搜索

[21169] 2020-07-31_基线检查平台之Linux与Windows

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-31_基线检查平台之Linux与Windows 基 线 检 查 平 台 之 L i n u x 与 W i n d o w s L e m o n S e c   2 0 2 0 - 0 7 - 3 1 摘 要 ： 能 够 对 操 作 系 统 、 中 间 件 和 数 据 库 进 行 基 线 检 查 ； 脚 本 在 系 统 上 进 行 基 线 检 查 后 的 结 果 或 者 收 集 到 的 数 据 能 够 传 输 到 一 个 服 务 端 ； 服 务 端 要 做 可 视 化 展 示 。 要 求 如 下 ： 能 够 对 操 作 系 统 、 中 间 件 和 数 据 库 进 行 基 线 检 查 脚 本 在 系 统 上 进 行 基 线 检 查 后 的 结 果 或 者 收 集 到 的 数 据 能 够 传 输 到 一 个 服 务 端 服 务 端 要 做 可 视 化 展 示 最 终 的 效 果 是 什 么 呢 ？ 最 好 能 够 达 到 阿 里 云 里 的 安 全 基 线 检 查 的 样 子 。 本 篇 文 章 是 代 码 中 在 c e n t o s 7 和 w i n 2 0 1 2 系 统 中 将 要 检 查 的 项 目 ， 参 考 C I S 标 准 而 来 。 代 码 在 S e c u r i t y B a s e l i n e C h e c k   现 在 完 成 了 C e n t o s 和 W i n d o w s 2 0 1 2 基 线 检 查 的 编 写 ， 脚 本 ( 简 称 a g e n t ) 只 在 要 检 查 的 服 务 器 上 运 行 并 显 示 检 查 结 果 。 之 后 会 将 检 查 的 结 果 以 j s o n 串 的 形 式 上 传 到 基 于 d j a n g o 搭 建 的 后 端 上 ， 后 端 目 前 正 在 制 作 中 。 简 要 截 图 如 下 ： a g e n t : 后 端
一 、 w i n d o w 检 查 的 项 目 如 下 ： 0 1   账 户 策 略 1 . 1   密 码 策 略 [ + ] 确 保 强 制 密 码 历 史 值 为 5 或 更 高 P a s s w o r d H i s t o r y S i z e = 5 [ + ] 确 保 密 码 最 长 使 用 期 限 值 为 9 0 天 或 更 少 ， 但 不 为 0 M a x i m u m P a s s w o r d A g e = 9 0 [ + ] 确 保 密 码 最 短 使 用 期 限 值 为 1 或 更 多 M i n i m u m P a s s w o r d A g e = 1 [ + ] 确 保 密 码 必 须 符 合 复 杂 性 要 求 值 为 e n a b l e d P a s s w o r d C o m p l e x i t y = 1 [ + ] 确 保 用 可 还 原 的 加 密 来 存 储 密 码 值 为 D i s a b l e d C l e a r T e x t P a s s w o r d = 0 [ + ] 确 保 密 码 长 度 最 小 值 值 为 8 或 更 高 M i n i m u m P a s s w o r d L e n g t h = 8 1 . 2   账 户 锁 定 策 略 [ + ] 确 保 账 户 锁 定 时 间 值 为 1 5 分 钟 或 更 长 L o c k o u t D u r a t i o n = 1 5 [ + ] 确 保 账 户 锁 定 阈 值 值 为 5 或 更 少 ， 但 不 为 0 L o c k o u t B a d C o u n t = 5 [ + ] 确 保 重 置 账 户 锁 定 计 数 器 值 为 1 5 分 钟 或 更 多 ， 但 值 要 小 于 A c c o u n t   l o c k o u t   d u r a t i o n 的 值 R e s e t L o c k o u t C o u n t = 1 5 0 2   审 计 策 略 [ + ] 审 核 策 略 更 改 ： 成 功 A u d i t P o l i c y C h a n g e [ + ] 审 核 登 录 事 件 ： 成 功 ， 失 败 A u d i t L o g o n E v e n t s [ + ] 审 核 对 象 访 问 ： 成 功 A u d i t O b j e c t A c c e s s [ + ] 审 核 进 程 跟 踪 ： 成 功 ， 失 败 A u d i t P r o c e s s T r a c k i n g [ + ] 审 核 目 录 服 务 访 问 ： 成 功 ， 失 败 A u d i t D S A c c e s s [ + ] 审 核 系 统 事 件 ： 成 功 ， 失 败 A u d i t S y s t e m E v e n t s [ + ] 审 核 帐 户 登 录 事 件 ： 成 功 ， 失 败 A u d i t A c c o u n t L o g o n [ + ] 审 核 帐 户 管 理 ： 成 功 ， 失 败 A u d i t A c c o u n t M a n a g e 值 的 含 义 ：
0 3   用 户 权 限 分 配 [ + ] 确 保 作 为 受 信 任 的 呼 叫 方 访 问 凭 据 管 理 器 值 为 空 ， 没 有 设 置 任 何 用 户 S e T r u s t e d C r e d M a n A c c e s s P r i v i l e g e [ + ] 确 保 以 操 作 系 统 方 式 执 行 值 为 空 ， 没 有 设 置 任 何 用 户 。 S e T c b P r i v i l e g e [ + ] 确 保 将 工 作 站 添 加 到 域 值 仅 为 特 定 的 用 户 或 用 户 组 , 不 能 有 5 1 3 ， 5 1 4 ， 5 1 5 S e M a c h i n e A c c o u n t P r i v i l e g e [ + ] 确 保 创 建 全 局 对 象 值 为 空 S e C r e a t e G l o b a l P r i v i l e g e [ + ] 确 保 拒 绝 作 为 批 处 理 作 业 登 录 包 含 G u e s t s S e D e n y B a t c h L o g o n R i g h t [ + ] 确 保 拒 绝 以 服 务 身 份 登 录 包 含 G u e s t s S e D e n y S e r v i c e L o g o n R i g h t [ + ] 确 保 拒 绝 本 地 登 录 包 含 G u e s t s S e D e n y I n t e r a c t i v e L o g o n R i g h t [ + ] 确 保 从 远 程 系 统 强 制 关 机 值 为 a d m i n i s t r a t o r s 本 地 组 和 s - 1 - 5 - 3 2 - 5 4 9 ( 域 控 的 一 个 内 置 组 ) S e R e m o t e S h u t d o w n P r i v i l e g e [ + ] 确 保 修 改 对 象 标 签 值 为 空 S e R e l a b e l P r i v i l e g e [ + ] 确 保 同 步 目 录 服 务 数 据 值 为 空 S e S y n c A g e n t P r i v i l e g e 0 4   安 全 选 项 [ + ] 确 保 账 户 ： 来 宾 账 户 状 态 值 为 已 禁 用 E n a b l e G u e s t A c c o u n t = 0 [ + ] 确 保 账 户 ： 限 制 使 用 空 密 码 的 本 地 账 户 只 能 使 用 控 制 台 登 录 值 为 E n a b l e d M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a L i m i t B l a n k P a s s w o r d U s e = 4 , 1 [ + ] 配 置 账 户 ： 重 命 名 系 统 管 理 员 账 户 N e w A d m i n i s t r a t o r N a m e = ” N e w A d m i n i s t r a t o r ” [ + ] 配 置 账 户 ： 重 命 名 来 宾 账 户 N e w G u e s t N a m e = ” N e w G u e s t N a m e ” [ + ] 确 保 交 互 式 登 录 ： 不 显 示 上 次 登 录 用 户 名 值 为 E n a b l e d M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m D o n t D i s p l a y L a s t U s e r N a m e = 4 , 1 [ + ] 确 保 交 互 式 登 录 ： 无 须 按 C t r l + A l t + D e l 值 为 D i s a b l e d M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m D i s a b l e C A D = 4 , 0 [ + ] 确 保 交 互 式 登 录 ： 计 算 机 不 活 动 限 制 值 为 9 0 0 秒 或 更 少 M A C H I N E S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s S y s t e m I n a c t i v i t y T i m e o u t S e c s = 4 , 9 0 0 [ + ] 确 保 M i c r o s o f t   网 络 客 户 端 :   将 未 加 密 的 密 码 发 送 到 第 三 方   S M B   服 务 器 值 为 D i s a b l e d M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t S e r v i c e s L a n m a n W o r k s t a t i o n P a r a m e t e r s E n a b l e P l a i n T e x t P a s s w o r d = 4 , 0 [ + ] 确 保 M i c r o s o f t 网 络 服 务 器 ： 暂 停 会 话 前 所 需 的 空 闲 时 间 数 量 值 为 1 5 分 钟 或 更 少 ， 但 不 为 0 M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t S e r v i c e s L a n M a n S e r v e r P a r a m e t e r s A u t o D i s c o n n e c t = 4 , 1 5
[ + ] 确 保 网 络 安 全 ： 再 下 一 次 改 变 密 码 时 不 存 储 L A N 管 理 器 哈 希 值 值 为 E n a b l e d M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a N o L M H a s h = 4 , 1 [ + ] 确 保 网 络 访 问 ： 允 许 匿 名 S I D / 名 称 转 换 值 为 D i s a b l e d L S A A n o n y m o u s N a m e L o o k u p   =   0 [ + ] 确 保 网 络 访 问 ： 不 允 许 S A M 账 户 的 匿 名 枚 举 值 为 E n a b l e d M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a R e s t r i c t A n o n y m o u s S A M = 4 , 1 [ + ] 确 保 网 络 访 问 ： 不 允 许 S A M 账 户 和 共 享 的 匿 名 枚 举 值 为 E n a b l e d M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a R e s t r i c t A n o n y m o u s = 4 , 1 [ + ] 确 保 关 机 ： 允 许 系 统 在 未 登 录 前 关 机 值 为 D i s a b l e d M A C H I N E S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n   M a n a g e r M e m o r y   M a n a g e m e n t C l e a r P a g e F i l e A t S h u t d o w n = 4 , 0 0 5   远 程 访 问 安 全 [ + ] 确 保 R D P 端 口 不 为 3 3 8 9 0 6   系 统 网 络 安 全 关 闭 w i n d o w s 自 动 播 放 功 能 二 、 C e n t o s 7 检 查 的 项 目 如 下 ： 0 1   初 始 设 置 1 . 1   文 件 系 统 配 置 ： 将 / t m p 挂 载 至 一 个 单 独 的 分 区 挂 载 时 指 定 n o e x e c , n o s u i d ： 不 允 许 运 行 可 执 行 文 件 1 . 2   安 全 启 动 设 置 ： 设 置 b o o t l o a d e r 的 配 置 文 件 的 权 限 为 6 0 0 设 置 b o o t l o a d e r 的 密 码 ： 进 入 引 导 界 面 需 输 入 密 码 为 单 用 户 启 动 认 证 机 制 1 . 3   强 制 访 问 控 制 ： 安 装 S E L i n u x 设 置 S E L i n u x 的 状 态 为 e n f o r c i n g 设 置 S E L i n u x 的 p o l i c y 为 t a r g e t e d 0 2   服 务 配 置 2 . 1   时 间 同 步 设 置 ： 开 启 时 间 同 步 服 务 使 用 n t p 或 c h r o n y 来 统 一 服 务 器 的 时 间 不 安 装 X - w i n d o w s 系 统 ： 即 不 使 用 可 视 化 界 面 0 3   网 络 配 置 3 . 1   h o s t s 设 置 ： 配 置 / e t c / h o s t s . a l l o w 与 / e t c / h o s t s . d e n y 文 件 配 置 / e t c / h o s t s . a l l o w 与 / e t c / h o s t s . d e n y 文 件 的 权 限 为 0 6 4 4 配 置 / e t c / h o s t s . a l l o w 与 / e t c / h o s t s . d e n y 文 件 的 属 主 为 r o o t 3 . 2   防 火 墙 配 置 安 装 i p t a b l e s
设 置 各 个 C h a i n 的 默 认 策 略 为 d r o p 0 4   审 计 设 置 安 装 并 使 用 a u d i t d 配 置 记 录 审 计 日 志 的 文 件 大 小 ： 8 M 配 置 记 录 审 计 日 志 的 文 件 个 数 ： 5 单 个 审 计 日 志 文 件 大 小 达 到 设 定 的 值 时 触 发 的 动 作 为 ： k e e p _ l o g s / r o t a t e 磁 盘 空 间 满 后 触 发 的 动 作 为 ： r o t a t e a u d i t d 需 配 置 的 一 些 规 则 ： 0 5   日 志 设 置 安 装 并 启 用 ` r s y s l o g ｀ 0 6   认 证 授 权 6 . 1   配 置 c r o n : 开 启 c r o n 服 务 配 置   / e t c / c r o n t a b , / e t c / c r o n . h o u r l y , / e t c / c r o n . d a i l y , / e t c / c r o n . w e e k l y , / e t c / c r o n . m o n t h l y , / / e t c / c r o n . d 文 件 的 权 限 为 0 7 0 0 设 置 c r o n . a l l o w ： 只 允 许 特 定 的 用 户 可 以 使 用 c r o n 6 . 2   配 置 S S H ： 配 置 / e t c / s s h / s s h d _ c o n f i g 文 件 的 权 限 为 0 6 0 0 关 闭 X 1 1 F o r w a r d i n g 设 置 最 大 认 证 尝 试 次 数 ： 4 开 启 I g n o r e R h o s t s ： 不 启 用 基 于 主 机 的 认 证 关 闭 H o s t b a s e d A u t h e n t i c a t i o n :   关 闭 基 于 主 机 的 认 证 禁 止 使 用 r o o t 直 接 登 录 ： P e r m i t R o o t L o g i n   n o 禁 止 使 用 空 密 码 登 录 ： P e r m i t E m p t y P a s s w o r d s   n o 禁 止 用 户 环 境 ： P e r m i t U s e r E n v i r o n m e n t   n o 设 置 使 用 的 M A C 算 法 : 设 置 空 闲 超 时 时 间 : 1 8 0 秒 C l i e n t A l i v e I n t e r v a l   1 8 0 设 置 一 次 登 录 花 费 时 间 ： 1 2 0 秒 L o g i n G r a c e T i m e   1 2 0 6 . 3   配 置 P A M ： 密 码 长 度 最 少 位 数 ： 1 2 密 码 中 最 少 字 符 类 型 数 ： 3 配 置 密 码 锁 定 ： ？ ？ ？ ？
配 置 密 码 重 用 限 制 ： 不 使 用 最 近 5 次 的 密 码 配 置 密 码 h a s h 算 法 ： S H A 5 1 2 6 . 4   用 户 账 户 和 环 境 设 置 ： 密 码 有 效 时 间 ： 9 0 天 密 码 更 改 最 短 间 隔 ： 7 天 密 码 过 期 警 告 ： 7 天 自 动 禁 用 特 定 时 间 内 没 有 活 动 的 账 号 ： 3 6 5 天 配 置 系 统 账 号 的 无 法 登 录 配 置 r o o t 账 号 默 认 群 组 的 G I D 为 0 配 置 u m a s k 的 默 认 值 为 0 2 7 ？ ？ ？ 配 置 s h e l l 超 时 关 闭 会 话 时 间 ： 1 8 0 配 置 可 以 使 用 s u 命 令 的 用 户 0 7   系 统 维 护 7 . 1   重 要 文 件 权 限 ： 审 计 设 置 了 S U I D 可 执 行 文 件 的 完 整 性   前 面 审 计 设 置 了 S G I D 的 可 执 行 文 件 的 完 整 性 7 . 2   用 户 和 组 设 置 ： 不 允 许 密 码 为 空 的 账 号 只 允 许 r o o t 账 号 的 U I D 为 0 设 置 p a t h 环 境 变 量 中 的 目 录 只 有 o w n e r 可 写 ， g r o u p 及 o t h e r 都 没 有 w 的 权 限 设 置 所 有 用 户 都 有 家 目 录 设 置 所 有 用 户 家 目 录 的 权 限 为 0 7 5 0 设 置 所 有 用 户 家 目 录 的 o w n e r 都 为 其 自 身 设 置 用 户 家 目 录 内 以 . 开 头 的 文 件 ， 只 有 o w n e r 可 写 ， g r o u p 及 o t h e r 都 没 有 w 的 权 限 确 保 没 有 . n e t r c , . r h o s t s , . f o r w a r d 文 件 确 保 所 有 在 / e t c / p a s s w d 中 的 组 都 在 / e t c / g r o u p 确 保 每 个 用 户 的 U I D 都 不 同 确 保 每 个 组 的 G I D 都 不 同 确 保 用 户 名 唯 一 确 保 组 名 唯 一 源 码 ： 后 端 ： g i t h u b . c o m / c h r o b l e r t / a s s e t m a n a g e a g e n t ： g i t h u b . c o m / c h r o b l e r t / s e c u r i t y   b a s e l i n e c h e c k 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 链 接 ： h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 2 2 4 6 0 3 . h t m l

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理