搜索

[21334] 2020-10-23_安全加固之Linux&Solaris

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2020-10-23_安全加固之Linux&Solaris 安 全 加 固 之 L i n u x & S o l a r i s 转 载 自 安 全 鸭   L e m o n S e c   2 0 2 0 - 1 0 - 2 3 一 、 一 、 L i n u x 安 全 加 固 安 全 加 固 常 见 常 见 查 询 命 令 查 询 命 令 1 . 应 按 照 不 同 的 用 户 分 配 不 同 的 账 号 。 避 免 不 同 用 户 间 共 享 账 号 。 避 免 用 户 账 号 和 设 备 间 通 信 使 用 的 账 号 共 享 应 按 照 不 同 的 用 户 分 配 不 同 的 账 号 。 避 免 不 同 用 户 间 共 享 账 号 。 避 免 用 户 账 号 和 设 备 间 通 信 使 用 的 账 号 共 享 不 同 的 用 户 拥 有 不 同 的 账 号 ； 2 . 应 删 除 或 锁 定 与 设 备 运 行 、 维 护 等 工 作 无 关 的 账 号 。 应 删 除 或 锁 定 与 设 备 运 行 、 维 护 等 工 作 无 关 的 账 号 。 3 . 根 据 系 统 要 求 及 用 户 的 业 务 需 求 ， 建 立 多 帐 户 组 ， 将 用 户 账 号 分 配 到 相 应 的 帐 户 组 根 据 系 统 要 求 及 用 户 的 业 务 需 求 ， 建 立 多 帐 户 组 ， 将 用 户 账 号 分 配 到 相 应 的 帐 户 组 4 . 使 用 使 用 P A M 禁 止 任 何 人 禁 止 任 何 人 s u 为 为 r o o t c a t   / e t c / p a s s w d # u s e r a d d   u s e r n a m e         # 创 建 账 号 p a s s w d   u s e r n a m e           # 设 置 密 码 c h m o d   7 5 0   d i r e c t o r y   # 为 要 更 改 权 限 的 目 录 根 据 实 际 情 况 设 置 权 限 c a t   / e t c / p a s s w d   |   g r e p   - i   - E   " l i s t e n | g d m | w e b s e r v d | n o b o d y | n o b o d y 4 | n o a c c e s s " c a t   / e t c / s h a d o w   |   g r e p   - i   - E   " l i s t e n | g d m | w e b s e r v d | n o b o d y | n o b o d y 4 | n o a c c e s s " # 锁 定 用 户 ： # 修 改 / e t c / s h a d o w   文 件 ， 用 户 名 后 加 * L K * # 将 / e t c / p a s s w d 文 件 中 的 s h e l l 域 设 置 成 / b i n / f a l s e ， / b i n / f a l s e 是 最 严 格 的 禁 止 l o g i n 选 项 ， 一 切 服 务 都 不 能 用 # / u s r / s b i n / n o l o g i n ： n o l o g i n 会 礼 貌 的 向 用 户 显 示 一 条 信 息 ， 并 拒 绝 用 户 登 录 p a s s w d   - l   u s e r n a m e     # 锁 定 用 户 p a s s w d   –   d   u s e r n a m e   # 解 锁 用 户 。 原 有 密 码 失 效 ， 登 录 需 输 入 新 密 码 c a t   / e t c / p a s s w d   c a t   / e t c / g r o u p g r o u p a d d   – g   G I D   g r o u p n a m e   # 创 建 一 个 组 ， 并 为 其 设 置   G I D   号 ， 若 不 设   G I D ， 系 统 会 自 动 为 该 组 分 配 一 个   G I D   号 u s e r m o d   – g   g r o u p   u s e r n a m e   # 将 用 户   u s e r n a m e   分 配 到   g r o u p   组 中 c a t   / e t c / p a m . d / s u   a u t h   s u f f i c i e n t   / l i b / s e c u r i t y / p a m _ r o o t o k . s o
5 . 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 口 令 长 度 至 少 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 口 令 长 度 至 少 8 位 ， 并 包 括 数 字 、 小 写 字 母 、 大 写 字 母 和 特 殊 符 号 位 ， 并 包 括 数 字 、 小 写 字 母 、 大 写 字 母 和 特 殊 符 号 4 类 中 至 少 类 中 至 少 3 类 类 6 . 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 帐 户 口 令 的 生 存 期 不 长 于 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 帐 户 口 令 的 生 存 期 不 长 于 9 0 天 天 7 . 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 应 配 置 设 备 ， 使 用 户 不 能 重 复 使 用 最 近 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 应 配 置 设 备 ， 使 用 户 不 能 重 复 使 用 最 近 5 次 （ 含 次 （ 含 5 次 ） 内 已 使 用 的 口 令 次 ） 内 已 使 用 的 口 令 8 . 对 于 采 用 静 态 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 应 配 置 当 用 户 连 续 认 证 失 败 次 数 超 过 口 令 认 证 技 术 的 设 备 ， 应 配 置 当 用 户 连 续 认 证 失 败 次 数 超 过 6 次 （ 不 含 次 （ 不 含 6 次 ） ， 锁 定 该 用 户 使 用 的 次 ） ， 锁 定 该 用 户 使 用 的 账 号 。 账 号 。 9 . 在 设 备 权 限 配 置 能 力 内 ， 根 据 用 户 的 业 务 需 要 ， 配 置 其 所 需 的 最 小 权 限 在 设 备 权 限 配 置 能 力 内 ， 根 据 用 户 的 业 务 需 要 ， 配 置 其 所 需 的 最 小 权 限 a u t h   s u f f i c i e n t   / l i b / s e c u r i t y / p a m _ r o o t o k . s o a u t h   r e q u i r e d   / l i b / s e c u r i t y / p a m _ w h e e l . s o   g r o u p = w h e e l # 有 这 两 行 表 明 只 有 w h e e l 组 的 成 员 可 以 使 用 s u 命 令 成 为 r o o t 用 户 。 即 符 合 要 求 u s e r m o d   – G   g r o u p n a m e   u s e r n a m e     # 把 用 户 添 加 到 w h e e l 组 ， 使 它 可 以 使 用 s u 命 令 成 为 r o o t 用 户 c a t   / e t c / p a m . d / s y s t e m - a u t h # 大 于 c e n t o s 7 版 本 的 c a t   / e t c / s e c u r i t y / p w q u a l i t y . c o n f # s u s e   l i n u x   :   c a t   / e t c / p a m . d / c p m m o n - p a s s w o r d 参 考 配 置 ： m i n l e n = 8     m i n c l a s s = 3     r e t r y = 3 d c r e d i t = - 1     u c r e d i t = - 1     o c r e d i t = - 1     l c r e d i t = - 1 m i n c l a s s = N : 密 码 组 成 ( 大 / 小 字 母 , 数 字 , 特 殊 字 符 ) m i n c l a s s = N : 密 码 组 成 ( 大 / 小 字 母 , 数 字 , 特 殊 字 符 ) #   r e t r y : 设 置 用 户 输 入 口 令 字 时 允 许 重 试 的 次 数 ， 默 认 值 是 r e t r y = 3 。 #   d c r e d i t = N :   N   > =   0 : 密 码 中 最 多 有 多 少 个 数 字 ; N   <   0 密 码 中 最 少 有 多 少 个 数 字 l c r e d i t = N : 小 写 字 母 的 个 数 u c r e d i t = N   大 写 字 母 的 个 数 o c r e d i t = - 1   最 少 1 个 符 号 c a t   / e t c / l o g i n . d e f s   |   g r e p   P A S S P A S S _ M I N _ L E N = 8   # 设 定 最 小 用 户 密 码 长 度 为   8   位 c a t   / e t c / l o g i n . d e f s   |   g r e p   P A S S P A S S _ M A X _ D A Y S = 9 0     # 设 定 口 令 的 生 存 期 不 长 于 9 0 天 c a t   / e t c / p a m . d / s y s t e m - a u t h   |   g r e p   r e m e m b e r #   默 认 没 有 r e m e m b e r 的 标 记 ， 不 记 录 以 前 的 密 码 ， 在 p a s s w o r d   s u f f i c i e n t 这 一 行 加 上 r e m e m b e r = 5 即 可 p a s s w o r d   s u f f i c i e n t   p a m _ u n i x . s o   m d 5   s h a d o w   n u l l o k   t r y _ f i r s t _ p a s s   u s e _ a u t h t o k   r e m e m b e r = 5 R e d h a t ： 编 辑 / e t c / p a m . d / s y s t e m - a u t h 文 件 ， S u s e 9 ： 编 辑 / e t c / p a m . d / p a s s w d 文 件 ， S u s e 1 0 , S u s e 1 1 ： 编 辑 / e t c / p a m . d / c o m m o n - p a s s w o r d 文 件 c a t   / e t c / p a m . d / s y s t e m - a u t h   |   g r e p   d e n y d e n y   # 连 续 认 证 失 败 次 数 超 过 的 次 数   u n l o c k _ t i m e   # 锁 定 的 时 间 ， 单 位 为 秒 a u t h   r e q u i r e d   p a m _ t a l l y . s o   d e n y = 5   u n l o c k _ t i m e = 6 0 0   n o _ l o c k _ t i m e   a c c o u n t   r e q u i r e d   p a m _ t a l l y . s o R e d h a t ： 编 辑 / e t c / p a m . d / s y s t e m - a u t h 文 件 ， S u s e 9 ： 编 辑 / e t c / p a m . d / p a s s w d 文 件 ， S u s e 1 0 , S u s e 1 1 ： 编 辑 / e t c / p a m . d / c o m m o n - p a s s w o r d 文 件 l l   / e t c / p a s s w d   / e t c / g r o u p   / e t c / s h a d o w     # 查 询 命 令 / e t c / p a s s w d   必 须 所 有 用 户 都 可 读 ， r o o t 用 户 可 写   – r w - r — r — / e t c / s h a d o w   只 有 r o o t 可 读                                 – r - - - - - - - - / e t c / g r o u p   须 所 有 用 户 都 可 读 ， r o o t 用 户 可 写         – r w - r — r —
1 0 . 限 制 具 备 超 级 管 理 员 权 限 的 用 户 远 程 登 录 。 远 程 执 行 管 理 员 权 限 操 作 ， 应 先 以 普 通 权 限 用 户 远 程 登 录 后 ， 再 切 换 到 限 制 具 备 超 级 管 理 员 权 限 的 用 户 远 程 登 录 。 远 程 执 行 管 理 员 权 限 操 作 ， 应 先 以 普 通 权 限 用 户 远 程 登 录 后 ， 再 切 换 到 超 级 管 理 员 权 限 账 号 后 执 行 相 应 操 作 超 级 管 理 员 权 限 账 号 后 执 行 相 应 操 作 # 编 辑 / e t c / p a s s w d ， 帐 号 信 息 的 s h e l l 为 / s b i n / n o l o g i n 表 示 禁 止 远 程 登 录 ， / b i n / b a s h 表 示 允 许 登 陆 # r o o t 从 远 程 s s h 登 录 ， 修 改 / e t c / s s h / s s h d _ c o n f i g 文 件 ， 将 P e r m i t R o o t L o g i n   y e s 改 为 P e r m i t R o o t L o g i n   n o ， 重 启 s s h d 服 务 1 1 . 控 制 用 户 缺 省 访 问 权 限 ， 当 在 创 建 新 文 件 或 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 。 防 止 同 属 于 该 组 控 制 用 户 缺 省 访 问 权 限 ， 当 在 创 建 新 文 件 或 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 。 防 止 同 属 于 该 组 的 其 它 用 户 及 别 的 组 的 用 户 修 改 该 用 户 的 文 件 或 更 高 限 制 的 其 它 用 户 及 别 的 组 的 用 户 修 改 该 用 户 的 文 件 或 更 高 限 制 u m a s k 的 默 认 设 置 一 般 为 0 2 2 ， 这 给 新 创 建 的 文 件 默 认 权 限 为 7 5 5 （ 7 7 7 - 0 2 2 = 7 5 5 ） , 这 会 给 文 件 所 有 者 读 、 写 权 限 ， 但 只 给 组 成 员 和 其 他 用 户 读 权 限 ， 建 议 修 改 为 0 2 7 。 1 2 . 如 果 需 要 启 用 如 果 需 要 启 用 F T P 服 务 ， 控 制 服 务 ， 控 制 F T P 进 程 缺 省 访 问 权 限 ， 当 通 过 进 程 缺 省 访 问 权 限 ， 当 通 过 F T P 服 务 创 建 新 文 件 或 服 务 创 建 新 文 件 或   目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 应 有 的 访 问 允 许 权 限       1 3 . 设 备 应 配 置 日 志 功 能 ， 对 用 户 登 录 进 行 记 录 ， 记 录 内 容 包 括 用 户 登 录 使 用 的 账 号 ， 登 录 是 否 成 功 ， 登 录 时 间 ， 以 及 设 备 应 配 置 日 志 功 能 ， 对 用 户 登 录 进 行 记 录 ， 记 录 内 容 包 括 用 户 登 录 使 用 的 账 号 ， 登 录 是 否 成 功 ， 登 录 时 间 ， 以 及 远 程 登 录 时 ， 用 户 使 用 的 远 程 登 录 时 ， 用 户 使 用 的 I P 地 址 地 址 / v a r / l o g / w t m p 文 件 中 记 录 着 所 有 登 录 过 主 机 的 用 户 ， 时 间 ， 来 源 等 内 容 ， 该 文 件 不 具 可 读 性 ， 可 用 l a s t 命 令 来 看 注 意 ： 系 统 账 户 诸 如 b i n 、 d a e m o n 、 a d m 、 u u c p 、 m a i l 等 不 应 该 登 录 ， 如 果 发 现 这 些 账 户 有 登 录 记 录 ， 就 说 明 系 统 可 能 已 经 被 入 侵 。 1 4 . 启 用 启 用 s y s l o g 系 统 日 志 审 计 功 能 系 统 日 志 审 计 功 能 1 5 . 系 统 日 志 文 件 由 系 统 日 志 文 件 由 s y s l o g 创 立 并 且 不 可 被 其 他 用 户 修 改 ； 其 它 的 系 统 日 志 文 件 不 是 全 局 可 写 创 立 并 且 不 可 被 其 他 用 户 修 改 ； 其 它 的 系 统 日 志 文 件 不 是 全 局 可 写 1 6 . 启 用 记 录 启 用 记 录 c r o n 行 为 日 志 功 能 行 为 日 志 功 能 c a t   / e t c / s s h / s s h d _ c o n f i g   |   g r e p   P e r m i t R o o t L o g i n c a t   / e t c / l o g i n . d e f s   |   g r e p     U M A S K #   当 通 过 F T P 服 务 创 建 新 文 件 或 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 n e t s t a t   - a n   |   g r e p   2 1 p s   - e f   |   g r e p   f t p # 如 果 开 启 了 f t p ， 查 看 / e t c / v s f t p d / c h r o o t _ l i s t   文 件 ， 将 需 要 限 制 的 用 户 名 加 入 到 文 件 中 c a t   / e t c / v s f t p d / v s f t p d . c o n f   |   g r e p   - i   - E   " c h r o o t _ l i s t | c h r o o t _ l o c a l _ u s e r " c a t   / e t c / v s f t p d / c h r o o t _ l i s t   |   g r e p   - i   - E   " c h r o o t _ l i s t | c h r o o t _ l o c a l _ u s e r " # s u s e   l i n u x :     c a t   / e t c / v s f t p d . c o n f l a s t l a s t   / v a r / l o g / w t m p u s e r m o d   - L   u s e r n a m e   # 锁 定 帐 号 u s e r n a m e u s e r m o d   - U   u s e r n a m e   # 解 锁 帐 号 u s e r n a m e c a t   / e t c / r s y s l o g . c o n f   |   g r e p   a u t h p r i v # 配 置 如 下 ： # a u t h p r i v . *   / v a r / l o g / s e c u r e # 将   a u t h p i r v   设 备 的 任 何 级 别 的 信 息 记 录 到 / v a r / l o g / s e c u r e   文 件 中 ， 这 主 要 是 一 些 和 认 证 、 权 限 使 用 相 关 的 信 息 。 s u s e   l i n u x :   s u s e :   c a t   / e t c / s y s l o g - n g / s y s l o g - n g . c o n f l l   / v a r / l o g / m e s s a g e s   / v a r / l o g / s e c u r e   / v a r / l o g / m a i l l o g   / v a r / l o g / c r o n   / v a r / l o g / s p o o l e r   / v a r / l o g / b o o t . l o g c a t   / e t c / r s y s l o g . c o n f   |   g r e p   c r o n # 是 否 启 用 c r o n 行 为 日 志 功 能 ， 配 置 如 ： #   L o g   c r o n   s t u f f c r o n . *           v a r / l o g / c r o n
1 7 . 设 备 配 置 远 程 日 志 功 能 ， 将 需 要 重 点 关 注 的 日 志 内 容 传 输 到 日 志 服 务 器 设 备 配 置 远 程 日 志 功 能 ， 将 需 要 重 点 关 注 的 日 志 内 容 传 输 到 日 志 服 务 器 #   将 " * . * " 替 换 为 你 实 际 需 要 的 日 志 信 息 。 比 如 ： k e r n . *   ;   m a i l . *   等 等 。 #   将 1 9 2 . 1 6 8 . 0 . 1   替 换 为 实 际 的 I P 或 域 名 1 8 . 对 于 使 用 对 于 使 用 I P 协 议 进 行 远 程 维 护 的 设 备 ， 设 备 应 配 置 使 用 协 议 进 行 远 程 维 护 的 设 备 ， 设 备 应 配 置 使 用 S S H 等 加 密 协 议 ， 并 安 全 配 置 等 加 密 协 议 ， 并 安 全 配 置 S S H D 的 设 置 的 设 置 # 禁 止 使 用 t e l n e t 等 明 文 传 输 协 议 进 行 远 程 维 护 ； 如 特 别 需 要 ， 需 采 用 访 问 控 制 策   略 对 其 进 行 限 制 ； 1 9 . 在 保 证 业 务 网 络 稳 定 运 行 的 前 提 下 在 保 证 业 务 网 络 稳 定 运 行 的 前 提 下 , 安 装 最 新 的 安 装 最 新 的 O S 补 丁 补 丁 . 补 丁 在 安 装 前 需 要 测 试 确 定 补 丁 在 安 装 前 需 要 测 试 确 定 2 0 . 关 闭 不 必 要 的 服 务 或 端 口 关 闭 不 必 要 的 服 务 或 端 口 在 / e t c / x i n e t d . c o n f 文 件 中 禁 止 不 必 要 的 基 本 网 络 服 务 。 注 意 ： 改 变 了 “ / e t c / x i n e t d . c o n f ” 文 件 之 后 ， 需 要 重 新 启 动 x i n e t d 。 对 必 须 提 供 的 服 务 采 用 t c p w a p p e r 来 保 护 2 1 . 修 改 系 统 修 改 系 统 b a n n e r ， 避 免 泄 漏 操 作 系 统 名 称 ， 版 本 号 ， 主 机 名 称 等 ， 并 且 给 出 登 陆 告 警 信 息 ， 避 免 泄 漏 操 作 系 统 名 称 ， 版 本 号 ， 主 机 名 称 等 ， 并 且 给 出 登 陆 告 警 信 息 2 2 . 对 于 具 备 字 符 交 互 界 面 的 设 备 ， 配 置 定 时 帐 户 自 动 登 出 对 于 具 备 字 符 交 互 界 面 的 设 备 ， 配 置 定 时 帐 户 自 动 登 出 c r o n . *           v a r / l o g / c r o n c r o n . * c a t   / e t c / r s y s l o g . c o n f 配 置 如 ： * . *   @ 1 9 2 . 1 6 8 . 0 . 1 p s   - e f   |   g r e p   s s h p s   - e f   |   g r e p   t e l n e t u n a m e   - a   # 看 补 丁 是 否 为 最 新 版 本 R e d H a t   L i n u x ： h t t p : / / w w w . r e d h a t . c o m / s u p p o r t / e r r a t a /   S l a c k w a r e   L i n u x ： f t p : / / f t p . s l a c k w a r e . c o m / p u b / s l a c k w a r e / S u S E   L i n u x ： h t t p : / / w w w . s u s e . c o m / u s / s u p p o r t / s e c u r i t y / i n d e x . h t m l T u r b o L i n u x ： h t t p : / / w w w . t u r b o l i n u x . c o m / s e c u r i t y / c h k c o n f i g   - - l i s t c h k c o n f i g   - - l i s t   |   g r e p   - E   " d a y t i m e | t i m e | e c h o | d i s c a r d | c h a r g e n | s e n d m a i l | n t a l k | i d e n t | p r i n t e r | b o o t p s | k s h e l l | k l o g i n | l p d | n f s | n f s . l o c k | y p b i n d " c a t   / e t c / r c . d / r c . l o c a l l l   / e t c / i s s u e * # 在 下 面 显 示 的 这 些 行 前 加 一 个 “ # ” ， 把 输 出 信 息 的 命 令 注 释 掉 #   T h i s   w i l l   o v e r w r i t e   / e t c / i s s u e   a t   e v e r y   b o o t .   S o ,   m a k e   a n y   c h a n g e s   y o u   w a n t   t o   m a k e   t o   / e t c / i s s u e   h e r e   o r   y o u   w i l l   l o s e   t h e m   w h e n   y o u   r e b o o t . # e c h o   " "   >   / e t c / i s s u e # e c h o   " $ R "   > >   / e t c / i s s u e # e c h o   " K e r n e l   $ ( u n a m e   - r )   o n   $ a   $ ( u n a m e   - m ) "   > > # c p   - f   / e t c / i s s u e   / e t c / i s s u e . n e t # e c h o   > >   / e t c / i s s u e   其 次 删 除 " / e t c " 目 录 下 的 i s u e . n e t 和 i s s u e 文 件 ： #   m v   / e t c / i s s u e   / e t c / i s s u e . b a k   #   m v   / e t c / i s s u e . n e t   / e t c / i s s u e . n e t . b a k c a t   / e t c / p r o f i l e   |   g r e p   T M O U T # 通 过 修 改 账 户 中 “ T M O U T ” 参 数 ， 可 以 实 现 此 功 能 。 T M O U T 按 秒 计 算 ; # 建 议 T M O U T = 3 0 0 （ 可 根 据 情 况 设 定 ）   # 注 ： 改 变 这 项 设 置 后 ， 必 须 先 注 销 用 户 ， 再 用 该 用 户 登 录 才 能 激 活 这 个 功 能
2 3 .   . r h o s t s ， ， . n e t r c ， ， h o s t s . e q u i v   等 文 件 都 具 有 潜 在 的 危 险 ， 如 果 没 有 应 用 ， 应 该 删 除 等 文 件 都 具 有 潜 在 的 危 险 ， 如 果 没 有 应 用 ， 应 该 删 除 2 4 . 禁 止 禁 止 r o o t 登 陆 登 陆 F T P ① 黑 名 单 ： u s e r l i s t _ e n a b l e = Y E S ， u s e r l i s t _ d e n y = Y E S 。 那 列 在 u s e r _ l i s t 文 件 中 的 用 户 就 会 被 禁 止 访 问 f t p ② 白 名 单 ： u s e r l i s t _ e n a b l e = Y E S ， u s e r l i s t _ d e n y = N O 。 文 件 中 的 用 户 就 会 被 允 许 访 问 f t p ③ u s e r l i s t _ d e n y 不 存 在 时 ， 默 认 状 态 是 Y E S ④ s u s e :   c a t   / e t c / v s f t p d . c o n f   |   g r e p   a n o n y m o u s _ e n a b l e 2 5 . 修 改 修 改   F T P   b a n n e r 信 息 信 息 = = = = = = = = = = = = = = = = = = = 分 割 线 = = = = = = = = = = = = = = = = = = = = = = 二 、 二 、 S o l a r i s 安 全 加 固 常 见 查 询 命 令 安 全 加 固 常 见 查 询 命 令 1 . 应 按 照 不 同 的 用 户 分 配 不 同 的 账 号 应 按 照 不 同 的 用 户 分 配 不 同 的 账 号 2 . 应 删 除 或 锁 定 与 设 备 运 行 、 维 护 等 工 作 无 关 的 账 号 ， 删 除 过 期 账 号 应 删 除 或 锁 定 与 设 备 运 行 、 维 护 等 工 作 无 关 的 账 号 ， 删 除 过 期 账 号 3 . 限 制 具 备 超 级 管 理 员 权 限 的 用 户 远 程 登 录 。 远 程 执 行 管 理 员 权 限 操 作 ， 应 先 以 普 通 权 限 用 户 远 程 登 录 后 ， 再 切 换 到 限 制 具 备 超 级 管 理 员 权 限 的 用 户 远 程 登 录 。 远 程 执 行 管 理 员 权 限 操 作 ， 应 先 以 普 通 权 限 用 户 远 程 登 录 后 ， 再 切 换 到 超 级 管 理 员 权 限 账 号 后 执 行 相 应 操 作 超 级 管 理 员 权 限 账 号 后 执 行 相 应 操 作 预 期 结 果 ： r o o t 远 程 登 录 失 败 ， 提 示 “ N o t   o n   s y s t e m   c o n s o l e ” ；   普 通 用 户 可 以 登 录 成 功 ， 而 且 可 以 切 换 到   r o o t   用 户   4 . 检 测 某 些 特 定 用 户 是 否 可 以 进 行 交 互 登 录 检 测 某 些 特 定 用 户 是 否 可 以 进 行 交 互 登 录 预 期 结 果 ： 以 上 用 户 的 s h e l l 为 / b i n / f a l s e 或 者 / s b i n / n o l o g i n 5 . 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 口 令 长 度 至 少 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 口 令 长 度 至 少 8 位 ， 并 包 括 数 字 、 小 写 字 母 、 大 写 字 母 和 特 殊 符 号 位 ， 并 包 括 数 字 、 小 写 字 母 、 大 写 字 母 和 特 殊 符 号 4 类 中 至 少 类 中 至 少 3 类 类 6 . 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 帐 户 口 令 的 生 存 期 不 长 于 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 帐 户 口 令 的 生 存 期 不 长 于 9 0 天 天 # 注 ： 改 变 这 项 设 置 后 ， 必 须 先 注 销 用 户 ， 再 用 该 用 户 登 录 才 能 激 活 这 个 功 能 f i n d   /   - n a m e   . n e t r c f i n d   /   - n a m e   . r h o s t s f i n d   /   - n a m e   h o s t s . e q u i v # 无 以 上 文 件 c a t   / e t c / f t p a c c e s s     # 检 查 文 件 中 内 容 是 否 包 含   r o o t c a t   / e t c / v s f t p d / f t p u s e r s c a t   / e t c / v s f t p d / u s e r _ l i s t c a t   / e t c / v s f t p d / v s f t p d . c o n f   |   g r e p   - i   - E " u s e r l i s t _ e n a b l e | u s e r l i s t _ d e n y " c a t   / e t c / v s f t p d / v s f t p d . c o n f   |   g r e p   b a n n e r   #   内 容 应 不 包 括   F T P   或 版 本 的 敏 感 信 息 c a t   / e t c / s h a d o w c a t   / e t c / p a s s w d c a t   / e t c / p a s s w d d a e m o n 、 b i n 、 s y s 、 a d m 、 l p 、 u u c p 、 n u u c p 、 s m m s p 、 l i s t e n , g d m , w e b s e r v d , n o b o d y , n o b o d y 4 、 n o a c c e s s c a t   / e t c / d e f a u l t / p a s s w d   |   g r e p   P A S S L E N G T H     # 设 定 最 小 用 户 密 码 长 度 ， 预 期 为 8 c a t   / e t c / d e f a u l t / p a s s w d   |   g r e p   M I N A L P H A       # 表 示 至 少 包 括 几 个 字 母 ， 建 议 1 c a t   / e t c / d e f a u l t / p a s s w d   |   g r e p   M I N N O N A L P H A       # 表 示 至 少 包 括 几 个 非 字 母 ， 建 议 1 c a t   / e t c / d e f a u l t / p a s s w d   |   g r e p   M A X W E E K S     # 密 码 的 最 大 生 存 周 期 为 多 少 周 ， S o l a r i s   8 & 1 0   c a t   / e t c / d e f a u l t / p a s s w d   |   g r e p   P W M A X =   9 0   # 密 码 的 最 大 生 存 周 期 为 多 少 天 ， S o l a r i s   其 它 版 本
7 . 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 应 配 置 设 备 ， 使 用 户 不 能 重 复 使 用 最 近 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 应 配 置 设 备 ， 使 用 户 不 能 重 复 使 用 最 近 5 次 （ 含 次 （ 含 5 次 ） 内 已 使 用 的 口 令 次 ） 内 已 使 用 的 口 令 8 . 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 应 配 置 当 用 户 连 续 认 证 失 败 次 数 超 过 对 于 采 用 静 态 口 令 认 证 技 术 的 设 备 ， 应 配 置 当 用 户 连 续 认 证 失 败 次 数 超 过   6 次 （ 不 含 次 （ 不 含 6 次 ） ， 锁 定 该 用 户 使 用 的 账 号 次 ） ， 锁 定 该 用 户 使 用 的 账 号 9 . 在 设 备 权 限 配 置 能 力 内 ， 根 据 用 户 的 业 务 需 要 ， 配 置 其 所 需 的 最 小 权 限 在 设 备 权 限 配 置 能 力 内 ， 根 据 用 户 的 业 务 需 要 ， 配 置 其 所 需 的 最 小 权 限 1 0 . 控 制 用 户 缺 省 访 问 权 限 ， 当 在 创 建 新 文 件 或 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 。 防 止 同 属 于 该 组 控 制 用 户 缺 省 访 问 权 限 ， 当 在 创 建 新 文 件 或 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 。 防 止 同 属 于 该 组 的 其 它 用 户 及 别 的 组 的 用 户 修 改 该 用 户 的 文 件 或 更 高 限 制 的 其 它 用 户 及 别 的 组 的 用 户 修 改 该 用 户 的 文 件 或 更 高 限 制 1 1 . 控 制 控 制   F T P   进 程 缺 省 访 问 权 限 ， 当 通 过 进 程 缺 省 访 问 权 限 ， 当 通 过   F T P 服 务 创 建 新 文 件 或 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 服 务 创 建 新 文 件 或 目 录 时 应 屏 蔽 掉 新 文 件 或 目 录 不 应 有 的 访 问 允 许 权 限 1 2 . P a s s w d 、 、 g r o u p 、 、 s h a d o w   配 置 文 件 权 限 只 对 配 置 文 件 权 限 只 对   r o o t   可 写 可 写 1 3 . 设 备 应 配 置 日 志 功 能 ， 对 用 户 登 录 进 行 记 录 ， 记 录 内 容 包 括 用 户 登 录 使 用 的 账 号 ， 登 录 是 否 成 功 ， 登 录 时 间 ， 以 及 设 备 应 配 置 日 志 功 能 ， 对 用 户 登 录 进 行 记 录 ， 记 录 内 容 包 括 用 户 登 录 使 用 的 账 号 ， 登 录 是 否 成 功 ， 登 录 时 间 ， 以 及 远 程 登 录 时 ， 用 户 使 用 的 远 程 登 录 时 ， 用 户 使 用 的 I P 地 址 地 址 S O L A R I S 1 0 是 w t m p x 文 件 , S o l a r i s 8 是 w t m p , w t m p s , 文 件 中 记 录 着 所 有 登 录 过 主 机 的 用 户 ， 时 间 ， 来 源 等 内 容 ， 这 两 个 文 件 不 具 可 读 性 ， 可 用 l a s t 命 令 来 看 1 4 设 备 应 配 置 日 志 功 能 ， 记 录 用 户 对 设 备 的 操 作 ， 包 括 但 不 限 于 以 下 内 容 ： 账 号 创 建 、 设 备 应 配 置 日 志 功 能 ， 记 录 用 户 对 设 备 的 操 作 ， 包 括 但 不 限 于 以 下 内 容 ： 账 号 创 建 、   删 除 和 权 限 修 改 ， 口 令 修 改 ， 删 除 和 权 限 修 改 ， 口 令 修 改 ， 读 取 和 修 改 设 备 配 置 ， 读 取 和 修 改 业 务 用 户 的 话 费 数 据 、 身 份 数 据 、 涉 及 通 信 隐 私 数 据 。 需 记 录 要 包 含 用 户 账 号 ， 操 读 取 和 修 改 设 备 配 置 ， 读 取 和 修 改 业 务 用 户 的 话 费 数 据 、 身 份 数 据 、 涉 及 通 信 隐 私 数 据 。 需 记 录 要 包 含 用 户 账 号 ， 操 作 时 间 ， 操 作 内 容 以 及 操 作 结 果 作 时 间 ， 操 作 内 容 以 及 操 作 结 果 1 5 . 设 备 应 配 置 权 限 ， 控 制 对 日 志 文 件 读 取 、 修 改 和 删 除 等 操 作 设 备 应 配 置 权 限 ， 控 制 对 日 志 文 件 读 取 、 修 改 和 删 除 等 操 作 c a t   / e t c / d e f a u l t / p a s s w d   |   g r e p   H I S T O R Y     # 用 户 不 能 重 复 使 用 密 码 的 次 数 限 制 ， 预 期 值 5 c a t   / e t c / u s e r _ a t t r   |   g r e p   R E T R I E S c a t   / e t c / s e c u r i t y / p o l i c y . c o n f   |   g r e p   R E T R I E S #   预 期 配 置 ： L O C K _ A F T E R _ R E T R I E S = Y E S c a t   / e t c / d e f a u l t / l o g i n   |   g r e p   R E T R I E S   # 失 败 次 数 ， 预 期 值 7 l s   - l   / e t c / p a s s w d   / e t c / g r o u p   / e t c / s h a d o w # / e t c / p a s s w d   必 须 所 有 用 户 都 可 读 ， r o o t   用 户 可 写     – r w - r — r — # / e t c / s h a d o w   只 有 r o o t   可 读                                           – r - - - - - - - - # / e t c / g r o u p   必 须 所 有 用 户 都 可 读 ， r o o t   用 户 可 写       – r w - r — r — c a t   / e t c / d e f a u l t / l o g i n   |   g r e p   u m a s k   # 一 般 默 认 为 0 2 2 ， 建 议 值 0 2 7 # 限 制 某 些 系 统 帐 户 不 允 许   f t p   登 录 :   通 过 修 改   f t p u s e r s 文 件 ： c a t   / e t c / f t p u s e r s   # S o l a r i s   8   c a t   / e t c / f t p d / f t p u s e r s   # S o l a r i s   1 0 l s   - l   / e t c / p a s s w d   / e t c / g r o u p   / e t c / s h a d o w # 均 只 对 r o o t 可 写 c a t   / e t c / d e f a u l t / l o g i n   |   g r e p   S Y S L O G     # 配 置 为 S Y S L O G = Y E S l a s t l s   / v a r / a d m   |   g r e p   p a c c t       # 存 在 p a c c t 文 件 即 符 合 要 求 l s   - l   / v a r / a d m / m e s s a g e s     / v a r / a d m / u t m p x   / v a r / a d m / w m t p x   / v a r / a d m / s u l o g
1 6 . 系 统 上 运 行 的 应 用 系 统 上 运 行 的 应 用 / 服 务 也 应 该 配 置 相 应 日 志 选 项 ， 比 如 服 务 也 应 该 配 置 相 应 日 志 选 项 ， 比 如 c r o n 1 7 . 设 备 应 配 置 日 志 功 能 ， 记 录 对 与 设 备 相 关 的 安 全 事 件 设 备 应 配 置 日 志 功 能 ， 记 录 对 与 设 备 相 关 的 安 全 事 件 1 8 . 设 备 配 置 远 程 日 志 功 能 ， 将 需 要 重 点 关 注 的 日 志 内 容 传 输 到 日 志 服 务 器 设 备 配 置 远 程 日 志 功 能 ， 将 需 要 重 点 关 注 的 日 志 内 容 传 输 到 日 志 服 务 器 将 " * . * " 替 换 为 你 实 际 需 要 的 日 志 信 息 。 比 如 ： k e r n . *   ;   m a i l . * 等 , 将 1 9 2 . 1 6 8 . 0 . 1 替 换 为 实 际 的 I P 或 域 名 1 9 . 对 于 使 用 对 于 使 用 I P 协 议 进 行 远 程 维 护 的 设 备 ， 设 备 应 配 置 使 用 协 议 进 行 远 程 维 护 的 设 备 ， 设 备 应 配 置 使 用 S S H 等 加 密 协 议 ， 禁 止 使 用 等 加 密 协 议 ， 禁 止 使 用 t e l n e t 等 明 文 传 输 协 议 进 行 远 程 维 等 明 文 传 输 协 议 进 行 远 程 维 护 护 2 0 . 检 测 是 否 禁 止 检 测 是 否 禁 止 I C M P 重 定 向 重 定 向 也 可 以 在 / e t c / r c 2 . d / S ? ? i n e t 目 录 下 看 是 否 有 ： n d d   - s e t   / d e v / i p   i p _ s e n d _ r e d i r e c t s = 0 内 容 。 / e t c / r c 2 . d / S 6 9 i n e t 中 包 含 的 是 ： n d d   - s e t   / d e v / i p   i p 6 _ s e n d _ r e d i r e c t s   0 2 1 . 在 保 证 业 务 及 网 络 安 全 的 前 提 下 ， 经 过 实 验 室 测 试 后 ， 更 新 使 用 最 新 版 本 的 操 作 系 统 补 丁 在 保 证 业 务 及 网 络 安 全 的 前 提 下 ， 经 过 实 验 室 测 试 后 ， 更 新 使 用 最 新 版 本 的 操 作 系 统 补 丁 2 2 . 修 改 系 统 修 改 系 统   b a n n e r ， 避 免 泄 漏 操 作 系 统 名 称 ， 版 本 号 ， 主 机 名 称 等 ， 并 且 给 出 登 陆 告 警 信 息 ， 避 免 泄 漏 操 作 系 统 名 称 ， 版 本 号 ， 主 机 名 称 等 ， 并 且 给 出 登 陆 告 警 信 息 2 3 . 要 求 内 容 防 止 堆 栈 缓 冲 溢 出 要 求 内 容 防 止 堆 栈 缓 冲 溢 出 2 4 . 要 求 关 闭 不 必 要 的 服 务 要 求 关 闭 不 必 要 的 服 务 # 应 当 返 回 6 4 4 、 6 4 4 、 6 4 4 、 6 0 0 c a t   / e t c / d e f a u l t / c r o n   |   g r e p     C R O N L O G # 设 置   C R O N L O G = y e s c a t   / e t c / s y s l o g . c o n f   |   g r e p   * .     # 预 期 配 置   * . e r r ; k e r n . d e b u g ; d a e m o n . n o t i c e ;   / v a r / a d m / m e s s a g e s c a t   / e t c / s y s l o g . c o n f   |   g r e p   * . # 预 期 配 置 ： * . *   @ 1 9 2 . 1 6 8 . 0 . 1 p s   - e f   |   g r e p   s s h p s   - e f   |   g r e p   t e l n e t # S o l a r i s   1 0   如 果 没 有 安 装 s s h ， 使 用 命 令 查 看 进 程 ： s v c s   - a   | g r e p   s s h s v c s   - a   | g r e p   t e l n e t # 查 看 当 前 i c m p 重 定 向 设 置 ： n d d   – g e t   / d e v / i p   i p _ s e n d _ r e d i r e c t s n d d   - g e t   / d e v / i p   i p 6 _ s e n d _ r e d i r e c t s # 返 回 为 0 表 示 禁 止 I C M P 重 定 向 s h o w r e v   – p     # 检 查 补 丁 号 c a t   / e t c / m o t d     # 无 系 统 敏 感 信 息 ， 避 免 泄 漏 操 作 系 统 名 称 ， 版 本 号 ， 主 机 名 称 等 c a t   / e t c / s y s t e m # 预 期 配 置 ： s e t   n o e x e c _ u s e r _ s t a c k = 1 s e t   n o e x e c _ u s e r _ s t a c k _ l o g   = 1 # 查 看 开 启 的 服 务 p s   — e a f s v c s — a     # s o l a r i s   1 0
2 5 .   禁 止 禁 止 r o o t 登 陆 登 陆 F T P 2 6 . 禁 止 匿 名 禁 止 匿 名 F T P 2 7 . 修 改 修 改   F T P   b a n n e r 信 息 信 息 2 8 . 对 于 具 备 字 符 交 互 界 面 的 设 备 ， 配 置 定 时 帐 户 自 动 登 出 对 于 具 备 字 符 交 互 界 面 的 设 备 ， 配 置 定 时 帐 户 自 动 登 出 2 9 .   . r h o s t s ， ， . n e t r c ， 等 文 件 都 具 有 潜 在 的 危 险 ， 如 果 没 有 应 用 应 该 删 除 ， 等 文 件 都 具 有 潜 在 的 危 险 ， 如 果 没 有 应 用 应 该 删 除 3 0 . 检 测 系 统 检 测 系 统 s n m p 是 否 设 置 为 使 用 默 认 的 团 体 字 是 否 设 置 为 使 用 默 认 的 团 体 字 设 置 默 认 只 读 团 体 名 ： 编 辑 / e t c / s m a / s n m p / s n m p d . c o n f 文 件 ， 设 置 默 认 可 读 写 团 体 名 ： 编 辑 / e t c / s m a / s n m p / s n m p d . c o n f 文 件 ， 3 1 . 检 测 系 统 是 否 设 置 检 测 系 统 是 否 设 置   e e p r o m 安 全 密 码 安 全 密 码 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 【 好 书 推 荐 】 【 好 书 推 荐 】 c a t   / e t c / i n e t / i n e t d . c o n f , c a t   / e t c / i n e t / s e r v i c e s       # s o l a r i s   8 c a t   / e t c / f t p u s e r s   |   g r e p   r o o t # 在 该 文 件 中 配 置 r o o t c a t   / e t c / p a s s w d   |   g r e p   f t p # 在 该 文 件 中 注 释 掉 f t p 用 户 c a t   / e t c / d e f a u l t / f t p d # 把 f t p d 文 件 里 的 B A N N E R = " " 字 段 设 置 为 空 或 不 敏 感 的 字 符 c a t   / e t c / p r o f i l e   |   g r e p   T M O U T # 建 议 值   T M O U T = 1 8 0 ， 可 适 当 调 整 f i n d   /   - n a m e   . n e t r c f i n d   /   - n a m e   . r h o s t s # 不 存 在 以 上 文 件 c a t   / e t c / s m a / s n m p / s n m p d . c o n f # 默 认 只 读 团 体 名 不 是 r o c o m m u n i t y ， 默 认 可 读 写 团 体 名 不 是 r w c o m m u n i t y # 修 改 配 置 r o c o m m u n i t y   p u b l i c 为 ： o t h e r n a m e   p u b l i c # 修 改 配 置 r w c o m m u n i t y   p r i v a t e 为 ： o t h e r n a m e   p r i v a t e / u s r / s b i n / e e p r o m     # 显 示 当 前 e e p r o m 配 置 # 显 示 结 果 s e c u r i t y - m o d e = c o m m a n d
2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理