改口令生存周期
6
相关文件：
7
/etc/login.defs
8
#此文件即时生效
9
建议值：
10
PASS_MAX_DAYS 180 # 密码最大使用天数
11
PASS_MIN_DAYS 1 # 密码最小使用天数
12
PASS_MIN_LEN 8 # 密码最小长度
13
PASS_WARN_AGE 28 # 密码到期提前提醒天数
14

15
2.3.2 修改登录认证限制
16
相关文件：
17
/etc/pam.d/system-auth   //配置用户身份验证、授权和账户管理的文件
18
Linux-PAM 嵌入式身份认证模块  --- 分层体系结构
19
第一层 模块层
20
组件         功能
21
☆auth     认证接口，要求并验证密码（配置登录处理功能）
22
account   检测是否允许访问（跟认证无关的账户检测机制）
23
☆password   设置并验证密码（配置口令复杂度策略）
24
session   配置和管理用户sesison（如果密码通过探针，就会打开一个会话，让我们跟系统交互）
25

26
第二层 应用接口层
27
控制标志         功能
28
☆required       必须success才能进行继续，即使失败用户也不会立刻获知，直到所有相关模块完成
29
☆requisite       必须success才能使认证继续进行
30
suffifient       如果失败则忽略
31
optinal       忽略结果，不管是否失败
32

33

34
第三层 应用程序，程序文件

1
2.3.3 查看系统是否存在空口令账户
2
awk -F ':' 'if{($2 == "") print $1 }' /etc/shadow

1
2.4 控制用户登录会话
2
相关文件：
3
/etc/login.defs
4
添加参数
5
TMOUT=300 # 会话超时时间300S

1
2.5 检查是否存在除root用户外UID=0的用户
2
awk -F ':' '($3 == 0) { print $1 }' /etc/passwd

1
chkconfig命令主要用来更新（启动或停止）和查询系统服务的运行级信息。谨记chkconfig不是立即自动禁止或激活一个服务，它只是简单的改变了符号连接。
2
 on/off 开启/关闭服务
3
 --add 增加所指定的系统服务，让chkconfig指令得以管理它，并同时在系统启动的叙述文件内增加相关数据。
4
--del 删除所指定的系统服务，不再由chkconfig指令管理，并同时在系统启动的叙述文件内删除相关数据。
5
--level<等级代号> 指定读系统服务要在哪一个执行等级中开启或关毕。
6

7

8
查看运行级别命令runlevel
9
运行级别 含义
10
等级表示：
11
等级0表示：表示关机
12
等级1表示：单用户模式
13
等级2表示：无网络连接的多用户命令行模式
14
等级3表示：有网络连接的多用户命令行模式
15
等级4表示：不可用
16
等级5表示：带图形界面的多用户模式
17
等级6表示：重新启动
18
在centos 6 中与centos 7中，chkconfig命令已经重置，现在基本用systemctl

1
4.1 umask权限
2
相关文件：
3
/etc/profile
4
修改文件参数
5
umask 022 # 修改umask为022
6
或者直接输入命令
7
umask 0022
8
# 修改umask为0022

1
4.2 敏感文件保护
2
示例文件：
3
/etc/passwd
4
/etc/shadow
5
相关命令：
6
chmod [权限] [文件/目录]
7
chattr [模式] [文件]
8

9
lsattr

1
4.3历史命令优化
2
在/etc/profile的文件尾部添加如下行数配置信息：
3
###############
4
USER_IP=`who -u am i 2>/dev/null | awk '{print $NF}' | sed -e 's/[()]//g'`
5
if [ "$USER_IP" = "" ]
6
then
7
USER_IP=`hostname`
8
fi
9
export HISTTIMEFORMAT="%F %T $USER_IP `whoami` "
10
shopt -s histappend
11
export PROMPT_COMMAND="history -a"
12
###################

1
4.4 Root操作历史
2
相关文件：
3
/etc/profile
4
修改参数
5
HISTSIZE=100 # 历史操作保存100条

1
4.5 修改路由信息
2
route add –net [目标网站] netmask [目标网段掩码] gw $gateway1
3
# 添加路由
4
route del –net 0.0.0.0 netmask 0.0.0.0 gw $gateway
5
# 删除默认路由
6

7
route -n  //查看路由信息

1
4.6日志切割配置
2
logrotate介绍：logrotate 程序是一个日志文件管理工具用来进行日志切割和定期删除，简单来说就是将某个日志文件按照时间或大小分割成多份，删除时间久远的日志。
3

4
Logrotater日志文件切割策略
5
查看logrotate.conf配置：cat /etc/logrotate.conf
6
weekly //默认每一周执行一次rotate轮转工作
7
rotate 4 //保留多少个日志文件(轮转几次).默认保留四个.就是指定日志文件删除之前轮转的次数，0 指没有备份
8
create //自动创建新的日志文件，新的日志文件具有和原来的文件相同的权限；因为日志被改名,因此要创建一个新的来继续存储之前的日志
9
dateext //这个参数很重要！就是切割后的日志文件以当前日期为格式结尾，如xxx.log-20131216这样,如果注释掉,切割出来是按数字递增,即前面说的 xxx.log-1这种格式
10
compress //是否通过gzip压缩转储以后的日志文件，如xxx.log-20131216.gz ；如果不需要压缩，注释掉就行
11
include /etc/logrotate.d //导入/etc/logrotate.d/ 目录中的各个应用配置
12
/var/log/wtmp { //仅针对 /var/log/wtmp 所设定的参数
13
monthly //每月一次切割,取代默认的一周
14
minsize 1M //文件大小超过 1M 后才会切割
15
create 0664 root utmp //指定新建的日志文件权限以及所属用户和组
16
rotate 1 //只保留一个日志.}

1
三员的理解：系统管理员，安全保密管理员，安全审计员
2
三员之三权：废除超级管理员；三员是三角色并非三人；安全保密管理员与审计员必须非同一个人。
3
BMB20-2007 提出的系统管理员、安全保密管理员和安全审计员是 3 类岗位或角色，并不是指 3 个人，可以是多人。各涉密信息系统应该根据实际情况，配备合理数量的安全保密管理人员，以满足系统安全保密管理的需要。
4
系统管理员主要负责系统的日常运行维护工作；
5
安全保密管理员主要负责涉密信息系统的日常安全保密管理工作；
6
安全审计员主要负责对系统管理员、安全保密管理员的操作行为进行审计跟踪分析和监督检查。

1
useradd system
2
useradd audit
3
useradd security