linux-安全加固基础知识

最新推荐文章于 2024-08-30 17:13:20 发布
最新推荐文章于 2024-08-30 17:13:20 发布
阅读量769 收藏 5
点赞数
分类专栏： linux基础 文章标签： linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43566203/article/details/107282189
版权

linux安全加固

1.用户账号和环境

  1. 清除系统不用的虚拟用户。

  2. 查看是否有空口令账号。

  3. 检查是否有除root以外的UID为0的用户。

  4. 检查root用户的$PATH中是否有’.'或者所有用户/组用户可写的目录

    • 超级用户的$PATH设置中如果存在这些目录可能会导致超级用户误执行一个特洛伊木马

  5. 用户的home目录许可权限设置为700

  6. 是否有用户的点文件是所有用户可读写的

  7. 为用户设置合适的缺省umask值

    1. 为用户设置缺省的umask值有助于防止用户建立所有用户可写的文件而危及用户的数据

  8. 设备系统口令策略：修改/etc/login.defs文件,将PASS_MIN_LEN最小密码长度设置为12位

  9. 限制能够su为root 的用户：#vi /etc/pam.d/su ,在文件头部添加下面这样的一行.

    这样，只有wheel组的用户可以su到root.

    操作样例：

    #usermod -G10 test 将test用户加入到wheel组

auth           required        pam_wheel.so use_uid

  1. 修改别名文件/etc/aliases：#vi /etc/aliases

    1. 注释掉不要的 #games: root #ingres: root #system: root #toor: root #uucp: root #manager: root #dumper: root #operator: root #decode: root #root: marc

      修改后执行/usr/bin/newaliases

  2. 修改帐户TMOUT值，设置自动注销时间

    1. vi /etc/profile,增加TMOUT=600

  3. 设置Bash保留历史命令的条数

    1. #vi /etc/profile，修改HISTSIZE=5

  4. 防止IP SPOOF：（不允许服务器对IP地址进行欺骗）

    1. #vi /etc/host.conf 添加：nospoof on

  5. 使用日志服务器：

2.系统访问认证和授权

  1. 限制 at/cron给授权的用户：
    1. Cron.allow和at.allow文件列出了允许允许crontab和at命令的用户名单, 在多数系统上通常只有系统管理员才需要运行这些命令。
  2. Crontab文件限制访问权限：
    1. 系统的crontab文件应该只能被cron守护进程(它以超级用户身份运行)来访问,一个普通用户可以修改crontab文件会导致他可以以超级用户身份执行任意程序。
  3. 建立恰当的警告banner:
    1. 改变登录banner可以隐藏操作系统类型和版本号和其它系统信息,这些信息可以会对攻击者有用。
  4. 限制root登录到系统控制台：
    1. 通常应该以普通用户身份访问系统,然后通过其它授权机制(比如su命令和sudo)来获得更高权限,这样做至少可以对登录事件进行跟踪
  5. 设置守护进程掩码（系统缺省的umask 值应该设定为022以避免守护进程创建所有用户可写的文件）：
    1. vi /etc/rc.d/init.d/functions，设置为 umask 022、

3.核心调整

  1. 禁止core dump：（允许core dump会耗费大量的磁盘空间）

    1. cat <<END_ENTRIES >>/etc/security/limits.conf
* soft core 0
* hard core 0
END_ENTRIES

  2. chown root:root /etc/sysctl.conf, chmod 600 /etc/sysctl.conf

  3. log_martians将进行ip假冒的ip包记录到/var/log/messages,其它核心参数使用CentOS默认值

4.关闭一些服务

  1. 关闭Mail Server
    1. 多数Unix/Linux系统运行Sendmail作为邮件服务器, 而该软件历史上出现过较多安全漏洞,如无必要,禁止该服务

5.ssh安全配置

  • vim /etc/ssh/sshd_conf

  1. 配置空闲登出的超时间隔:

    ClientAliveInterval 300 
ClientAliveCountMax 0

  2. 禁用 .rhosts 文件

    IgnoreRhosts yes

  3. 禁用基于主机的认证

    HostbasedAuthentication no

  4. 禁止 root 帐号通过 SSH 登录

    PermitRootLogin no

  5. 用警告的 Banner

    Banner /etc/issue

  6. 修改 SSH 端口和限制 IP 绑定：

  7. 安装selinux管理命令

    yum -y install policycoreutils-python
修改 port contexts（关键），需要对context进行修改
semanage port -a -t ssh_port_t -p tcp 64906
semanage port -l | grep ssh      ----查看当前SElinux 允许的ssh端口

  8. 禁用空密码:(禁止帐号使用空密码进行远程登录SSH)

    PermitEmptyPasswords no

  9. 记录日志:(确保在 sshd_config 中将日志级别 LogLevel 设置为 INFO 或者 DEBUG，可通过 logwatch or logcheck 来阅读日志。)

    LogLevel  INFO

6. 封堵openssl的Heartbleed漏洞

  1. 检测方法：在服务器上运行以下命令确认openssl版本

    # openssl version
OpenSSL 1.0.1e-fips 11 Feb 2013

  2. 以上版本的openssl存在Heartbleed bug，需要有针对性的打补丁。

    升及补丁

    #yum -y install openssl

  3. 验证：

    验证：
# openssl version -a
OpenSSL 1.0.1e-fips 11 Feb 2013
built on: Thu Jun  5 12:49:27 UTC 2014

    以上built on 的时间是2014.6.5号，说明已经修复了该漏洞。

    注：如果能够临时联网安装以上补丁，在操作上会比较简单一些。如果无法联网，则有两种处理办法：首选从安装光盘拷贝独立的rpm安装文件并更新；另一个办法是提前下载最新版本的openssl源码，编译并安装。

7.开启防火墙策略

​ 在CentOS7.0中默认使用firewall代替了iptables service。虽然继续保留了iptables命令，但已经仅是名称相同而已。除非手动删除firewall，再安装iptables，否则不能继续使用以前的iptables配置方法。以下介绍的是firewall配置方法。

**#cd /usr/lib/firewalld/services **

//该目录中存放的是定义好的网络服务和端口参数，只用于参考，不能修改。这个目录中只定义了一部分通用网络服务。在该目录中没有定义的网络服务，也不必再增加相关xml定义，后续通过管理命令可以直接增加。

#cd /etc/firewalld/services/

​ 从上面目录中将需要使用的服务的xml文件拷至这个目录中，如果端口有变化则可以修改文件中的数值。

  • # Check firewall state. firewall-cmd --state `# Check active zones.` `firewall-cmd --get-active-zones` # Check current active services. firewall-cmd --get-service `` # Check services that will be active after next reload. firewall-cmd --get-service --permanent查看firewall当前的配置信息，最后一个命令是查看写入配置文件的信息。
    # # Set permanent and reload the runtime config.``# firewall-cmd --permanent --zone=public --add-service=http``# firewall-cmd --reload``# firewall-cmd --permanent --zone=public --list-services打开HTTP服务端口并写入配置文件 从配置文件中重载至运行环境中。
    # firewall-cmd --permanent --zone=public --remove-service=https # firewall-cmd --reload从已有配置中删除一个服务端口
    # firewall-cmd --permanent --zone=public --add-port=8080-8081/tcp # firewall-cmd --reload `# firewall-cmd --zone=public --list-ports` `8080-8081/tcp` `# firewall-cmd --permanent --zone=public --list-ports` `8080-8081/tcp` `#` # firewall-cmd --permanent --zone=public --remove-port=8080-8081/tcp # firewall-cmd --reload打开或关闭一段TCP端口的方法，同理如果使用了其它非通用端口，那么也可以这么操作。
    # firewall-cmd --permanent --zone=public --add-rich-rule="rule family="ipv4" \`` source address="192.168.0.4/24" service name="http" accept"``# firewall-cmd --permanent --zone=public --remove-rich-rule="rule family="ipv4" \ source address="192.168.0.4/24" service name="http" accept"The following command allows you to open/close HTTP access to a specific IP address.

8. 启用系统审计服务

审计内容包括：系统调用、文件访问、用户登录等。编辑/etc/audit/audit.rules,在文中添加如下内容：

-w /var/log/audit/ -k LOG_audit
-w /etc/audit/ -p wa -k CFG_audit
-w /etc/sysconfig/auditd -p wa -k CFG_auditd.conf
-w /etc/libaudit.conf -p wa -k CFG_libaudit.conf
-w /etc/audisp/ -p wa -k CFG_audisp
-w /etc/cups/ -p wa -k CFG_cups
-w /etc/init.d/cups -p wa -k CFG_initd_cups
-w /etc/netlabel.rules -p wa -k CFG_netlabel.rules
-w /etc/selinux/mls/ -p wa -k CFG_MAC_policy
-w /usr/share/selinux/mls/ -p wa -k CFG_MAC_policy
-w /etc/selinux/semanage.conf -p wa -k CFG_MAC_policy
-w /usr/sbin/stunnel -p x
-w /etc/security/rbac-self-test.conf -p wa -k CFG_RBAC_self_test
-w /etc/aide.conf -p wa -k CFG_aide.conf
-w /etc/cron.allow -p wa -k CFG_cron.allow
-w /etc/cron.deny -p wa -k CFG_cron.deny
-w /etc/cron.d/ -p wa -k CFG_cron.d
-w /etc/cron.daily/ -p wa -k CFG_cron.daily
-w /etc/cron.hourly/ -p wa -k CFG_cron.hourly
-w /etc/cron.monthly/ -p wa -k CFG_cron.monthly
-w /etc/cron.weekly/ -p wa -k CFG_cron.weekly
-w /etc/crontab -p wa -k CFG_crontab
-w /var/spool/cron/root -k CFG_crontab_root
-w /etc/group -p wa -k CFG_group
-w /etc/passwd -p wa -k CFG_passwd
-w /etc/gshadow -k CFG_gshadow
-w /etc/shadow -k CFG_shadow
-w /etc/security/opasswd -k CFG_opasswd
-w /etc/login.defs -p wa -k CFG_login.defs
-w /etc/securetty -p wa -k CFG_securetty
-w /var/log/faillog -p wa -k LOG_faillog
-w /var/log/lastlog -p wa -k LOG_lastlog
-w /var/log/tallylog -p wa -k LOG_tallylog
-w /etc/hosts -p wa -k CFG_hosts
-w /etc/sysconfig/network-scripts/ -p wa -k CFG_network
-w /etc/inittab -p wa -k CFG_inittab
-w /etc/rc.d/init.d/ -p wa -k CFG_initscripts
-w /etc/ld.so.conf -p wa -k CFG_ld.so.conf
-w /etc/localtime -p wa -k CFG_localtime
-w /etc/sysctl.conf -p wa -k CFG_sysctl.conf
-w /etc/modprobe.conf -p wa -k CFG_modprobe.conf
-w /etc/pam.d/ -p wa -k CFG_pam
-w /etc/security/limits.conf -p wa -k CFG_pam
-w /etc/security/pam_env.conf -p wa -k CFG_pam
-w /etc/security/namespace.conf -p wa -k CFG_pam
-w /etc/security/namespace.init -p wa -k CFG_pam
-w /etc/aliases -p wa -k CFG_aliases
-w /etc/postfix/ -p wa -k CFG_postfix
-w /etc/ssh/sshd_config -k CFG_sshd_config
-w /etc/vsftpd.ftpusers -k CFG_vsftpd.ftpusers
-a exit,always -F arch=b32 -S sethostname
-w /etc/issue -p wa -k CFG_issue
-w /etc/issue.net -p wa -k CFG_issue.net
重启audit服务

#service auditd  restart

9.部署完整性检查工具软件

AIDE(Advanced Intrusion Detection Environment,高级入侵检测环境)是个入侵检测工具，主要用途是检查文档的完整性。

AIDE能够构造一个指定文档的数据库，他使用aide.conf作为其配置文档。AIDE数据库能够保存文档的各种属性，包括：权限(permission)、索引节点序号(inode number)、所属用户(user)、所属用户组(group)、文档大小、最后修改时间(mtime)、创建时间(ctime)、最后访问时间(atime)、增加的大小连同连接数。AIDE还能够使用下列算法：sha1、md5、rmd160、tiger，以密文形式建立每个文档的校验码或散列号。

在系统安装完毕，要连接到网络上之前，系统管理员应该建立新系统的AIDE数据库。这第一个AIDE数据库是系统的一个快照和以后系统升级的准绳。数据库应该包含这些信息：关键的系统二进制可执行程式、动态连接库、头文档连同其他总是保持不变的文档。这个数据库不应该保存那些经常变动的文档信息，例如：日志文档、邮件、/proc文档系统、用户起始目录连同临时目录

  1. 安装方法：

    #yum -y install aide

注：如果主机不能联网安装AIDE，那么也可以从安装光盘拷贝至目标主机

  1. 检验系统文件完整性的要求：

    ​ 因为AIDE可执行程序的二进制文档本身可能被修改了或数据库也被修改了。因此，应该把AIDE的数据库放到安全的地方，而且进行检查时要使用确保没有被修改过的程序，最好是事先为AIDE执行程序生成一份MD5信息。再次使用AIDE可执行程序时，需要先验证该程序没有被篡改过。

  2. 配置说明：

    参数注释
    /etc/aide.conf配置文件
    databaseAide读取文档数据库的位置，默认为/var/lib/aide，默认文件名为aide.db.gz
    database_outAide生成文档数据库的存放位置，默认为/var/lib/aide，默认文件名为aide.db.new.gz
    database_new在使用aide --compare命令时，需要在aide.conf中事先设置好database_new并指向需要比较的库文件
    report_url/var/log/aide，入侵检测报告的存放位置
    其它参数继续使用默认值即可。

  3. 建立，更新样本库：

    • 执行初始化，建立第一份样本库

      # aide --init

      # cd /var/lib/aide/

      # mv aide.db.new.gz aide.db.gz //替换旧的样本库

    • 更新到样本库

      #aide --update

      # cd /var/lib/aide/

      # mv aide.db.new.gz aide.db.gz //替换旧的样本库

  4. 执行aide入侵检测：

    • 查看入侵检测报告

      #aide --check

      报告的详细程度可以通过-V选项来调控，级别为0-255，-V0 最简略，-V255 最详细。或

      #aide --compare

      这个命令要求在配置文件中已经同时指定好了新、旧两个库文件。

    • 保存入侵检测报告（将检查结果保存到其他文件）

      aide --check --report=file：/tmp/aide-report-20120426.txt

    • 3）定期执行入侵检测，并发送报告

      # crontab -e

      45 17 * * * /usr/sbin/aide -C -V4 | /bin/mail -s “AIDE REPORT $（date +%Y%m%d）” abcdefg#163.com

      或

      45 23 * * * aide -C >> /var/log/aide/‘date +%Y%m%d’_aide.log

      记录aide可执行文件的md5 checksum：

      #md5sum /usr/sbin/aide

    10.部署系统监控环境

    该段落因为需要安装或更新较多的依赖包，所以目前仅作为参考。

    为了在将来合适的时候，可以支持通过一台集中的监控主机全面监控主机系统和网络设备的运行状态、网络流量等重要数据，可以在安全加固主机的系统中预先安装和预留了系统监控软件nagios和cacti在被监控主机中需要使用的软件支撑环境。

    由于以下软件在安装过程中需要使用源码编译的方式，由此而引发需要安装GCC和OPENSSL-DEVEL。而为了安装GCC和OPENSSL-DEVEL而引发的依赖包的安装和更新大约有20个左右。这就违返了安全加固主机要保持最小可用系统的设计原则，所以该部分监控软件支撑环境的部署工作不作为默认设置，但仍然通过下文给出了部署参考，以用于系统运行运维过程中需要部署全局性监控系统时使用。

    1）安装net-snmp服务

    #yum -y install net-snmp

    #chkconfig snmpd off —将该服务设置为默认关闭，这里只是为以后部署cacti先预置一个支撑环境

    如果不能联网安装，则可以使用安装光盘，并安装以下几个rpm包：

    lm_sensors ， net-snmp , net-snmp-libs , net-snmp-utils

    2）安装nagios-plugin和nrpe

    a. 增加用户&设定密码

    # useradd nagios

    # passwd nagios

    b. 安装Nagios 插件

    # tar zxvf nagios-plugins-2.0.3.tar.gz

    # cd nagios-plugins-2.0.3

    # ./configure --prefix=/usr/local/nagios

    # make && make install

    这一步完成后会在/usr/local/nagios/下生成三个目录include、libexec和share。

    修改目录权限

    # chown nagios.nagios /usr/local/nagios

    # chown -R nagios.nagios /usr/local/nagios/libexec

    c. 安装NRPE

    # tar zxvf nrpe-2.15.tar.gz

    # cd nrpe-2.15

    # ./configure

    # make all

    接下来安装NPRE插件，daemon和示例配置文件。

    c.1 安装check_nrpe 这个插件

    # make install-plugin

    监控机需要安装check_nrpe 这个插件，被监控机并不需要，在这里安装它只是为了测试目的。

    c.2 安装deamon

    # make install-daemon

    c.3 安装配置文件

    # make install-daemon-config

    现在再查看nagios 目录就会发现有5个目录了

二.日志分析

  1. 安全日志**/var/log/secure**

    作用：安全日志secure包含验证合授权方面信息

    分析：是否有IP爆破成功

指尖上的年轮
关注
专栏目录
网安等保-主机安全测评之Linux服务器Ubuntu-22.04-LTS操作系统安全加固制作基线系统脚本分享与实践...
WeiyiGeek 唯一极客IT知识分享
08-25 2069
关注WeiyiGeek每天带你玩转网络安全运维、应用开发、物联网IOT学习！0x00 前言简述0x01 加固实践📖 帮助文档🏃 脚本使用0x00 前言简述描述: Ubuntu 22.04 LTS 是Canonical于2022年4月21日发布的操作系统，代号为Jammy Jellyfish（果酱水母）, 其采用GNOME电源配置文件和流线型工作空间过渡，提高优化图形驱动程序上的桌面帧速率，使用新的加密算法迁移到OpenSSL v3以提高安全性,并且为内存安全的系统级编程添加了Rus。.........
Linux安全加固
qq_58317810的博客
05-04 4233
目录 Linux安全加固——账户管理 Linux安全加固-服务管理 Linux安全加固-权限管理 Linux安全加固——账户管理 1、口令锁定策略 查看配置文件：more /etc/pam.d/password-auth auth required pam_tally2.so deny=5 onerr=fail unlock_time=300 even_deny_root=5 root_unlock_time=600 普通账户五次密码错误，300s后重试。root账户五次密码错误后，300..
Linux的安全加固
qq_63501912的博客
02-10 1852
linux安全加固
Linux宝塔面板SSH(sshd)终极安全加固指南
最新发布
相逢的人会再相逢
08-30 866
这通常是现代系统中的默认设置，但是检查其是否正确配置仍然很重要。通过打印最后一次登录的日期和时间，用户可以意识到未经授权的账户登录事件，这将对进一步调查无法识别的访问提供帮助。全选代码复制这是条安全的捷径。在本文中，我介绍了许多选项来帮助保护你的SSH服务，正如我在简介中所述，每种设置的可用性取决于您，只有您可以权衡这些设置的便利性和安全性。了解可用的选项是一个好的开始，我认为本文涵盖了有关安全方面的大多数选项，如果你使用了本文所有的配置，那么你的配置将超过《美国国防信息系统局安全技术信息指南》的要求。
linux安全加固
11-27
linux等保三级安全加固操作手册和说明文档，批量执行加固脚本。
系统加固基础知识 - 2015.12.08-chen
05-24
以下将详细介绍系统加固的基础知识，特别是Linux和Windows系统的加固方法。 Linux安全加固: 1. Linux系统信息查看: - 查看内核信息: 使用命令`uname -a`可查看当前系统的内核信息。 - 查看所有软件包: `rpm -qa`...
Linux安全加固.pdf
07-30
以下内容将详细阐述Linux安全加固相关的知识点，包括系统加固、中间件加固和数据库加固。 首先，Linux系统的加固涵盖了基础操作系统的配置和安全强化。在基础操作系统加固中，需要了解Linux文件系统的布局以及重要...
Python-用于检查Linux内核配置中加固选项的脚本
08-11
在IT安全领域，确保操作系统的安全性至关重要，尤其是对于服务器和关键基础设施。Linux内核的加固配置可以增强系统安全，防止恶意攻击。这个“Python-用于检查Linux内核配置中加固选项的脚本”是为了帮助管理员识别...
Linux系统安全加固与黑客防御基础
Linux系统安全基础 ## 1.1 Linux系统架构和特点 Linux操作系统是一种开源的Unix-like操作系统，具有稳定性高、安全性好等特点。其架构包括内核空间和用户空间，内核空间负责管理硬件资源和提供系统调用接口，用户...
Linux系统的安全加固
m0_60052233的博客
09-10 790
账号安全基线 查看空⼝令和root权限的账号 建立一个uid为0的用户并且使改密码为空值 查看空口令账号命令 awk -F: '($2=="")' /etc/shadow 查看uid为0的账号命令 awk -F: '($3==0)' /etc/passwd 锁定多余⽤户锁定⽤户： 修改/etc/passwd⽂件，将需要锁定的⽤户的shell设为/sbin/nologin 或通过#passwd -l username锁定账户...
Linux 系统的安全加固
热门推荐
CSDN
01-04 1万+
Linux是一套免费使用和自由传播的类Unix操作系统，作为一个开放源代码的操作系统，Linux服务器以其安全、高效和稳定的显著优势而得以广泛应用，但如果不做好权限的合理分配，Linux系统的安全性还是会得不到更好的保障，下面我们将主要使用RHEL7系统，分别从账户安全、登录控制，SeLinux配置等，优化Linux系统的安全性。umask 值用于设置文件的默认属性，系统默认的Umask 值是0022，也就是U权限不动，G权限减去2，O权限减2，这里为了防止上传一句话木马，我们将系统的Umask值改为。
linux系统安全加固
ting_liang的博客
07-12 1030
执行命令:ls -l /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/hosts.allow/etc/hosts.allow /etc/services /etc/ssh/sshd_config 查看文件权限。4、执行命令：vi/etc/rsyslog.conf 查看authpriv值 将其设置为 authpriv.*/var/log/secure#将 authpirv 的任何级别的信息记录到 /var/log/secure 文件中。
Linux操作系统安全加固
因上努力，果上随缘。但行好事，莫问前程。
09-02 753
【代码】Linux操作系统安全加固。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值