搜索

[11214] 2017-04-08_提高Linux安全性：14项检查建立安全的Linux服务器

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-04-08_提高Linux安全性：14项检查建立安全的Linux服务器 提 高 L i n u x 安 全 性 ： 1 4 项 检 查 建 立 安 全 的 L i n u x 服 务 器 E n m i n g 0 9 2 4   F r e e B u f   2 0 1 7 - 0 4 - 0 8 1   –   记 录 主 机 信 息 记 录 主 机 信 息   每 当 您 正 在 使 用 新 的 每 当 您 正 在 使 用 新 的 L i n u x 主 机 进 行 安 全 增 强 时 ， 您 需 要 创 建 一 个 文 档 并 记 录 本 文 档 中 列 出 的 项 目 ， 工 作 完 成 后 ， 您 将 需 要 主 机 进 行 安 全 增 强 时 ， 您 需 要 创 建 一 个 文 档 并 记 录 本 文 档 中 列 出 的 项 目 ， 工 作 完 成 后 ， 您 将 需 要 检 查 这 些 项 目 。 另 外 ， 在 开 始 时 该 文 档 ， 您 需 要 记 录 有 关 检 查 这 些 项 目 。 另 外 ， 在 开 始 时 该 文 档 ， 您 需 要 记 录 有 关 L i n u x 主 机 的 信 息 ： 主 机 的 信 息 ： 设 备 名 称 I P 地 址 M A C 地 址 负 责 安 全 提 升 工 作 的 人 （ 实 际 上 是 你 ） 日 期 资 产 编 号 （ 如 果 您 正 在 开 展 业 务 ， 则 需 要 记 录 设 备 的 资 产 编 号 ） 2   –   B I O S 保 护 保 护 您 需 要 为 此 主 机 的 B I O S 设 置 密 码 ， 以 确 保 最 终 用 户 无 法 修 改 或 覆 盖 B I O S 中 的 安 全 设 置 ， 这 非 常 重 要 ！ 设 置 B I O S 管 理 员 密 码 后 ， 您 需 要 从 外 部 媒 体 设 备 （ U S B   /   C D   /   D V D ） 禁 用 主 机 启 动 。 如 果 忽 略 此 设 置 ， 任 何 人 都 可 以 通 过 写 入 引 导 映 像 的 U 盘 访 问 此 主 机 中 的 数 据 。 在 内 置 W e b 服 务 器 的 新 服 务 器 主 板 中 ， 您 可 以 使 用 它 来 远 程 访 问 主 机 数 据 。 因 此 ， 您 需 要 确 保 已 经 修 改 了 服 务 器 管 理 页 面 的 默 认 密 码 ， 如 果 可 以 ， 直 接 禁 用 此 功 能 。 3   –   硬 盘 加 密 硬 盘 加 密 大 多 数 L i n u x 发 行 版 允 许 您 在 继 续 安 装 之 前 加 密 磁 盘 。 磁 盘 加 密 非 常 重 要 ， 因 为 当 您 的 电 脑 被 盗 时 ， 即 使 小 偷 将 您 的 硬 盘 驱 入 自 己 的 电 脑 仍 然 无 法 读 取 您 的 数 据 。 在 下 图 中 ， 选 择 列 表 中 的 第 三 个 选 项 ： 引 导 使 用 整 个 磁 盘 并 设 置 加 密 的 L V M （ L V M 代 表 逻 辑 卷 管 理 器 ） 。
如 果 您 的 L i n u x 发 行 版 不 支 持 加 密 ， 则 可 以 选 择 使 用 T r u e C r y p t 等 加 密 软 件 。 4   –   磁 盘 保 护 磁 盘 保 护 数 据 备 份 是 一 个 很 好 的 习 惯 ， 当 系 统 崩 溃 或 系 统 更 新 失 败 时 ， 突 出 显 示 备 份 的 优 点 。 对 于 一 些 重 要 的 服 务 器 ， 为 了 防 止 灾 难 （ 包 括 自 然 灾 害 和 人 为 因 素 ） 的 影 响 ， 备 份 数 据 通 常 需 要 离 线 存 储 。 当 然 ， 备 份 也 要 求 我 们 花 费 精 力 去 管 理 。 例 如 ， 需 要 保 存 旧 备 份 文 件 多 长 时 间 ？ 什 么 时 候 需 要 备 份 系 统 ？ （ 每 日 或 每 周 ） ？ 核 心 系 统 磁 盘 需 要 分 区 ： /
/   b o o t /   u s r / 家 /   t m p /   v a r / 选 择 磁 盘 分 区 可 能 在 系 统 故 障 的 情 况 下 仍 然 保 护 系 统 的 性 能 和 安 全 性 。 在 下 图 中 ， 您 可 以 在 安 装 过 程 中 看 到 由 K a l i   L i n u x 提 供 的 分 区 选 项 。 5   –   锁 定 引 导 目 录 锁 定 引 导 目 录 引 导 目 录 包 含 大 量 与 L i n u x 内 核 相 关 的 重 要 文 件 ， 因 此 您 需 要 确 保 目 录 仅 通 过 以 下 步 骤 “ 只 读 ” 才 能 打 开 。 首 先 打 开 “ f s t a b ” 文 件 。 接 下 来 ， 添 加 下 图 所 示 的 最 后 一 行 数 据 。  
完 成 此 步 骤 后 ， 您 需 要 执 行 以 下 命 令 来 设 置 文 件 的 所 有 者 ：   那 么 您 需 要 设 置 一 些 权 限 来 保 护 启 动 设 置 ： - 以 r o o t 身 份 设 置 / e t c / g r u b . c o m 的 所 有 者 和 组 ： - 设 置 / e t c / g r u b . c o n f 文 件 只 有 r o o t 可 以 读 写 ： - 单 用 户 模 式 需 要 认 证 ： 6   –   禁 用 禁 用 U S B 存 储 设 备 存 储 设 备 根 据 您 系 统 的 重 要 性 ， 有 时 您 需 要 禁 用 L i n u x 主 机 使 用 U S B 存 储 设 备 。 有 很 多 方 法 来 禁 用 U S B 存 储 设 备 ， 以 下 是 为 您 提 供 最 常 用 的 设 备 ： 用 你 最 喜 欢 的 文 本 编 辑 器 打 开 “ b l a c k l i s t . c o n f ” 文 件 ：
  打 开 文 件 后 ， 将 以 下 信 息 添 加 到 文 件 底 部 并 保 存 并 退 出 ： 然 后 打 开 r c . l o c a l 文 件 ， 添 加 以 下 两 行 数 据 ： 7   –   系 统 更 新 系 统 更 新 第 一 次 启 动 后 ， 首 先 要 更 新 系 统 ， 这 个 步 骤 应 该 被 认 为 比 较 简 单 。 通 常 ， 您 可 以 打 开 终 端 ， 然 后 执 行 相 应 的 命 令 。 在 K a l i   L i n u x 中 ， 您 可 以 使 用 以 下 命 令 更 新 系 统 ： 8   –   检 查 已 安 装 的 软 件 包 检 查 已 安 装 的 软 件 包 列 出 您 的 L i n u x 系 统 中 的 所 有 已 安 装 的 软 件 包 ， 然 后 删 除 不 需 要 的 软 件 包 。 如 果 您 正 在 服 务 器 上 工 作 ， 那 么 您 必 须 非 常 小 心 ， 因 为 服 务 器 通 常 仅 用 于 安 装 应 用 程 序 和 服 务 。 您 可 以 按 照 以 下 命 令 列 出 在 K a l i   L i n u x 中 安 装 的 软 件 包 ： 记 住 要 禁 用 那 些 不 需 要 减 少 服 务 器 攻 击 面 的 服 务 。 如 果 您 在 自 己 的 L i n u x 服 务 器 中 发 现 以 下 遗 留 服 务 ， 请 快 速 删 除 它 们 ： T e l n e t 服 务 器 R S H 服 务 器 N I S 服 务 器 T F T P 服 务 器 T A L K 服 务 器 9   –   检 查 打 开 的 端 口 检 查 打 开 的 端 口
识 别 与 互 联 网 的 开 放 连 接 是 非 常 重 要 的 任 务 。 在 K a l i   L i n u x 中 ， 我 们 可 以 使 用 以 下 命 令 查 找 隐 藏 的 开 放 端 口 ： 1 0   –   增 强 增 强 S S H 的 安 全 性 的 安 全 性 是 的 ， S S H 真 的 很 安 全 ， 但 是 我 们 还 要 继 续 在 现 有 的 基 础 上 增 强 其 安 全 性 。 首 先 ， 如 果 你 可 以 禁 用 S S H ， 那 么 问 题 就 解 决 了 。 但 是 ， 如 果 仍 然 需 要 使 用 它 ， 则 需 要 修 改 S S H 的 默 认 配 置 。 切 换 到 目 录 /   e t c   /   s s h ， 然 后 打 开 “ s s h d _ c o n f i g ” 文 件 。 - 将 默 认 端 口 号 （ 2 2 ） 更 改 为 另 一 个 号 码 （ 例 如 9 9 ） 。   - 确 保 r o o t 用 户 无 法 通 过 S S H 远 程 登 录 ：   - 允 许 某 些 特 殊 用 户 ： 如 果 您 需 要 更 丰 富 的 配 置 ， 请 确 保 您 阅 读 S S H 手 册 并 了 解 该 文 件 中 的 所 有 配 置 项 。 另 外 ， 您 还 需 要 确 保 在 “ s s h d _ c o n f i g ” 文 件 中 配 置 以 下 配 置 选 项 ： 协 议 2 I g n o r e R h o s t s 为 y e s H o s t b a s e 验 证 无 P e r m i t E m p t y P a s s w o r d s   n o 打 开 X 1 1 F o r w a r d i n g   没 有 M a x A u t h T r i e s   5 密 码 a e s 1 2 8 - c t r ， a e s 1 9 2 - c t r ， a e s 2 5 6 - c t r C l i e n t A l i v e I n t e r v a l   9 0 0 C l i e n t A l i v e C o u n t M a x   0 U s e P A M   是 的
最 后 ， 设 置 文 件 访 问 权 限 ， 以 确 保 只 有 r o o t 用 户 可 以 修 改 文 件 的 内 容 ： 1 1   –   启 用 启 用 S E L i n u x S E L i n u x 是 支 持 访 问 控 制 安 全 策 略 的 内 核 安 全 机 制 。 S E L i n u x 有 三 种 配 置 模 式 ： 禁 用 ： 关 闭 允 许 ： 打 印 警 告 执 法 ： 政 策 是 强 制 执 行 打 开 配 置 文 件 ： 确 保 S E L i n u x 已 打 开 ：   1 2   –   网 络 参 数 网 络 参 数 保 护 L i n u x 主 机 网 络 活 动 也 非 常 重 要 ， 从 来 没 有 希 望 防 火 墙 能 够 帮 助 您 完 成 所 有 的 任 务 。 打 开 / e t c / s y s c t l . c o n f 文 件 并 进 行 以 下 设 置 ： -   将 n e t . i p v 4 . i p _ f o r w a r d 参 数 设 置 为 0 。 -   将 n e t . i p v 4 . c o n f . a l l . s e n d _ r e d i r e c t s 和 n e t . i p v 4 . c o n f . d e f a u l t . s e n d _ r e d i r e c t s 参 数 设 置 为 0 。 -   将 n e t . i p v 4 . c o n f . a l l . a c c e p t _ r e d i r e c t s 和 n e t . i p v 4 . c o n f . d e f a u l t . a c c e p t _ r e d i r e c t s 参 数 设 置 为 0 。 -   将 n e t . i p v 4 . i c m p _ i g n o r e _ b o g u s _ e r r o r _ r e s p o n s e s 参 数 设 置 为 1 。 1 3   –   密 码 政 策 密 码 政 策 人 们 通 常 在 不 同 的 地 方 使 用 相 同 的 密 码 ， 这 是 一 个 非 常 糟 糕 的 习 惯 。 旧 密 码 存 储 在 /   e t c   /   s e c u r i t y   /   o p a s s w d 文 件 中 ， 我 们 需 要 使 用 P A M 模 块 来 管 理 L i n u x 主 机 中 的 安 全 策 略 。 在 D e b i a n 版 本 中 ， 您 可 以 打 开 / e t c / p a m . d / c o m m o n - p a s s w o r d 文 件 ， 并 添 加 以 下 信 息 ， 以 防 止 用 户 重 复 使 用 最 近 使 用 的 四 个 密 码 ：
另 一 个 密 码 策 略 是 强 制 用 户 使 用 强 大 的 密 码 。 P A M 模 块 提 供 了 一 个 库 （ p a m _ c r a c k l i b ） ， 可 以 帮 助 您 的 服 务 器 进 行 字 典 攻 击 和 爆 破 攻 击 。 打 开 / e t c / p a m . d / s y s t e m - a u t h 文 件 并 添 加 以 下 信 息 ： L i n u x 是 密 码 哈 希 ， 所 以 你 想 确 保 系 统 使 用 S H A 5 1 2 哈 希 算 法 。 另 一 个 有 趣 的 功 能 是 “ 五 次 锁 定 帐 户 后 的 密 码 输 出 错 误 ” 。 打 开 / e t c / p a m . d / p a s s w o r d - a u t h 文 件 并 添 加 以 下 数 据 ： 然 后 打 开 / e t c / p a m . d / s y s t e m - a u t h 文 件 并 添 加 以 下 信 息 ： 密 码 错 误 五 次 后 ， 只 有 管 理 员 可 以 解 锁 帐 号 ， 解 锁 命 令 如 下 ：
另 一 个 好 习 惯 就 是 设 置 “ 密 码 到 期 后 的 9 0 天 ” 。 -   将 / e t c / l o g i n . d e f s 中 的 P A S S _ M A X _ D A Y S 参 数 设 置 为 9 0 。 -   修 改 当 前 用 户 的 密 码 到 期 时 间 ： 现 在 ， 我 们 必 须 限 制 对 s u 命 令 的 访 问 。 打 开 / e t c / p a m . d / s u 文 件 ， 然 后 设 置 p a m _ w h e e l . s o 参 数 ： 最 后 一 步 是 禁 止 非 r o o t 用 户 访 问 系 统 帐 户 。 可 以 使 用 以 下 b a s h 脚 本 完 成 此 步 骤 ： 1 4   –   许 可 和 验 证 毫 无 疑 问 ， 如 果 要 确 保 L i n u x 主 机 的 安 全 性 ， 那 么 权 限 当 然 是 最 重 要 的 。 使 用 以 下 命 令 为 /   e t c   /   a n a c r o n t a b ， /   e t c   /   c r o n t a b 和 / e t c / c r o n . * 设 置 适 当 的 权 限 ：
为 /   v a r   /   s p o o l   /   c r o n 分 配 适 当 的 权 限 ： 为 “ p a s s w d ” ， “ g r o u p ” ， “ s h a d o w ” 和 “ g s h a d o w ” 文 件 分 配 适 当 的 权 限 ： *   本 文 作 者 ： E n m i n g 0 9 2 4 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理