CentOS安全配置

最新推荐文章于 2023-08-17 14:49:23 发布

samginshen

最新推荐文章于 2023-08-17 14:49:23 发布

阅读量1k

点赞数

分类专栏： Linux

本文链接：https://blog.csdn.net/samginshen/article/details/104852585

版权

Linux 专栏收录该内容

3 篇文章 0 订阅

订阅专栏

工作主要以CentOS为主，以下为系统安全配置总结

系统文件有风险操作需谨慎，修改配置前请备份相关文件。

root用户设置ls,rm命令别名

echo $SHELL 
#1)如果输出csh： 
vim ~/.cshrc 
#添加如下内容: 
alias ls='ls -aol' 
alias rm='rm -i' 
#2)如果输出bash: 
vim ~/.bashrc 
#添加如下内容： 
alias ls='ls -aol' 
alias rm='rm -i'

历史命令设置

#在文件/etc/profile中修改添加如下配置： 
HISTFILESIZE=5 
HISTSIZE=5

设置首先通过DNS解析IP地址，然后通过hosts文件解析；设置"/etc/hosts"文件中的主机允许拥有多个IP地址(比如有多个以太口网卡)；设置不允许对该服务器进行IP地址欺骗

vim /etc/host.conf
#修改或添加如下内容： 
order hosts,bind 
multi on 
nospoof on

打开syncookie缓解syn flood攻击

vim /etc/sysctl.conf
#修改或添加如下内容： 
net.ipv4.tcp_syncookies = 1

禁止IP源路由

vim /etc/sysctl.conf
#修改或添加如下内容： 
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

使用PAM认证模块进行su权限控制，禁止wheel组之外的用户su为root

vim /etc/pam.d/su
#修改或添加如下内容：
auth sufficient pam_rootok.so 
auth required pam_wheel.so group=wheel

获取系统中所有的系统服务和开放端口后由用户判断是否有非必要的服务和端口开启

#1、执行以下命令查看服务列表：
chkconfig --list, systemctl list-units
#查看所有服务的开启关闭列表检查基本的网络服务的开启或禁止情况，
#根据实际情况关闭不必要的服务。 
#2、查看开放的端口列表：
netstat -tuwnlp

检查屏幕锁定配置

#1.启用空闲激活 
gconftool-2 --direct --config-source xml:readwrite:/etc/gconf/gconf.xml.mandatory --type bool --set /apps/gnome-screensaver/idle_activation_enabled true 
#2.启用屏幕锁定 
gconftool-2 --direct --config-source xml:readwrite:/etc/gconf/gconf.xml.mandatory --type bool --set /apps/gnome-screensaver/lock_enabled true 
#3.设置屏保模式 
gconftool-2 --direct --config-source xml:readwrite:/etc/gconf/gconf.xml.mandatory --type string --set /apps/gnome-screensaver/mode blank-only 
#4.设置空闲激活时间
gconftool-2 --direct  --config-source xml:readwrite:/etc/gconf/gconf.xml.mandatory   --type int   --set /apps/gnome-screensaver/idle_delay 15

禁止ICMP重定向

vim /etc/sysctl.conf
net.ipv4.conf.all.accept_redirects = 0

检查是否设置允许远程访问的ip地址,检查是否设置拒绝所有远程访问

在/etc/hosts.allow中添加允许访问的IP地址范围的设置
在/etc/hosts.deny中添加拒绝所有远程访问的设置

禁止Control-Alt-Delete重启动机器命令

删掉/usr/lib/systemd/system/reboot.target文件

禁止IP路由转发

vim /etc/sysctl.conf
#修改或添加如下内容：
net.ipv4.ip_forward = 0

系统core dump状态

vim /etc/security/limits.conf
#修改或添加如下内容：
* soft core 0
* hard core 0
vim /etc/profile
#修改或添加如下内容：
ulimit -S -c 0 > /dev/null 2>&1

设置定时帐户自动登出时间。

vim /etc/profile
#文件中添加以下内容：
TMOUT=300

禁止root用户登录FTP
如果ftp服务不需要，需要关闭该服务。如果需要ftp服务，则需要配置userlist_enable为YES，userlist_deny为NO，且/etc/vsftpd/user_list文件中删除root用户。

wu-ftp

 vim /etc/ftpusers 或者 /etc/ftpd/ftpusers，#ftpusers文件中用户将禁止登录FTP
 #文件中添加以下内容：
 root

proftp

vim proftpd.conf
#注释如下内容
RootLogin on

pure-ftp

vim pure-ftpd.conf
 #文件中添加以下内容：
MinUID 100

检查snmpd服务是否开启，若开启则修改snmp默认团体名称

systemctl is-enabled snmpd#查看snmpd服务是否开启。
vim /etc/snmp/snmpd.conf
#修改默认团体名
rocommunity <团体名>

rsyslog配置安全事件日志

vim /etc/rsyslog.conf
#文件中加入如下内容： 
*.err;kern.debug;daemon.notice /var/adm/messages 
vim /etc/syslog-ng/syslog-ng.conf
#在文件中加入如下内容： 
filter f_msgs { level(err) or facility(kern) and level(debug) or facility(daemon) and level(notice); }; destination msgs { file("/var/adm/msgs"); }; log { source(src); filter(f_msgs); destination(msgs); }; 
#其中/var/adm/msgs为日志文件。如果该文件不存在，则创建该文件。
#touch /var/adm/msgs 
#修改/var/adm/msgs 权限为666
#chmod 666 /var/adm/msgs