HP-UNIX 系统安全基线 安全加固操作

已于 2023-12-07 20:25:49 修改
阅读量1.4k 收藏 30
点赞数 27
分类专栏： Linux 安全 文章标签： 运维 HP 惠普 服务器
于 2023-12-07 11:15:06 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/CHENSMALLYUN/article/details/134850164
版权
安全 同时被 2 个专栏收录
62 篇文章 0 订阅
订阅专栏
Linux
12 篇文章 0 订阅
订阅专栏

 

目录

账号管理、认证授权  账号 ELK-HP-UX-01-01-01

 ELK -HP-UX-01-01-02

 ELK -HP-UX-01-01-03

​​​​​​​ ELK-HP-UX-01-01-04

​​​​​​​ELK-HP-UX-01-01-05

​​​​​​​口令  ELK-HP-UX-01-02-01

​​​​​​​ ELK-HP-UX-01-02-02

​​​​​​​ ELK-HP-UX-01-02-03

​​​​​​​ ELK-HP-UX-01-02-04

​​​​​​​ELK-HP-UX-01-02-05

​​​​​​​授权 ELK-HP-UX-01-03-01

​​​​​​​ ELK-HP-UX-01-03-02

​​​​​​​ ELK-HP-UX-01-03-03

​​​​​​​ ELK-HP-UX-01-03-04

日志配置  ELK-HP-UX-02-01-01

​​​​​​​ ELK-HP-UX-02-01-02

​​​​​​​ELK-HP-UX-02-01-03

通信协议 IP协议安全 ELK-HP-UX-03-01-01

​​​​​​​ELK-HP-UX-03-01-02

设备其他安全要求 补丁管理  ELK-HP-UX-04-01-01

​​​​​​​服务进程和启动  ELK-HP-UX-04-02-01

​​​​​​​ ELK-HP-UX-04-02-02

​​​​​​​ ELK-HP-UX-04-02-03

​​​​​​​ ELK-HP-UX-04-02-04

​​​​​​​ELK-HP-UX-04-02-05

​​​​​​​ ELK-HP-UX-04-02-06

​​​​​​​屏幕保护 ELK-HP-UX-04-03-01

​​​​​​​内核调整  ELK-HP-UX-04-04-01

​​​​​​​ ELK-HP-UX-04-04-02

​​​​​​​其他调整  ELK-HP-UX-04-05-01

 

本文档是HP-UX 操作系统的对于HP-UX操作系统设备账号认证、日志、协议、补丁升级、文件系统管理等方面的安全配置要求，共29项，对系统的安全配置审计、加固操作起到指导性作用。

账号管理、认证授权  账号 ELK-HP-UX-01-01-01

编号

ELK-HP-UX-01-01-01

名称

为不同的管理员分配不同的账号

实施目的

根据不同类型用途设置不同的帐户账号，提高系统安全。

问题影响

账号混淆，权限不明确，存在用户越权使用的可能。

系统当前状态

cat /etc/passwd 记录当前用户列表

实施步骤

1、参考配置操作

为用户创建账号：

#useradd username  #创建账号

#passwd username   #设置密码

修改权限：

#chmod 750 directory  #其中755为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录)

使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。

回退方案

删除新增加的帐户

判断依据

标记用户用途，定期建立用户列表，比较是否有非法用户

实施风险

高

重要等级

★★★

备注

 

​​​​​​​ ELK -HP-UX-01-01-02

编号

ELK-HP-UX-01-01-02

名称

删除或锁定无效账号

实施目的

删除或锁定无效的账号，减少系统安全隐患。

问题影响

允许非法利用系统默认账号

系统当前状态

cat /etc/passwd 记录当前用户列表， cat /etc/shadow 记录当前密码配置

实施步骤

参考配置操作

删除用户：#userdel username;

锁定用户：

1) 修改/etc/shadow文件，用户名后加*LK*

2) 将/etc/passwd文件中的shell域设置成/bin/false

3) #passwd -l username

只有具备超级用户权限的使用者方可使用，#passwd -l username锁定用户,用#passwd –d username解锁后原有密码失效，登录需输入新密码，修改/etc/shadow能保留原有密码。

 

回退方案

新建删除用户

判断依据

如上述用户不需要，则锁定。

实施风险

高

重要等级

★★★

备注

 

 

 

​​​​​​​ ELK -HP-UX-01-01-03

编号

ELK-HP-UX-01-01-03

名称

对系统账号进行登录限制

实施目的

对系统账号进行登录限制，确保系统账号仅被守护进程和服务使用。

问题影响

可能利用系统进程默认账号登陆，账号越权使用

系统当前状态

cat /etc/shadow查看各账号状态。

实施步骤

1、参考配置操作

禁止账号交互式登录：

修改/etc/shadow文件，用户名后密码列为NP；

删除账号：#userdel username;

2、补充操作说明

禁止交互登录的系统账号，比如daemon,bin,sys、adm、lp、uucp、nuucp、smmsp等等

Example: bin:NP:60002:60002:No Access User:/:/sbin/noshell

回退方案

还原/etc/shadow文件配置

判断依据

/etc/shadow中上述账号，如果无特殊情况，密码列为NP

实施风险

高

重要等级

★

备注

可修改 %SSHINSTALL%/etc/sshd_config 中 PermitRootLogin no

注意，禁止root登陆，必须首先建立普通账号，测试普通账号登陆su root 之后才能进行加固。

注意su指令文件的权限必须要有s位

Hp-ux的root 密码如果设置特殊字符比较多也可能 su : sorry

 

​​​​​​​ ELK-HP-UX-01-01-04

编号

ELK-HP-UX-01-01-04

名称

为空口令用户设置密码

实施目的

禁止空口令用户，存在空口令是很危险的，用户不用口令认证就能进入系统。

问题影响

用户被非法利用

系统当前状态

cat /etc/passwd

实施步骤

用root用户登陆HP-UX系统，执行passwd命令，给用户增加口令。

例如：passwd test test。

回退方案

Root身份设置用户口令，取消口令

如做了口令策略则失败

判断依据

登陆系统判断

Cat /etc/passwd

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ELK-HP-UX-01-01-05

编号

ELK -HP-UX-01-01-05

名称

删除属于root用户存在潜在危险文件

实施目的

/.rhost、/.netrc或/root/.rhosts、/root/.netrc文件都具有潜在的危险，应该删除

 

问题影响

无影响

系统当前状态

cat /.rhost

cat /.netr

cat /root/.rhosts

cat /root/.netrc

实施步骤

Mv /.rhost /.rhost.bak

Mv /.netr /.netr.bak

Cd root

Mv .rhost .rhost.bak

Mv .netr .netr.bak

回退方案

Mv /.rhost.bak /.rhost

Mv /.netr.bak /.netr

Cd root

Mv .rhost.bak .rhost

Mv .netr.bak .netr

判断依据

登陆系统判断

Cat /etc/passwd

实施风险

高

重要等级

★

备注

 

 

 

​​​​​​​口令  ELK-HP-UX-01-02-01

编号

ELK-HP-UX-01-02-01

名称

缺省密码长度限制

实施目的

防止系统弱口令的存在，减少安全隐患。对于采用静态口令认证技术的设备，口令长度至少6位。

问题影响

增加密码被暴力破解的成功率

系统当前状态

运行 cat /etc/default/security  查看状态，并记录。

实施步骤

参考配置操作

vi /etc/default/security ，修改设置如下

MIN_PASSWD_LENGTH = 6 #设定最小用户密码长度为6位

当用root帐户给用户设定口令的时候不受任何限制，只要不超长。

回退方案

vi /etc/default/security ，修改设置到系统加固前状态。

判断依据

MIN_PASSWD_LENGTH 值为6或更高

实施风险

低

重要等级

★★★

备注

 

 

​​​​​​​ ELK-HP-UX-01-02-02

编号

ELK-HP-UX-01-02-02

名称

缺省密码复杂度限制

实施目的

防止系统弱口令的存在，减少安全隐患。对于采用静态口令认证技术的设备，包括数字、小写字母、大写字母和特殊符号4类中至少2类。

问题影响

增加密码被暴力破解的成功率

系统当前状态

运行 cat /etc/default/security  查看状态，并记录。

实施步骤

PASSWORD_MIN_UPPER_CASE_CHARS=N
PASSWORD_MIN_LOWER_CASE_CHARS=N
PASSWORD_MIN_DIGIT_CHARS=N
PASSWORD_MIN_SPECIAL_CHARS=N

编辑N为你所需要的设置. 其中, PASSWORD_MIN_UPPER_CASE_CHARS就是至少有N个大写字母; PASSWORD_MIN_LOWER_CASE_CHARS就是至少要有N个小写字母; PASSWORD_MIN_DIGIT_CHARS是至少有N个字母; PASSWORD_MIN_SPECIAL_CHARS就是至少要多少个特殊字符.

 

说明:

如果是11.11的系统, 需要有PHCO_24606: s700_800 11.11 libpam_unix cumulative patch 或其替代补丁安装在系统中. 可以用下面的命令检查是否已经有了该补丁:

A. # man security
看里面列的参数是否有PASSWORD_MIN_UPPER_CASE_CHARS, PASSWORD_MIN_LOWER_CASE_CHARS, PASSWORD_MIN_DIGIT_CHARS,PASSWORD_MIN_SPECIAL_CHARS这些参数的说明. 如果有, 就表明系统具有这个功能.

B. # swlist -l product | grep libpam
看是否有比PHCO_24606补丁更新的libpam补丁.

回退方案

vi /etc/default/security ，修改设置到系统加固前状态。

判断依据

PASSWORD_MIN_DIGIT_CHARS =2 或更高

PASSWORD_MIN_SPECIAL_CHARS =1 或更高

实施风险

低

重要等级

★★★

备注

 

 

​​​​​​​ ELK-HP-UX-01-02-03

编号

ELK-HP-UX-01-02-03

名称

缺省密码生存周期限制

实施目的

对于采用静态口令认证技术的设备，帐户口令的生存期不长于90天，减少口令安全隐患。

问题影响

密码被非法利用，并且难以管理

系统当前状态

运行 cat /etc/default/security  查看状态，并记录。

实施步骤

1、参考配置操作

vi /etc/default/security文件：

PASSWORD_MAXDAYS=90 密码最长生存周期90天

回退方案

vi /etc/default/security ，修改设置到系统加固前状态。

判断依据

PASSWORD_MAXDAYS=90 

实施风险

低

重要等级

★★★

备注

 

 

​​​​​​​ ELK-HP-UX-01-02-04

编号

ELK-HP-UX-01-02-04

名称

密码重复使用限制

实施目的

对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近5次（含5次）内已使用的口令。

问题影响

密码破解的几率增加

系统当前状态

运行 cat /etc/default/security  查看状态，并记录。

实施步骤

参考配置操作

vi /etc/default/security文件：

PASSWORD_HISTORY_DEPTH=5

回退方案

vi /etc/default/security ，修改设置到系统加固前状态。

判断依据

PASSWORD_HISTORY_DEPTH=5

实施风险

低

重要等级

★

备注

 

 

​​​​​​​ELK-HP-UX-01-02-05

编号

ELK-HP-UX-01-02-05

名称

密码重试限制

实施目的

对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。

问题影响

允许暴力破解密码

系统当前状态

运行 cat /etc/default/security 查看状态，并记录。

实施步骤

参考配置操作

vi /etc/default/security

NUMBER_OF_LOGINS_ALLOWED=7

 

这个参数控制每个用户允许的登录数量。
此参数仅适用于非 root 用户。

回退方案

vi /etc/default/security修改设置到系统加固前状态。

判断依据

NUMBER_OF_LOGINS_ALLOWED=7

实施风险

中

重要等级

★

备注

 

 

 

​​​​​​​授权 ELK-HP-UX-01-03-01

编号

ELK-HP-UX-01-03-01

名称

设置关键目录的权限

实施目的

在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。

问题影响

非法访问文件

系统当前状态

运行ls –al /etc/ 记录关键目录的权限

实施步骤

1、参考配置操作

通过chmod命令对目录的权限进行实际设置。

2、补充操作说明

/etc/passwd 必须所有用户都可读，root用户可写 –rw-r—r—

/etc/shadow 只有root可读 –r--------

/etc/group 必须所有用户都可读，root用户可写 –rw-r—r—

使用如下命令设置：

chmod 644 /etc/passwd

chmod 600 /etc/shadow

chmod 644 /etc/group

如果是有写权限，就需移去组及其它用户对/etc的写权限（特殊情况除外）

执行命令#chmod -R go-w /etc

 

回退方案

通过chmod命令还原目录权限到加固前状态。

判断依据

–rw-r—r— etc/passwd

–r-------- /etc/shadow

–rw-r—r— /etc/group

或权限更小

实施风险

高

重要等级

★★★

备注

 

 

​​​​​​​ ELK-HP-UX-01-03-02

编号

ELK-HP-UX-01-03-02

名称

修改umask值

实施目的

控制用户缺省访问权限，当在创建新文件或目录时，屏蔽掉新文件或目录不应有的访问允许权限。防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高限制。

问题影响

非法访问目录

系统当前状态

运行 cat /etc/profile cat /etc/csh.login cat /etc/d.profile cat /etc/d.login 记录当前配置

实施步骤

1、参考配置操作

cd /etc

umask 027

for file in profile csh.login d.profile d.login

do

  echo umask 027 >> "$file"

done

修改文件或目录的权限，操作举例如下：

#chmod 444 dir ; #修改目录dir的权限为所有人都为只读。

根据实际情况设置权限；

2、补充操作说明

如果用户需要使用一个不同于默认全局系统设置的umask，可以在需要的时候通过命令行设置，或者在用户的shell启动文件中配置

3、补充说明

umask的默认设置一般为022，这给新创建的文件默认权限755（777-022=755），这会给文件所有者读、写权限，但只给组成员和其他用户读权限。

umask的计算：

umask是使用八进制数据代码设置的，对于目录，该值等于八进制数据代码777减去需要的默认权限对应的八进制数据代码值；对于文件，该值等于八进制数据代码666减去需要的默认权限对应的八进制数据代码值。

 

回退方案

修改/etc/profile /etc/csh.login /etc/d.profile /etc/d.login配置文件到加固前状态。

判断依据

umask 022

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ ELK-HP-UX-01-03-03

编号

ELK-HP-UX-01-03-03

名称

FTP用户及服务安全

实施目的

控制FTP进程缺省访问权限，当通过FTP服务创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。

问题影响

非法FTP登陆操作

非法访问目录

系统当前状态

运行 cat /etc/ftpusers  

cat /etc/ftpd/ftpaccess

cat /etc/ftpd/ftpusers

 cat /etc/passwd

     查看状态，并记录。

实施步骤

参考配置操作

if [[ "$(uname -r)" = B.10* ]]; then

ftpusers=/etc/ftpusers

else

ftpusers=/etc/ftpd/ftpusers

fi

for name in root daemon bin sys adm lp \

uucp nuucp nobody hpdb useradm

do

echo $name

done >> $ftpusers

chmod 600 $ftpusers

回退方案

 

vi /etc/ftpusers; vi /etc/ftpd/ftpaccess; vi /etc/passwd ，修改设置到系统加固前状态。

判断依据

查看# cat /etc/ftpusers

无特殊需求，在这个列表里边的用户名是不允许ftp登陆的。

Root    daemon    bin    sys    adm    lp    uucp    nuucp    listen    nobody    noaccess    nobody4

/etc/ftpd/ftpaccess设置相应的配置

实施风险

高

重要等级

★

备注

 

 

 

​​​​​​​ ELK-HP-UX-01-03-04

编号

ELK-HP-UX-01-03-04

名称

设置目录权限

实施目的

设置目录权限，防止非法访问目录。

问题影响

非法访问目录

系统当前状态

查看重要文件和目录权限：ls –l并记录。

实施步骤

1、参考配置操作

查看重要文件和目录权限：ls –l

更改权限：

对于重要目录，建议执行如下类似操作：

# chmod -R 750 /etc/init.d/*

这样只有root可以读、写和执行这个目录下的脚本。

 

回退方案

使用chmod 命令还原被修改权限的目录。

判断依据

判断 /etc/init.d/* 下的文件权限750以下

实施风险

高

重要等级

★

备注

 

 

 

日志配置  ELK-HP-UX-02-01-01

编号

ELK-HP-UX-02-01-01

名称

开启内核层审计

实施目的

通过设置内核层审计，让系统记录内核事件，方便管理员分析

问题影响

记录内核事件

系统当前状态

运行cat /etc/rc.config.d/auditing查看状态，并记录。

实施步骤

1、参考配置操作

cat << EOF >> /etc/rc.config.d/auditing

AUDITING=1

PRI_SWITCH=10000

SEC_SWITCH=10000

EOF

回退方案

vi /etc/rc.config.d/auditing，修改设置到系统加固前状态。

判断依据

AUDITING=1

PRI_SWITCH=10000

SEC_SWITCH=10000

实施风险

低

重要等级

★★★

备注

 

 

​​​​​​​ ELK-HP-UX-02-01-02

编号

ELK-HP-UX-02-01-02

名称

启用inetd的日志功能

实施目的

记录系统中inetd操作的日志

问题影响

运行 cat /etc/rc.config.d/netdaemons 查看当前状态，并记录。

系统当前状态

运行 cat /etc/rc.config.d/netdaemons 查看当前状态，并记录。

实施步骤

1、参考配置操作

ch_rc -a -p INETD_ARGS=-l /etc/rc.config.d/netdaemons 

回退方案

vi /etc/rc.config.d/netdaemons ，修改设置到系统加固前状态。

判断依据

INETD_ARGS=-l

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ELK-HP-UX-02-01-03

编号

ELK-HP-UX-02-01-03

名称

启用设备安全日志功能

实施目的

设备应配置日志功能，记录对与设备相关的安全事件。

问题影响

运行 cat /etc/syslog.conf 查看当前状态，并记录。

系统当前状态

运行 cat /etc/syslog.conf 查看当前状态，并记录。

实施步骤

1、参考配置操作

配置如下类似语句：

*.err;kern.debug;daemon.notice;        /var/adm/messages

定义为需要保存的设备相关安全事件。

查看/var/adm/messages，记录有需要的设备相关的安全事件。 

回退方案

cat /etc/syslog.conf ，修改设置到系统加固前状态。

判断依据

cat /etc/syslog.conf

实施风险

高

重要等级

★

备注

 

 

 

通信协议 IP协议安全 ELK-HP-UX-03-01-01

编号 

ELK-HP-UX-03-01-01

名称

使用ssh加密传输

实施目的

提高远程管理安全性

问题影响

使用非加密通信，内容易被非法监听

系统当前状态

运行 # ps –elf|grep ssh  查看状态，并记录。

实施步骤

1、参考配置操作

1、参考配置操作

从http://www.software.hp.com可以得到针对HP-UX的OpenSSH安装软件包。然后使用如下命令进行安装：

swinstall -s /var/adm/T1471AA_A.03.10.002_HP-UX_B.11.11_32+64.depot

/var/adm/T1471AA_A.03.10.002_HPUX_B.11.11_32+64.depot是一个示例路径。

回退方案

卸载SSH、或者停止SSH服务

判断依据

有SSH进程

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ELK-HP-UX-03-01-02

编号

ELK-HP-UX-03-01-01

名称

加强系统的网络性能

实施目的

调整内核参数，以加强系统的网络性能

问题影响

有助提高系统网络性能

系统当前状态

查看/etc/rc.config.d/nddconf

的配置状态，并记录。

实施步骤

1、参考配置操作

对于HP-UX 11i的版本，应该通过如下命令调整内核参数，以加强系统的网络性能：

cd /etc/rc.config.d

cat <<EOF > nddconf

# Increase size of half-open connection queue

TRANSPORT_NAME[0]=tcp

NDD_NAME[0]=tcp_syn_rcvd_max

NDD_VALUE[0]=4096

# Reduce the half-open timeout

TRANSPORT_NAME[1]=tcp

NDD_NAME[1]=tcp_ip_abort_cinterval

NDD_VALUE[1]=60000

# Reduce timeouts on ARP cache

TRANSPORT_NAME[2]=arp

NDD_NAME[2]=arp_cleanup_interval

NDD_VALUE[2]=60000

# Don't send ICMP redirects

TRANSPORT_NAME[3]=ip

NDD_NAME[3]=ip_send_redirects

NDD_VALUE[3]=0

# Drop source-routed packets

TRANSPORT_NAME[4]=ip

NDD_NAME[4]=ip_forward_src_routed

NDD_VALUE[4]=0

# Don't forward directed broadcasts

TRANSPORT_NAME[5]=ip

NDD_NAME[5]=ip_forward_directed_broadcasts

NDD_VALUE[5]=0

# Don't respond to unicast ICMP timestamp requests

TRANSPORT_NAME[6]=ip

NDD_NAME[6]=ip_respond_to_timestamp

NDD_VALUE[6]=0

# Don't respond to broadcast ICMP tstamp reqs

TRANSPORT_NAME[7]=ip

NDD_NAME[7]=ip_respond_to_timestamp_broadcast

NDD_VALUE[7]=0

# Don't respond to ICMP address mask requests

TRANSPORT_NAME[8]=ip

NDD_NAME[8]=ip_respond_to_address_mask_broadcast

NDD_VALUE[8]=0

EOF

chmod go-w,ug-s nddconf 

回退方案

修改/etc/rc.config.d/nddconf的配置到加固之前的状态，删除新创建的/usr/sbin/in.routed文件

判断依据

Cat /etc/rc.config.d/nddconf

实施风险

高

重要等级

★

备注

 

 

 

​​​​​​​路由协议安全  ELK-HP-UX-03-02-01

编号

ELK-HP-UX-03-02-01

名称

不转发定向广播包

实施目的

利用ndd命令，可以检测或者更改网络设备驱动程序的特性。在/etc/rc.config.d/nddconf启动脚本中增加以下各条命令，然后重启系统，可以提高网络的安全性。

问题影响

提高网络安全性

系统当前状态

查看 cat /etc/rc.config.d/nddconf的配置状态，并记录。

 

实施步骤

1、参考配置操作

#不转发定向广播包

/usr/sbin/ndd -set /dev/ip ip_forward_src_routed 1 0        

# 不转发原路由包

/usr/sbin/ndd -set /dev/ip ip_forwarding 2 0  

#禁止包转发             

/usr/sbin/ndd -set /dev/ip ip_pmtu_strategy 2 1            

#不采用echo-request PMTU策略

/usr/sbin/ndd -set /dev/ip ip_send_redirects 1 0           

#不发ICMP重定向包

/usr/sbin/ndd -set /dev/ip ip_send_source_quench 1 0       

#不发ICMP源结束包

/usr/sbin/ndd -set /dev/ip tcp_conn_request_max 20 500      

#增加TCP监听数最大值，提高性能

/usr/sbin/ndd -set /dev/ip tcp_syn_rcvd_max 500 500         

#HP SYN flood保护

/usr/sbin/ndd -set /dev/ip ip_respond_to_echo_broadcast 1 0

不响应ICMP echo请求广播包

    由于ndd调用前，已经启动网卡参数，所以可能不能正确设置。

    可以采用下列方法，建立一个启动脚本。

    # cp /tmp/secconf /etc/rc.config.d 
    # chmod 444 /etc/rc.config.d/secconf 
    # cp /tmp/sectune /sbin/init.d 
    # chmod 555 /sbin/init.d/sectune 
    # ln -s /sbin/init.d/sectune /sbin/rc2.d/S009sectune

 

回退方案

修改vi /etc/rc.config.d/nddconf的配置到加固之前的状态

判断依据

Cat /etc/rc.config.d/nddconf

实施风险

高

重要等级

★

备注

 

 

设备其他安全要求 补丁管理  ELK-HP-UX-04-01-01

编号

ELK-HP-04-01-01

名称

安装补丁

实施目的

安装系统补丁,增强系统强制,安全性.

问题影响

影响系统强制,安全性

系统当前状态

uname -a

实施步骤

参考配置操作

1.获得补丁

HP-UX系统的升级补丁可以从HP-UX Support Plus站点获得，URL是http://www.software.hp.com/SUPPORT_PLUS/

对于HP-UX 10.x的版本，补丁叫做General Release for HPUX10.x；对于HP-UX 11.x的版本，补丁叫做Quality Pack (QPK) for HP-UX 11.x。

2 安装补丁

HP-UX补丁可以使用swinstall或者SAM安装。例如：

swinstall –s \

    /tmp/XSW700GR1020_10.20_700.depot \

    -x match_target=true

/tmp/XSW700GR1020_10.20_700.depot是一个例子。

3 校验补丁

对于已经安装的补丁，可以使用如下命令输出没有正确配置的补丁：

swlist –l fileset -a state grep -Ev '(configured|^#)'

回退方案

重新安全软件包，

判断依据

 

实施风险

高

重要等级

★★

备注

 

 

 

​​​​​​​服务进程和启动  ELK-HP-UX-04-02-01

编号

ELK-HP-UX-04-02-01

名称

关闭inetd启动的不必要服务

实施目的

关闭无效的服务，提高系统性能，增加系统安全性。

问题影响

不用的服务会带来很多安全隐患

系统当前状态

cat /etc/inet/inetd.conf 查看并记录当前的配置

实施步骤

1、参考配置操作

编辑/etc/inet/inetd.conf文件，注释掉和没有必要服务、不安全服务相关的内容，这些服务包括：tftp、bootps、finger、login、shell、exec、uucp、ntalk、auth、printer、daytime、time 、echo、discard、chargen、rpc.rexd、rpc.rstatd、 rpc.rusersd、rpc.rwalld、rpc.rquotad、rpc.sprayd、rpc.ttdbserver等。

重新启动inetd监控进程：kill –HUP `ps –ef|grep –v inetd`

 

回退方案

还原/etc/inet/inetd.conf文件到加固前的状态。

判断依据

在/etc/inetd.conf文件中禁止下列不必要的基本网络服务。

tftp、bootps、finger、login、shell、exec、uucp、ntalk、auth、printer、daytime、time 、echo、discard、chargen、rpc.rexd、rpc.rstatd、 rpc.rusersd、rpc.rwalld、rpc.rquotad、rpc.sprayd、rpc.ttdbserver标记用户用途，定期建立用户列表，比较是否有非法用户

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ ELK-HP-UX-04-02-02

编号

ELK-HP-UX-04-02-02

名称

关闭NIS/NIS+相关服务

实施目的

关闭无效的服务，提高系统性能，增加系统安全性。

问题影响

不用的服务会带来很多安全隐患

系统当前状态

Cat /etc/rc.config.d/namesvrs查看并记录当前的配置

实施步骤

参考配置操作

Vi /etc/rc.config.d/namesvrs文件：

NIS_MASTER_SERVER=0

NIS_SLAVE_SERVER=0

NIS_CLIENT=0

NISPLUS_SERVER=0

NISPLUS_CLIENT=0

回退方案

还原/etc/rc.config.d/namesvrs文件到加固前的状态。

判断依据

Cat /etc/rc.config.d/namesvrs

 

实施风险

高

重要等级

★

备注

 

 

 

​​​​​​​ ELK-HP-UX-04-02-03

编号

ELK-HP-UX-04-02-03

名称

关闭打印服务

实施目的

关闭无效的服务进程，提高系统性能，增加系统安全性。

问题影响

不用的服务会带来很多安全隐患,如果系统不是作为打印服务器，应该关闭打印相关的服务，因为UNIX的打印服务有不良的安全记录，历史上出现过大量的安全漏洞。

系统当前状态

Cat /etc/rc.config.d/tps

Cat /etc/rc.config.d/lp

Cat /etc/rc.config.d/pd

查看并记录当前的配置

实施步骤

ch_rc -a -p XPRINTSERVERS="''" /etc/rc.config.d/tps

ch_rc -a -p LP=0 /etc/rc.config.d/lp

ch_rc -a -p PD_CLIENT=0 /etc/rc.config.d/pd

 

回退方案

还原

/etc/rc.config.d/tps , /etc/rc.config.d/lp和 /etc/rc.config.d/pd下的脚本文件名到加固前的状态。

判断依据

Cat /etc/rc.config.d/tps

Cat /etc/rc.config.d/lp

Cat /etc/rc.config.d/pd

 

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ ELK-HP-UX-04-02-04

编号

ELK-HP-UX-04-02-04

名称

关闭sendmail服务

实施目的

关闭无效的服务，提高系统性能，增加系统安全性。

问题影响

不用的服务会带来很多安全隐患

系统当前状态

Cat  /etc/rc.config.d/mailservs查看并记录当前的配置

实施步骤

参考配置操作

echo SENDMAIL_SERVER=0 >> /etc/rc.config.d/mailservs

cd /var/spool/cron/crontabs

crontab –l >root.tmp

echo '0 * * * * /usr/lib/sendmail -q' >>root.tmp

crontab root.tmp

rm –f root.tmp

回退方案

还原/etc/rc.config.d/mailservs文件到加固前的状态。

判断依据

Cat /etc/rc.config.d/mailservs

 

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ELK-HP-UX-04-02-05

编号

ELK-HP-UX-04-02-05

名称

关闭NFS相关服务

实施目的

关闭无效的服务，提高系统性能，增加系统安全性。

问题影响

不用的服务会带来很多安全隐患

系统当前状态

Cat /etc/rc.config.d/nfsconf查看并记录当前的配置

实施步骤

参考配置操作

mv /sbin/rc2.d/S400nfs.core /sbin/rc2.d/.NOS400nfs.core

mv /sbin/rc3.d/S100nfs.server /sbin/rc3.d/.NOS100nfs.server

 

cd /sbin/rc2.d

mv S430nfs.client .NOS430nfs.client

 

cat <<EOF>> /etc/rc.config.d/nfsconf

NFS_SERVER=0

PCNFS_SERVER=0

NUM_NFSD=0

NUM_NFSIOD=0

START_MOUNTD=0

EOF

 

cat <<EOF>> /etc/rc.config.d/nfsconf

回退方案

还原/etc/rc.config.d/nfsconf文件到加固前的状态。

判断依据

Cat /etc/rc.config.d/nfsconf

 

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ ELK-HP-UX-04-02-06

编号

ELK-HP-UX-04-02-06

名称

关闭SNMP服务

实施目的

关闭无效的服务，提高系统性能，增加系统安全性。

问题影响

不用的服务会带来很多安全隐患

系统当前状态

Cat /etc/rc.config.d/SnmpHpunix

Cat /etc/rc.config.d/SnmpMaster

Cat /etc/rc.config.d/SnmpTrpDst

查看并记录当前的配置

实施步骤

参考配置操作

cd /sbin/rc2.d

mv  S565OspfMib  .NOS565OspfMib

mv  S941opcagt   .NOS941opcagt

mv  S570SnmpFddi  .NOS570SnmpFddi

vi /etc/rc.config.d/SnmpHpunix文件

   SNMP_HPUNIX_START=0

Vi /etc/rc.config.d/SnmpMaster文件

   SNMP_MASTER_START=0

Vi /etc/rc.config.d/SnmpMib2文件

   SNMP_MIB2_START=0

Vi /etc/rc.config.d/SnmpTrpDst文件

   SNMP_TRAPDEST_START=0

回退方案

还原

/etc/rc.config.d/SnmpHpunix , /etc/rc.config.d/SnmpMaster

和/etc/rc.config.d/SnmpTrpDst文件到加固前的状态。

判断依据

Cat /etc/rc.config.d/SnmpHpunix

Cat /etc/rc.config.d/SnmpMaster

Cat /etc/rc.config.d/SnmpTrpDst

 

实施风险

高

重要等级

★

备注

 

 

 

​​​​​​​屏幕保护 ELK-HP-UX-04-03-01

编号

ELK-HP-UX-04-03-01

名称

设置登录超时时间

实施目的

对于具备字符交互界面的设备，应配置定时帐户自动登出。

问题影响

管理员忘记退出被非法利用

系统当前状态

查看/etc/profile文件的配置状态，并记录。

实施步骤

参考配置操作

可以在用户的.profile文件中"HISTFILESIZE="后面增加如下行：

vi　/etc/profile

$ TMOUT=180;export TMOUT
改变这项设置后，重新登录才能有效。

回退方案

修改/etc/profile的配置到加固之前的状态。

判断依据

TMOUT=180

实施风险

中

重要等级

★

备注

 

 

 

​​​​​​​内核调整  ELK-HP-UX-04-04-01

编号

ELK-HP-UX-04-04-01

名称

调整内核设置

实施目的

防止堆栈缓冲溢出

问题影响

堆栈缓冲溢出

系统当前状态

 

实施步骤

参考配置操作

/usr/sbin/kmtune -s executable_stack=0 &&mk_kernel &&kmupdate

回退方案

 

判断依据

executable_stack=0

实施风险

高

重要等级

★

备注

 

 

​​​​​​​ ELK-HP-UX-04-04-02

编号

ELK-HP-UX-04-04-02

名称

安装TCP_Wrapper防火墙软件

实施目的

防止网络攻击

问题影响

没有影响

系统当前状态

 

实施步骤

参考配置操作

make hpux

mkdir -p /usr/local/sbin /usr/local/include \

/usr/local/lib /usr/local/man/man5 \

/usr/local/man/man1m

chmod 755 /usr/local/sbin /usr/local/include \

/usr/local/lib /usr/local/man/man5 \

/usr/local/man/man1m

for file in safe_finger tcpd tcpdchk \

tcpdmatch try-from

do /usr/sbin/install -s -f /usr/local/sbin \

-m 0555 -u root -g daemon $file

done

for file in *.5

回退方案

卸载TCP_Wrapper

判断依据

 

实施风险

高

重要等级

★

备注

 

 

 

​​​​​​​其他调整  ELK-HP-UX-04-05-01

编号

ELK-HP-UX-04-05-01

名称

引导身份验证

实施目的

使用引导身份验证功能防止未经授权的访问

问题影响

未经授权访问

系统当前状态

cat /etc/default/security|grep BOOT

实施步骤

参考配置操作

BOOT_AUTH=1

BOOT_USERS=root,mary,jack,amy,jane

回退方案

还原 /etc/default/security到系统更改前

判断依据

BOOT_AUTH=1

BOOT_USERS=root,mary,jack,amy,jane

实施风险

高

重要等级

★

备注

 

 

 

it技术分享just_free
关注
  • 27
    点赞
  • 踩
  • 30
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
HP-UNIX主机操作系统安全
03-16
HP-UNIX主机操作系统安全
HP-UNIX主机操作系统安全加固规范 中文
09-22
本文档是HP-UX 操作系统的对于HP-UX操作系统设备账号认证、日志、协议、补丁升级、文件系统管理等方面的安全配置要求，共29项，对系统的安全配置审计、加固操作起到指导性作用。
中国移动HP-UNIX操作系统安全配置规范V1.0.doc
11-29
中国移动HP-UNIX操作系统安全配置规范V1.0.doc
HP-UX(HP UNIX)系统信息命令行大全
ZQ8998的博客
04-09 1432
HP-UX内置了功能强大的系统信息查看程序cprop，默认存储路径为opt/propplus/bin/，该程序可根据参数输出服务器各种软硬件系统信息。以下是我对获取系统信息相关参数的总结。
unix--HP-UX常用命令(zt)
cuifan5176的博客
06-21 148
HP-UX常用命令http://www.loveunix.net/bbs/index.php?showtopic=172031、 cd命令的使用 返回上一次的目录（cd -） 2、 Esc键的使用 在命令行中可通过击两次Esc键...
unix下source的使用
weixin_34380296的博客
09-25 534
就一般而言大部分Unix系统下的交互shell一般是使用bash，那么在bash中有一个source的指令想必都有使用过。举一个简单的例子，这里用2个简单的小脚本验证说明下:#!/bin/bash #read.sh #通过简单的参数相加实现的加法 read-p"pleaseinputanumber:"x read-p"pleaseinputanothe...
HP-unix命令汇总
最新发布
kevinyu998的博客
07-20 1371
工作中，偶有oracle数据库运行在hp-unix上，记录下命令，需要的时候尽快找到命令。重启: shutdown -ry 0 如无法重启，可使用reboot。查看磁盘使用 # bdf (与linux中df -h类似)关机: shutdown -hy 0。
HP-UX概况和版本历史
08-01 1653
HP-UX (Hewlett-Packard UniX) 是惠普公司自有版权基于Unix System V的一个商用Unix操作系统，目前支持基于HP-PA RISC处理器的HP9000服务器，以及基于Intel Itanium安腾处理器的Integrity 服务器。HP-UX在System V版本出现前则是基于System III。HP-UX 1.0的最初版本于1984年颁布。 HP-UX
HP-UNIX操作系统安全配置规范.doc
05-24
HP-UNIX操作系统安全配置规范.doc
HP-UNIX常用命令
听雪楼主
05-26 7626
HP-UNIX常用命令1、机型#model9000/800/L2000-44注意：其中44是指每个cpu有440MHZ。2、cpu个数#topCPU LOAD USER NICE SYS IDLE BLOCK SWAIT INTR SSYS0 0.02 0.0% 0.0% 0.% 0.0% 0.0% 0.0% 0.0%1 0.00 0.6% 0.0% 0.% 0.0% 0.0% 0.0% 0.0%...
HP-UNIX原版学习资料
11-17
HP-UNIX原版学习资料，需要的可以下载下来慢慢学习。
hp-unix操作系统克隆
04-22
使用drd命令的详细方法hp-unix操作系统克隆
hp-unix命令大全
10-06
hp-unix小型机操作系统命令普及小型机操作系统操作命令
HP-UNIX IP修改
12-08 543
今天看了一个ip修改很全的资料转载到自己空间 HP-UX修改主机IP地址 方法一 1.set_parms hostname 2. set_parms address 3. 修改/etc/hosts文件 注意：上...
惠普HP unix命令大全
XMWS-IT
07-12 3535
linux服务器性能查看 1.1 cpu性能查看 1、查看物理cpu个数： cat/proc/cpuinfo|grep"physicalid"|sort|uniq|wc-l 2、查看每个物理cpu中的core个数： cat/proc/cpuinfo|grep"cpucores"|wc-l 3、逻辑cpu的个数： cat/proc/cpuinfo|grep"processor"|wc-l 物理cpu个数*核数=逻辑cpu个数（不支持超线程技术的...
AIX 5.3主机性能评估-topas的使用说明
5Love
12-24 1549
五、补充：关于topas的使用说明   topas命令用于监控各种系统资源，如CPU的使用情况，CPU事件和队列，内存和换页空间的使用，磁盘性能，网络性能以及NFS统计等。它还会报告指派给不同WLM类的进程对系统资源的消耗情况。它还能报告系统中最热门的进程和工作量管理器（WLM）的热门类。有关WLM类信息只有在WLM激活时才会显示。topas命令将热门进程定义为那些使用大量CPU时间的进程。top
HP-UNIX的一些命令的用法总结
s_sword的专栏
10-13 9757
(一)    常用命令介绍ls 将某一个目录下的所有文件名显示出来,没有跟目录的时候默认显示当前目录下的所有文件名.参数:ls –a  显示隐藏文件ls –l  同 ll 显示文件的更多信息,如:读取权限,所有权,长度,更新日期等  cp 将一个或多个文件复制成另一个文件或者是将其复制到另一个目录去cp file1 file2  将file1复制一份命名为file2cp file1 file2 …
HP-UNIX 11i的学习笔记
lunar的小铺
07-22 3522
    物理卷Physical Volume，称为PV：指物理上硬盘，一个硬盘就是一个PV逻辑卷组 Logical Volume Group，称为VG：一个VG包含整数个PV，可理解为一个大硬盘。        逻辑卷 Logical Volume，称为LV：相当于对大硬盘进行逻辑分区， 一个VG里可有若干个LV。        文件系统 File System：在逻辑卷的基础上，可建立文件系统，
HP UNIX 日常命令 TIPS
freetochoose的专栏
08-01 1227
按Break key可调整终端连接速度，消除终端乱码    登录敲login name 及password时        # 删除一个字符        @ 删除行          关于系统提示符        $  B shell  /usr/old/bin/sh        K shell  /usr/bin/ksh/--/.profile      P shell  /usr/b
HP-Unix查看系统信息
04-24
您可以使用以下命令来查看HP-Unix系统的系统信息： 1. 查看系统版本信息： uname -a 2. 查看系统CPU相关信息： ioscan -fnC processor 3. 查看系统内存信息： echo "selclass qualifier memory;info;wait;infolog" | /usr/sbin/cstm |more 4. 查看系统硬盘信息： ioscan -fnC disk 5. 查看网络接口信息： ifconfig -a 希望这些命令可以帮助您查看HP-Unix系统的系统信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

it技术分享just_free

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值