搜索

[21144] 2020-07-17_Linux安全加固手册

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-07-17_Linux安全加固手册 L i n u x 安 全 加 固 手 册 L e m o n S e c   2 0 2 0 - 0 7 - 1 7 1 身 份 鉴 别 1 . 1 密 码 安 全 策 略 要 求 ： 操 作 系 统 和 数 据 库 系 统 管 理 用 户 身 份 鉴 别 信 息 应 具 有 不 易 被 冒 用 的 特 点 ， 口 令 应 有 复 杂 度 要 求 并 定 期 更 换 。 目 的 ： 设 置 有 效 的 密 码 策 略 ， 防 止 攻 击 者 破 解 出 密 码 操 作 步 骤 ： 1 ） 查 看 空 口 令 帐 号 并 为 弱 / 空 口 令 帐 号 设 置 强 密 码 1 #   a w k   - F :   ' ( $ 2   = =   " " ) { p r i n t   $ 1 } '   / e t c / s h a d o w 可 用 离 线 破 解 、 暴 力 字 典 破 解 或 者 密 码 网 站 查 询 出 帐 号 密 钥 的 密 码 是 否 是 弱 口 令 2 ） 修 改 v i   / e t c / l o g i n . d e f s 配 置 密 码 周 期 策 略 此 策 略 只 对 策 略 实 施 后 所 创 建 的 帐 号 生 效 ， 以 前 的 帐 号 还 是 按 9 9 9 9 9 天 周 期 时 间 来 算 。 3 ） / e t c / p a m . d / s y s t e m - a u t h 配 置 密 码 复 杂 度 ： 在 文 件 中 添 加 如 下 一 行 ： p a s s w o r d   r e q u i s i t e   p a m _ c r a c k l i b . s o   r e t r y = 3   d i f o k = 2   m i n l e n = 8   l c r e d i t = - 1   d c r e d i t = - 1 参 数 含 义 如 下 所 示 ： d i f o k ： 本 次 密 码 与 上 次 密 码 至 少 不 同 字 符 数 m i n l e n ： 密 码 最 小 长 度 ， 此 配 置 优 先 于 l o g i n . d e f s 中 的 P A S S _ M A X _ D A Y S u c r e d i t ： 最 少 大 写 字 母 l c r e d i t ： 最 少 小 写 字 母 d c r e d i t ： 最 少 数 字 r e t r y ： 重 试 多 少 次 后 返 回 密 码 修 改 错 误 【 注 】 用 r o o t 修 改 其 他 帐 号 都 不 受 密 码 周 期 及 复 杂 度 配 置 的 影 响 。
1 . 2 登 录 失 败 策 略 要 求 ： 应 启 用 登 录 失 败 处 理 功 能 ， 可 采 取 结 束 会 话 、 限 制 非 法 登 录 次 数 和 自 动 退 出 等 措 施 。 目 的 ： 遭 遇 密 码 破 解 时 ， 暂 时 锁 定 帐 号 ， 降 低 密 码 被 猜 解 的 可 能 性 操 作 步 骤 ： 1 ） 方 法 一 ： / e t c / p a m . d / l o g i n 中 设 定 控 制 台 ； / e t c / p a m . d / s s h d 中 设 定 S S H / e t c / p a m . d / s s h d 中 第 二 行 添 加 下 列 信 息 1 a u t h   r e q u i r e d     p a m _ t a l l y 2 . s o   d e n y = 5 l o c k _ t i m e = 2 e v e n _ d e n y _ r o o t   u n l o c k _ t i m e = 6 0 # # # # # # # # # # # 参 数 解 释 # # # # # # # # # # # # 查 看 用 户 登 录 失 败 次 数 #   p a m _ t a l l y 2   - - u s e r   r o o t 解 锁 用 户 #   p a m _ t a l l y 2   - r   - u   r o o t e v e n _ d e n y _ r o o t         也 限 制 r o o t 用 户 ( 默 认 配 置 就 锁 定 r o o t 帐 号 ) ；     d e n y           设 置 普 通 用 户 和 r o o t 用 户 连 续 错 误 登 陆 的 最 大 次 数 ， 超 过 最 大 次 数 ， 则 锁 定 该 用 户       u n l o c k _ t i m e           设 定 普 通 用 户 锁 定 后 ， 多 少 时 间 后 解 锁 ， 单 位 是 秒 ；   r o o t _ u n l o c k _ t i m e           设 定 r o o t 用 户 锁 定 后 ， 多 少 时 间 后 解 锁 ， 单 位 是 秒 ；   1 . 3 安 全 的 远 程 管 理 方 式 要 求 ： 当 对 服 务 器 进 行 远 程 管 理 时 ， 应 采 取 必 要 措 施 ， 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 。 目 的 ： 防 止 远 程 管 理 过 程 中 ， 密 码 等 敏 感 信 息 被 窃 听 操 作 步 骤 ： 执 行 如 下 语 句 ， 查 看 t e l n e t 服 务 是 否 在 运 行 禁 止 t e l n e t 运 行 ， 禁 止 开 机 启 动 ， 如 下 图 ： 2 访 问 控 制 要 求 ： 应 及 时 删 除 多 余 的 、 过 期 的 帐 户 ， 避 免 共 享 帐 户 的 存 在 。 目 的 ： 删 除 或 禁 用 临 时 、 过 期 及 可 疑 的 帐 号 ， 防 止 被 非 法 利 用 。 操 作 步 骤 ： 主 要 是 管 理 员 创 建 的 普 通 帐 号 ， 如 ： t e s t #   u s e r m o d   - L   u s e r   禁 用 帐 号 ， 帐 号 无 法 登 录 ， / e t c / s h a d o w 第 二 栏 显 示 为 ! 开 头 #   u s e r d e l   u s e r   删 除 u s e r 用 户 #   u s e r d e l   - r   u s e r 将 删 除 u s e r 用 户 ， 并 且 将 / h o m e 目 录 下 的 u s e r 目 录 一 并 删 除
加 固 后 如 图 3 安 全 审 计 3 . 1 审 核 策 略 开 启 要 求 ： 审 计 范 围 应 覆 盖 到 服 务 器 和 重 要 客 户 端 上 的 每 个 操 作 系 统 用 户 和 数 据 库 用 户 ； 目 的 ： 开 启 审 核 策 略 ， 若 日 后 系 统 出 现 故 障 、 安 全 事 故 则 可 以 查 看 系 统 日 志 文 件 ， 排 除 故 障 、 追 查 入 侵 者 的 信 息 等 。 操 作 步 骤 ： 查 看 r s y s l o g 与 a u d i t d 服 务 是 否 开 启 r s y s l o g 一 般 都 会 开 启 ， a u d i t d 如 没 开 启 ， 执 行 如 下 命 令 ： 1 #   s y s t e m c t l   s t a r t   a u d i t d a u d i t d 服 务 开 机 启 动 1 #   s y s t e m c t l   s t a r t   a u d i t d   3 . 2 日 志 属 性 设 置 要 求 ： 应 保 护 审 计 记 录 ， 避 免 受 到 未 预 期 的 删 除 、 修 改 或 覆 盖 等 。 目 的 ： 防 止 重 要 日 志 信 息 被 覆 盖 操 作 步 骤 ： 让 日 志 文 件 转 储 一 个 月 ， 保 留 6 个 月 的 信 息 ， 先 查 看 目 前 配 置 ， 1 #   m o r e   / e t c / l o g r o t a t e . c o n f   |   g r e p     - v   " ^ # | ^ $ " 需 要 修 改 配 置 为 下 图 所 示 ：
4 入 侵 防 御 要 求 ： 操 作 系 统 遵 循 最 小 安 装 的 原 则 ， 仅 安 装 需 要 的 组 件 和 应 用 程 序 ， 并 通 过 设 置 升 级 服 务 器 等 方 式 保 持 系 统 补 丁 及 时 得 到 更 新 。 目 的 ： 关 闭 与 系 统 业 务 无 关 或 不 必 要 的 服 务 ， 减 小 系 统 被 黑 客 被 攻 击 、 渗 透 的 风 险 。 操 作 步 骤 ： 禁 用 蓝 牙 服 务 1 #   s y s t e m c t l   s t o p   b l u e t o o t h 禁 止 蓝 牙 开 机 启 动 5 系 统 资 源 控 制 5 . 1 访 问 控 制 要 求 ： 应 通 过 设 定 终 端 接 入 方 式 、 网 络 地 址 范 围 等 条 件 限 制 终 端 登 录 。 目 的 ： 对 接 入 服 务 器 的 I P 、 方 式 等 进 行 限 制 ， 可 以 阻 止 非 法 入 侵 。 操 作 步 骤 ： 1 )   在 / e t c / h o s t s . a l l o w 和 / e t c / h o s t s . d e n y 文 件 中 配 置 接 入 限 制 最 好 的 策 略 就 是 阻 止 所 有 的 主 机 在 “ / e t c / h o s t s . d e n y ” 文 件 中 加 入 “   A L L : A L L @ A L L , P A R A N O I D   ” ， 然 后 再 在 “ / e t c / h o s t s . a l l o w ”   文 件 中 加 入 所 有 允 许 访 问 的 主 机 列 表 。 如 下 操 作 ： 编 辑   h o s t s . d e n y 文 件 （ v i   / e t c / h o s t s . d e n y ） ， 加 入 下 面 该 行 ： 1 2 #   D e n y   a c c e s s   t o   e v e r y o n e .   A L L :   A L L @ A L L ,   P A R A N O I D 编 辑 h o s t s . a l l o w   文 件 （ v i   / e t c / h o s t s . a l l o w ） ， 加 入 允 许 访 问 的 主 机 列 表 ， 比 如 ： f t p :   2 0 2 . 5 4 . 1 5 . 9 9   f o o . c o m       / / 2 0 2 . 5 4 . 1 5 . 9 9 是 允 许 访 问   f t p   服 务 的   I P   地 址 / / f o o . c o m   是 允 许 访 问   f t p   服 务 的 主 机 名 称 。
2 )   也 可 以 用 i p t a b l e s 进 行 访 问 控 制 5 . 2 超 时 锁 定 要 求 ： 应 根 据 安 全 策 略 设 置 登 录 终 端 的 操 作 超 时 锁 定 。 目 的 ： 设 置 登 录 超 时 时 间 ， 释 放 系 统 资 源 ， 也 提 高 服 务 器 的 安 全 性 。 操 作 步 骤 ： / e t c / p r o f i l e 中 添 加 如 下 一 行 1 2 e x p r o t   T M O U T = 9 0 0     / / 1 5 分 钟 #   s o u r c e   / e t c / p r o f i l e 改 变 这 项 设 置 后 ， 必 须 先 注 销 用 户 ， 再 用 该 用 户 登 录 才 能 激 活 这 个 功 能 。 如 果 有 需 要 ， 开 启 屏 幕 保 护 功 能 设 置 屏 幕 保 护 ： 设 置   - >   系 统 设 置   - >   屏 幕 保 护 程 序 ， 进 行 操 作 6 最 佳 经 验 实 践 对 L i n u x 系 统 的 安 全 性 提 升 有 一 定 帮 助 。 6 . 1 D O S 攻 击 防 御 要 求 ： 防 止 拒 绝 服 务 攻 击 目 的 ： T C P   S Y N 保 护 机 制 等 设 置 操 作 步 骤 ： 1 ） 打 开   s y n c o o k i e ： #   e c h o “ 1 ” > / p r o c / s y s / n e t / i p v 4 / t c p _ s y n c o o k i e s     / / 默 认 为 1 ， 一 般 不 用 设 置 表 示 开 启 S Y N   C o o k i e s 。 当 出 现 S Y N 等 待 队 列 溢 出 时 ， 启 用 c o o k i e s 来 处 理 ， 可 防 范 少 量 S Y N 攻 击 ， 默 认 为 0 ， 表 示 关 闭 ；
  2 ） 防 s y n   攻 击 优 化 用 v i 编 辑 / e t c / s y s c t l . c o n f ， 添 加 如 下 行 ： 1 n e t . i p v 4 . t c p _ m a x _ s y n _ b a c k l o g   = 2 0 4 8 进 入 S Y N 包 的 最 大 请 求 队 列 . 默 认 1 0 2 4 . 对 重 负 载 服 务 器 , 增 加 该 值 显 然 有 好 处 . 可 调 整 到 2 0 4 8 . 6 . 2 历 史 命 令 要 求 ： 为 历 史 的 命 令 增 加 登 录 的 I P 地 址 、 执 行 命 令 时 间 等 操 作 步 骤 ： 1 ） 保 存 1 万 条 命 令 1 #   s e d   - i     ' s / ^ H I S T S I Z E = 1 0 0 0 / H I S T S I Z E = 1 0 0 0 0 / g '   / e t c / p r o f i l e 2 ） 在 / e t c / p r o f i l e 的 文 件 尾 部 添 加 如 下 行 数 配 置 信 息 ： 1 2 3 4 5 6 7 8 U S E R _ I P = ` w h o   - u   a m   i     2 > / d e v / n u l l |   a w k   ' { p r i n t   $ N F } ' | s e d   - e     ' s / [ ( ) ] / / g ' ` i f [     " $ U S E R _ I P " = " "   ] t h e n U S E R _ I P = ` h o s t n a m e ` f i e x p o r t   H I S T T I M E F O R M A T = " % F   % T     $ U S E R _ I P   ` w h o a m i `   " s h o p t   - s   h i s t a p p e n d e x p o r t   P R O M P T _ C O M M A N D = " h i s t o r y     - a " # # s o u r c e   / e t c / p r o f i l e 让 配 置 生 效
文 章 来 源 ： h t t p s : / / w w w . c n b l o g s . c o m / s k k i p / p / 1 0 0 7 4 0 9 6 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理