增加Linux系统安全的措施.doc

1、1. 锁定系统中多余的自建帐号检查方法:执行命令#cat /etc/passwd#cat /etc/shadow查看账户、口令文件，与系统管理员确认不必要的账号。对于一些保留的系统伪帐户如：bin, sys，adm，uucp，lp, nuucp，hpdb, www, daemon等可根据需要锁定登陆。备份方法：#cp -p /etc/passwd /etc/passwd_bak#cp -p /etc/shadow /etc/shadow_bak加固方法:使用命令passwd -l 锁定不必要的账号。使用命令passwd -u 解锁需要恢复的账号。风险:需要与管理员确认此项操作不会影响到业务系统

2、的登录2. 设置系统口令策略检查方法：使用命令#cat /etc/login.defs|grep PASS查看密码策略设置备份方法：cp -p /etc/login.defs /etc/login.defs_bak加固方法：#vi /etc/login.defs修改配置文件PASS_MAX_DAYS 90 #新建用户的密码最长使用天数PASS_MIN_DAYS 0 #新建用户的密码最短使用天数PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数PASS_MIN_LEN 8 #最小密码长度9注：如果需要单独对某个用户密码不限制最长时间，使用命令 passwd x 99999 用户名；

3、或者passwd x -1 用户名 风险：无可见风险3. 禁用root之外的超级用户检查方法：#cat /etc/passwd 查看口令文件，口令文件格式如下：login_name：password：user_ID：group_ID：comment：home_dir：commandlogin_name：用户名password：加密后的用户密码user_ID：用户ID，(1 6000) 若用户ID=0，则该用户拥有超级用户的权限。查看此处是否有多个ID=0。group_ID：用户组IDcomment：用户全名或其它注释信息home_dir：用户根目录command：用户登录后的执行命令备份方法：

4、#cp -p /etc/passwd /etc/passwd_bak加固方法：使用命令passwd -l 锁定不必要的超级账户。使用命令passwd -u 解锁需要恢复的超级账户。风险：需要与管理员确认此超级用户的用途。4. 检查shadow中空口令帐号检查方法：# awk -F: ($2 = “) print $1 /etc/shadow备份方法：cp -p /etc/shadow /etc/shadow_bak加固方法：对空口令账号进行锁定（passwd l 用户名），或要求增加密码.注：当新增加账号还没有设置密码的时候，该账号默认为锁定状态。风险：要确认空口令账户是否和应用关联，增加密码

5、是否会引起应用无法连接。5. 设置合理的初始文件权限检查方法：#cat /etc/profile 查看umask的值备份方法：#cp -p /etc/profile /etc/profile_bak加固方法：#vi /etc/profileumask 022风险：会修改新建文件的默认权限为(644)，如果该服务器是WEB应用，则此项谨慎修改。6. 设置访问控制策略限制能够管理本机的IP地址检查方法：#cat /etc/ssh/sshd_config 查看有无AllowUsers的语句备份方法：#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_ba

6、k加固方法：#vi /etc/ssh/sshd_config，添加以下语句AllowUsers *10.138.*.* 此句意为：仅允许10.138.0.0/16网段所有用户通过ssh访问保存后重启ssh服务#service sshd restart风险：需要和管理员确认能够管理的IP段7. 禁止root用户远程登陆检查方法： #cat /etc/ssh/sshd_config 查看PermitRootLogin是否为no备份方法：#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak加固方法：#vi /etc/ssh/sshd_configP

7、ermitRootLogin no保存后重启ssh服务service sshd restart风险：root用户无法直接远程登录，需要用普通账号登陆后su8. 限定信任主机检查方法：#cat /etc/hosts.equiv 查看其中的主机#cat /$HOME/.rhosts 查看其中的主机备份方法：#cp -p /etc/hosts.equiv /etc/hosts.equiv_bak#cp -p /$HOME/.rhosts /$HOME/.rhosts_bak加固方法：#vi /etc/hosts.equiv 删除其中不必要的主机#vi /$HOME/.rhosts 删除其中不必要的主

8、机风险：在多机互备的环境中，需要保留其他主机的IP可信任。9. 屏蔽登录banner信息检查方法： #cat /etc/ssh/sshd_config 查看文件中是否存在Banner字段，或banner字段为NONE#cat /etc/motd 查看文件内容，该处内容将作为banner信息显示给登录用户。备份方法：#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak#cp -p /etc/motd /etc/motd_bak加固方法：#vi /etc/ssh/sshd_configbanner NONE#vi /etc/motd删除全部内容或

9、更新成自己想要添加的内容风险：无可见风险10. 防止误使用Ctrl+Alt+Del重启系统检查方法：#cat /etc/inittab|grep ctrlaltdel 查看输入行是否被注释备份方法：#cp -p /etc/inittab /etc/inittab_bak加固方法：#vi /etc/inittab在行开头添加注释符号“#”#ca:ctrlaltdel:/sbin/shutdown -t3 -r now风险：无可见风险11. 禁止ping命令echo 1 /proc/sys/net/ipv4/icmp_echo_ignore_all #注：如果是0的话是允许ping的。还有另外一种

10、方法：修改/etc/sysconfig/iptables文件：-A RH-Firewall-1-INPUT -p icmp -icmp-type any -j DROP12. 修改帐户TMOUT值，设置自动注销时间检查方法：#cat /etc/profile 查看有无TMOUT的设置备份方法：#cp -p /etc/profile /etc/profile_bak加固方法：#vi /etc/profile增加TMOUT=600 无操作600秒后自动退出风险：无可见风险13. 设置Bash保留历史命令的条数检查方法：#cat /etc/profile|grep HISTSIZE=#cat /etc/profile|grep HISTFILESIZE= 查看保留历史命令的条数备份方法：#cp -p /etc/profile /etc/profile_bak加固方法：#vi /etc/profile修改HISTSIZE=20即保留最新执行的20条命令风险：无可见风险