Linux安全基线加固之系统设置

1.关闭不必要的服务

who -r 查看当前init级别
chkconfig --list <服务名> 查看所有服务的状态
chkconfig --level <init级别> <服务名> on|off|reset”设置服务在个init级别下开机是否启动

编辑inetd.conf文件

第一步：chmod 600 /etc/inetd.conf  #只允许root读写
第二步：chown root /etc/inetd.conf  #确定所有者为root
第三步：vim /etc/inetd.conf  #关闭ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger,
auth等服务
第四步：killall -HUP inetd  #给inetd进程发送一个HUP信号
第五步：chattr +i /etc/inetd.conf  #文件设为不可修改   #其他重要文件也建议这样修改
建议使用xinetd代替inetd，前者在访问控制和日志审计方面有较大的增强
在/etc/inetd.conf中不需要的服务前加"#"，较高版本中已经没有inetd，而换成了Xinetd;取消开机自动运行服务，把/etc/rc.d/rc3.d
下不需要运行的肥务的第一个字母"S"改成"K",其他不变.

如果需要修改,第一步:chattr -i /etc/inetd.conf   #取消不可修改属性

2.禁ping

echo 0 > /proc/sys/net/ipv4/icmp_echo_igore_all

3.环境变量安全性

echo $PATH | egrep '(^|:)(\.|:|$)'，检查是否包含父目录
find `echo $PATH | tr ':' ' '` -type d \( -perm -002 -o -perm -020 \) -ls，检查是否包含组目录权限为777的目录
返回值包含以上条件，则低于安全要求

4.更改主机解析地址顺序

vim /etc/host.conf
#Lookup names via DNS first then fall back to /etc/hosts.order bind,hosts 
#We have machines with multiple IP addresses. multi on #Check for IP address spoofing nospoof on

5.打开syncookie缓解syn flood攻击

vim /etc/rc.d/rc.local 
#echo 1 > /proc/sys/net/ipv4/tcp_syncookies

6.提高未连接队列大小

sysctlnet.ipv4.tcp_max_syn_backlog 
sysctl -w net.ipv4.tcp_max_syn_backlog="2048"直接运行

7.禁止/etc/rc.d/init.d下某些脚本

cd /etc/rc.d/init.d 在不需要开机自动运行的脚本第一行写入 exit 0

8.加固snmp服务

vim /etc/snmp/snmps.conf
修改public默认团体名字符串
重启snmp服务

9.安装系统补丁

请慎重对系统打补丁，补丁安装应当先在测试机上完成。补丁安装可能导致系统或某些服务 无法工作正常，在下载补丁包时，一定要对签名进行核实，防止执行特洛伊木马

10.隐藏系统提示信息

vim /etc/rc.d/rc.local
rm -f /etc/issue 
rm -f /etc/issue.net

11.Grub/Lilo密码 检查方法

cat /etc/grub.conf|grep password 查看grub是否设置密码 
cat /etc/lilo.conf|grep password 查看lilo是否设置密码 
备份方法：  cp -p /etc/grub.conf /etc/grub.conf_bak #cp -p /etc/lilo.conf /etc/lilo.conf_bak
加固方法：为grub或lilo设置密码 
风险：etc/grub.conf通常会链接到/boot/grub/grub.conf

12.banner伪装

vim /etc/rc.d/rc.local
echo "Kernel $(uname -r) on $a $(uname -m)" >/etc/issue echo "Kernel \r on an \m" >>
/etc/issue cp -f /etc/issue /etc/issue.net echo >> /etc/issue

13.Apache banner

找到ServerTokens和ServerSignature两个directive，修改其默认属性
如下，使用不回显版本号： ServerTokens prod ServerSignature Off

14.禁用快捷键关机

vim /etc/inittab
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now