您好,登錄后才能下訂單哦!
這篇文章給大家介紹怎樣進(jìn)行Linux操作系統(tǒng)的安全合規(guī)性檢查和加固,內(nèi)容非常詳細(xì),感興趣的小伙伴們可以參考借鑒,希望對大家能有所幫助。
1. 賬號和口令
1.1 禁用或刪除無用賬號
減少系統(tǒng)無用賬號,降低安全風(fēng)險。
操作步驟
使用命令 userdel 刪除不必要的賬號。
使用命令 passwd -l 鎖定不必要的賬號。
使用命令 passwd -u 解鎖必要的賬號。
1.2 檢查特殊賬號
檢查是否存在空口令和root權(quán)限的賬號。
操作步驟
1. 查看空口令和root權(quán)限賬號,確認(rèn)是否存在異常賬號:
使用命令 awk -F: '($2=="")' /etc/shadow 查看空口令賬號。
使用命令 awk -F: '($3==0)' /etc/passwd 查看UID為零的賬號。
2.加固空口令賬號:
使用命令 passwd 為空口令賬號設(shè)定密碼。
確認(rèn)UID為零的賬號只有root賬號。
1.3 添加口令策略
加強口令的復(fù)雜度等,降低被猜解的可能性。
操作步驟
1.使用命令 vi /etc/login.defs 修改配置文件。
PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數(shù)
PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數(shù)
PASS_WARN_AGE 7 #新建用戶的密碼到期提前提醒天數(shù)
2.使用chage命令修改用戶設(shè)置。
例如,chage -m 0 -M 30 -E 2000-01-01 -W 7 表示將此用戶的密碼最長使用天數(shù)設(shè)為30,最短使用天數(shù)設(shè)為0,密碼2000年1月1日過期,過期前七天警告用戶。
3.設(shè)置連續(xù)輸錯三次密碼,賬號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth修改配置文件,在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。
1.4 限制用戶su
限制能su到root的用戶。
操作步驟
使用命令 vi /etc/pam.d/su修改配置文件,在配置文件中添加行。例如,只允許test組用戶su到root,則添加 auth required pam_wheel.so group=test。
1.4 禁止root用戶直接登錄
限制root用戶直接登錄。
操作步驟
1.創(chuàng)建普通權(quán)限賬號并配置密碼,防止無法遠(yuǎn)程登錄;
2.使用命令 vi /etc/ssh/sshd_config修改配置文件將PermitRootLogin的值改成no,并保存,然后使用service sshd restart重啟服務(wù)。
2. 服務(wù)
2.1 關(guān)閉不必要的服務(wù)
關(guān)閉不必要的服務(wù)(如普通服務(wù)和xinetd服務(wù)),降低風(fēng)險。
操作步驟
使用命令systemctl disable 設(shè)置服務(wù)在開機時不自動啟動。
說明:對于部分老版本的Linux操作系統(tǒng)(如CentOS 6),可以使用命令chkconfig \–level
2.2 SSH服務(wù)安全
對SSH服務(wù)進(jìn)行安全加固,防止暴力破解成功。
操作步驟
使用命令 vim /etc/ssh/sshd_config 編輯配置文件。
不允許root賬號直接登錄系統(tǒng)。
設(shè)置 PermitRootLogin 的值為 no。
修改SSH使用的協(xié)議版本。
設(shè)置 Protocol 的版本為 2。
修改允許密碼錯誤次數(shù)(默認(rèn)6次)。
設(shè)置 MaxAuthTries 的值為 3。
配置文件修改完成后,重啟sshd服務(wù)生效。
3. 文件系統(tǒng)
3.1 設(shè)置umask值
設(shè)置默認(rèn)的umask值,增強安全性。
操作步驟
使用命令 vi /etc/profile 修改配置文件,添加行 umask 027, 即新創(chuàng)建的文件屬主擁有讀寫執(zhí)行權(quán)限,同組用戶擁有讀和執(zhí)行權(quán)限,其他用戶無權(quán)限。
3.2 設(shè)置登錄超時
設(shè)置系統(tǒng)登錄后,連接超時時間,增強安全性。
操作步驟
使用命令 vi /etc/profile 修改配置文件,將以 TMOUT= 開頭的行注釋,設(shè)置為TMOUT=180,即超時時間為三分鐘。
4. 日志
4.1 syslogd日志
啟用日志功能,并配置日志記錄。
操作步驟
Linux系統(tǒng)默認(rèn)啟用以下類型日志:
系統(tǒng)日志(默認(rèn))/var/log/messages
cron日志(默認(rèn))/var/log/cron
安全日志(默認(rèn))/var/log/secure
注意:部分系統(tǒng)可能使用syslog-ng日志,配置文件為:/etc/syslog-ng/syslog-ng.conf。
您可以根據(jù)需求配置詳細(xì)日志。
4.2 記錄所有用戶的登錄和操作日志
通過腳本代碼實現(xiàn)記錄所有用戶的登錄操作日志,防止出現(xiàn)安全事件后無據(jù)可查。
操作步驟
1.打開配置文件
[root@xxx /]# vim /etc/profile
2.在配置文件中輸入以下內(nèi)容:
history USER=`whoami` USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'` if [ "$USER_IP" = "" ]; then USER_IP=`hostname` fi if [ ! -d /var/log/history ]; then mkdir /var/log/history chmod 777 /var/log/history fi if [ ! -d /var/log/history/${LOGNAME} ]; then mkdir /var/log/history/${LOGNAME} chmod 300 /var/log/history/${LOGNAME} fi export HISTSIZE=4096 DT=`date +"%Y%m%d_%H:%M:%S"` export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT" chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null
3.運行加載配置生效。
[root@xxx /]# source /etc/profile
注意:/var/log/history 是記錄日志的存放位置,可以自定義。
通過上述步驟,可以在 /var/log/history 目錄下以每個用戶為名新建一個文件夾,每次用戶退出后都會產(chǎn)生以用戶名、登錄IP、時間的日志文件,包含此用戶本次的所有操作(root用戶除外)。
關(guān)于怎樣進(jìn)行Linux操作系統(tǒng)的安全合規(guī)性檢查和加固就分享到這里了,希望以上內(nèi)容可以對大家有一定的幫助,可以學(xué)到更多知識。如果覺得文章不錯,可以把它分享出去讓更多的人看到。
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點不代表本網(wǎng)站立場,如果涉及侵權(quán)請聯(lián)系站長郵箱:is@yisu.com進(jìn)行舉報,并提供相關(guān)證據(jù),一經(jīng)查實,將立刻刪除涉嫌侵權(quán)內(nèi)容。