运维开发网

Linux系统安全加固

运维开发网 https://www.qedev.com 2020-11-27 10:28 出处:51CTO 作者:小岑的博客
1. 锁定系统中多余的自建帐号检查方法:执行命令#cat /etc/passwd#cat /etc/shadow查看账户、口令文件,与系统管理员确认不必要的账号。对于一些保留的系统伪帐户如:bin, sys,adm,uucp,lp, nuucp,hpdb, www, daemon等可根据需要锁定登陆。备份方法:#cp -p /etc/passwd /etc/passwd_bak#cp -p /et

1. 锁定系统中多余的自建帐号

检查方法:

执行命令

#cat /etc/passwd

#cat /etc/shadow

查看账户、口令文件,与系统管理员确认不必要的账号。对于一些保留的系统伪帐户如:bin, sys,adm,uucp,lp, nuucp,hpdb, www, daemon等可根据需要锁定登陆。

备份方法:

#cp -p /etc/passwd /etc/passwd_bak

#cp -p /etc/shadow /etc/shadow_bak

加固方法:

使用命令passwd -l <用户名>锁定不必要的账号。

使用命令passwd -u <用户名>解锁需要恢复的账号。

风险:

需要与管理员确认此项操作不会影响到业务系统的登录

2. 设置系统口令策略

检查方法:

使用命令

#cat /etc/login.defs|grep PASS查看密码策略设置

备份方法:

cp -p /etc/login.defs /etc/login.defs_bak

加固方法:

#vi /etc/login.defs修改配置文件

PASS_MAX_DAYS 90 #新建用户的密码最长使用天数

PASS_MIN_DAYS 0 #新建用户的密码最短使用天数

PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

PASS_MIN_LEN 8 #最小密码长度9

注:如果需要单独对某个用户密码不限制最长时间,使用命令

passwd –x 99999 用户名;或者passwd –x -1 用户名

风险:无可见风险

3. 禁用root之外的超级用户

检查方法:

#cat /etc/passwd 查看口令文件,口令文件格式如下:

login_name:password:user_ID:group_ID:comment:home_dir:command

login_name:用户名

password:加密后的用户密码

user_ID:用户ID,(1 ~ 6000) 若用户ID=0,则该用户拥有超级用户的权限。查看此处是否有多个ID=0。

group_ID:用户组ID

comment:用户全名或其它注释信息

home_dir:用户根目录

command:用户登录后的执行命令

备份方法:

#cp -p /etc/passwd /etc/passwd_bak

加固方法:

使用命令passwd -l <用户名>锁定不必要的超级账户。

使用命令passwd -u <用户名>解锁需要恢复的超级账户。

风险:需要与管理员确认此超级用户的用途。

4. 检查shadow中空口令帐号

检查方法:

# awk -F: '($2 == "") { print $1 }' /etc/shadow

备份方法:cp -p /etc/shadow /etc/shadow_bak

加固方法:对空口令账号进行锁定(passwd –l 用户名),或要求增加密码.

注:当新增加账号还没有设置密码的时候,该账号默认为锁定状态。

Linux系统安全加固

风险:要确认空口令账户是否和应用关联,增加密码是否会引起应用无法连接。

5. 设置合理的初始文件权限

检查方法:

#cat /etc/profile 查看umask的值

备份方法:

#cp -p /etc/profile /etc/profile_bak

加固方法:

#vi /etc/profile

umask 022

风险:会修改新建文件的默认权限为(644),如果该服务器是WEB应用,则此项谨慎修改。

6. 设置访问控制策略限制能够管理本机的IP地址

检查方法:

#cat /etc/ssh/sshd_config 查看有无AllowUsers的语句

备份方法:

#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

加固方法:

#vi /etc/ssh/sshd_config,添加以下语句

AllowUsers *@10.138.*.* 此句意为:仅允许10.138.0.0/16网段所有用户通过ssh访问

保存后重启ssh服务

#service sshd restart

风险:需要和管理员确认能够管理的IP段

7. 禁止root用户远程登陆

检查方法:

#cat /etc/ssh/sshd_config 查看PermitRootLogin是否为no

备份方法:

#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

加固方法:

#vi /etc/ssh/sshd_config

PermitRootLogin no

保存后重启ssh服务

service sshd restart

Linux系统安全加固

风险:root用户无法直接远程登录,需要用普通账号登陆后su

8. 限定信任主机

检查方法:

#cat /etc/hosts.equiv 查看其中的主机

#cat /$HOME/.rhosts 查看其中的主机

备份方法:

#cp -p /etc/hosts.equiv /etc/hosts.equiv_bak

#cp -p /$HOME/.rhosts /$HOME/.rhosts_bak

加固方法:

#vi /etc/hosts.equiv 删除其中不必要的主机

#vi /$HOME/.rhosts 删除其中不必要的主机

风险:在多机互备的环境中,需要保留其他主机的IP可信任。

9. 屏蔽登录banner信息

检查方法:

#cat /etc/ssh/sshd_config 查看文件中是否存在Banner字段,或banner字段为NONE

#cat /etc/motd 查看文件内容,该处内容将作为banner信息显示给登录用户。

备份方法:

#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

#cp -p /etc/motd /etc/motd_bak

加固方法:

#vi /etc/ssh/sshd_config

banner NONE

#vi /etc/motd

删除全部内容或更新成自己想要添加的内容

风险:无可见风险

10. 防止误使用Ctrl+Alt+Del重启系统

检查方法:

#cat /etc/inittab|grep ctrlaltdel 查看输入行是否被注释

备份方法:

#cp -p /etc/inittab /etc/inittab_bak

加固方法:

#vi /etc/inittab

在行开头添加注释符号“#”

#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

Linux系统安全加固

风险:无可见风险

11. 禁止ping命令

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all ##注:如果是0的话是允许ping的。

还有另外一种方法:

修改/etc/sysconfig/iptables文件:

-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j DROP

12. 修改帐户TMOUT值,设置自动注销时间

检查方法:

#cat /etc/profile 查看有无TMOUT的设置

备份方法:

#cp -p /etc/profile /etc/profile_bak

加固方法:

#vi /etc/profile

增加

TMOUT=600 无操作600秒后自动退出

风险:无可见风险

13. 设置Bash保留历史命令的条数

检查方法:

#cat /etc/profile|grep HISTSIZE=

#cat /etc/profile|grep HISTFILESIZE= 查看保留历史命令的条数

备份方法:

#cp -p /etc/profile /etc/profile_bak

加固方法:

#vi /etc/profile

修改HISTSIZE=20即保留最新执行的

20条命令

扫码领视频副本.gif

0

精彩评论

暂无评论...
验证码 换一张
取 消

关注公众号