<acronym id="dxvjo"></acronym>
<button id="dxvjo"></button>
<button id="dxvjo"><dfn id="dxvjo"></dfn></button>

<p id="dxvjo"></p>

    <object id="dxvjo"><address id="dxvjo"></address></object>
    <object id="dxvjo"><tbody id="dxvjo"></tbody></object>

    <tr id="dxvjo"></tr>

      歡迎光臨消費電子實驗室!  

      登錄 立即注冊 找回密碼

      設為首頁收藏本站

      Linux操作系統加固

      2020-8-28 17:33| 發布者: cncelab| 查看: 2747| 評論: 0

      摘要: 本幫助手冊旨在指導系統管理人員或安全檢查人員進行Linux操作系統的安全合規性檢查和加固。

      本幫助手冊旨在指導系統管理人員或安全檢查人員進行Linux操作系統的安全合規性檢查和加固。


      1. 賬號和口令

      1.1 禁用或刪除無用賬號

      減少系統無用賬號,降低安全風險。

      操作步驟

      • 使用命令 userdel <用戶名> 刪除不必要的賬號。
      • 使用命令 passwd -l <用戶名> 鎖定不必要的賬號。
      • 使用命令 passwd -u <用戶名> 解鎖必要的賬號。

      1.2 檢查特殊賬號

      檢查是否存在空口令和root權限的賬號。

      操作步驟

      1. 查看空口令和root權限賬號,確認是否存在異常賬號:
        • 使用命令 awk -F: '($2=="")' /etc/shadow 查看空口令賬號。
        • 使用命令 awk -F: '($3==0)' /etc/passwd 查看UID為零的賬號。
      2. 加固空口令賬號:
        • 使用命令 passwd <用戶名> 為空口令賬號設定密碼。
        • 確認UID為零的賬號只有root賬號。

      1.3 添加口令策略

      加強口令的復雜度等,降低被猜解的可能性。

      操作步驟

      1. 使用命令 vi /etc/login.defs 修改配置文件。
        • PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數
        • PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數
        • PASS_WARN_AGE 7 #新建用戶的密碼到期提前提醒天數
      2. 使用chage命令修改用戶設置。
        例如,chage -m 0 -M 30 -E 2000-01-01 -W 7 <用戶名>表示將此用戶的密碼最長使用天數設為30,最短使用天數設為0,密碼2000年1月1日過期,過期前七天警告用戶。
      3. 設置連續輸錯三次密碼,賬號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth修改配置文件,在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。

      1.4 限制用戶su

      限制能su到root的用戶。

      操作步驟

      使用命令 vi /etc/pam.d/su修改配置文件,在配置文件中添加行。例如,只允許test組用戶su到root,則添加 auth required pam_wheel.so group=test。

      1.4 禁止root用戶直接登錄

      限制root用戶直接登錄。

      操作步驟

      1. 創建普通權限賬號并配置密碼,防止無法遠程登錄;
      2. 使用命令 vi /etc/ssh/sshd_config修改配置文件將PermitRootLogin的值改成no,并保存,然后使用service sshd restart重啟服務。

      2. 服務

      2.1 關閉不必要的服務

      關閉不必要的服務(如普通服務和xinetd服務),降低風險。

      操作步驟

      使用命令systemctl disable <服務名>設置服務在開機時不自動啟動。

      說明: 對于部分老版本的Linux操作系統(如CentOS 6),可以使用命令chkconfig --level <init級別> <服務名> off設置服務在指定init級別下開機時不自動啟動。

      2.2 SSH服務安全

      對SSH服務進行安全加固,防止暴力破解成功。

      操作步驟

      使用命令 vim /etc/ssh/sshd_config 編輯配置文件。

      • 不允許root賬號直接登錄系統。
        設置 PermitRootLogin 的值為 no。
      • 修改SSH使用的協議版本。
        設置 Protocol 的版本為 2。
      • 修改允許密碼錯誤次數(默認6次)。
        設置 MaxAuthTries 的值為 3。

      配置文件修改完成后,重啟sshd服務生效。

      3. 文件系統

      3.1 設置umask值

      設置默認的umask值,增強安全性。

      操作步驟

      使用命令 vi /etc/profile 修改配置文件,添加行 umask 027, 即新創建的文件屬主擁有讀寫執行權限,同組用戶擁有讀和執行權限,其他用戶無權限。

      3.2 設置登錄超時

      設置系統登錄后,連接超時時間,增強安全性。

      操作步驟

      使用命令 vi /etc/profile 修改配置文件,將以 TMOUT= 開頭的行注釋,設置為TMOUT=180,即超時時間為三分鐘。

      4. 日志

      4.1 syslogd日志

      啟用日志功能,并配置日志記錄。

      操作步驟

      Linux系統默認啟用以下類型日志:

      • 系統日志(默認)/var/log/messages
      • cron日志(默認)/var/log/cron
      • 安全日志(默認)/var/log/secure

      注意:部分系統可能使用syslog-ng日志,配置文件為:/etc/syslog-ng/syslog-ng.conf。

      您可以根據需求配置詳細日志。

      4.2 記錄所有用戶的登錄和操作日志

      通過腳本代碼實現記錄所有用戶的登錄操作日志,防止出現安全事件后無據可查。

      操作步驟

      1. 運行 [root@xxx /]# vim /etc/profile打開配置文件。
      2. 在配置文件中輸入以下內容:
        1. history
        2. USER=`whoami`
        3. USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
        4. if [ "$USER_IP" = "" ]; then
        5. USER_IP=`hostname`
        6. fi
        7. if [ ! -d /var/log/history ]; then
        8. mkdir /var/log/history
        9. chmod 777 /var/log/history
        10. fi
        11. if [ ! -d /var/log/history/${LOGNAME} ]; then
        12. mkdir /var/log/history/${LOGNAME}
        13. chmod 300 /var/log/history/${LOGNAME}
        14. fi
        15. export HISTSIZE=4096
        16. DT=`date +"%Y%m%d_%H:%M:%S"`

        鮮花

        握手

        雷人

        路過

        雞蛋

        網站介紹 廣告業務 歡迎投稿 招聘信息 聯系我們 友情鏈接 法律顧問 網站地圖

        CopyRight 2012消費電子實驗室 版權所有 京ICP備12048044號-4號

        電話:13701384402 郵編:100040 郵箱:BICQ6688@QQ.COM

        回頂部 日本三级香港三级 都市激综合小说区另类区 日本指交视频 禁断介护bd中文字幕
        久久人与动人物AV毛片 99热国产首页精品 免费三极影片 日本a级黄色片 日本一区二区三区免费软件