Linux系统安全配置的一些规则(整理)

Linux系统安全配置的一些规则

 

1.设置口令最小长度和最短使用时间
口令是系统中认证用户的主要手段，系统安装时默认的口令最小长度通常为5，但为保证口令不易被猜测

攻击，可增加口令的最小长度，至少等于8。
修改文件/etc/login.defs中参数PASS_MIN_LEN。同时应限制口令使用时间，保证定期更换口令，修改参

数PASS_MIN_DAYS。
2.用户超时注销
编辑文件/etc/profile，在“HISTFILESIZE=”行的下一行增加如下一行：
TMOUT=600
则所有用户将在10分钟无操作后自动注销。
3.禁止访问重要文件
对于系统中的某些关键性文件如inetd.conf、services和lilo.conf等可修改其属性，防止意外修改和被

普通用户查看。
首先改变文件属性为600：
# chmod 600 /etc/inetd.conf
保证文件的属主为root，然后还可以将其设置为不能改变：
# chattr +i /etc/inetd.conf
这样，对该文件的任何改变都将被禁止。
只有root重新设置复位标志后才能进行修改：
# chattr -i /etc/inetd.conf
4.允许和禁止远程访问
在Linux中可通过/etc/hosts.allow 和/etc/hosts.deny 这2个文件允许和禁止远程主机对本地服务的访

问。通常的做法是：
（1）编辑hosts.deny文件，加入下列行：
# Deny access to everyone. ALL: ALL@ALL
则所有服务对所有外部主机禁止，除非由hosts.allow文件指明允许。
（2）编辑hosts.allow 文件，可加入下列行：
#Just an example: 　　ftp: 192.168.12.10 abc.com
则将允许IP地址为202.84.17.11和主机名为xinhuanet.com的机器作为Client访问FTP服务。
（3）设置完成后，可用tcpdchk检查设置是否正确。
5.禁止不必要的SUID程序
SUID可以使普通用户以root权限执行某个程序，因此应严格控制系统中的此类程序。
找出root所属的带s位的程序：
# find / -type f \（ -perm -04000 -o -perm -02000 \） -print 　less
禁止其中不必要的程序：
# chmod a-s program_name
6.取消不必要的服务
Linux中的大部分TCP或UDP服务都是在/etc/inetd.conf文件中设定。所以取消不必要服务的第一步就是检

查/etc/inetd.conf文件，在不要的服务前加上“＃”号。
一般来说，除了http、smtp、telnet和ftp之外，其他服务都应该取消，诸如简单文件传输协议tftp、网

络邮件存储及接收所用的imap/ipop传输协议、寻找和搜索资料用的gopher以及用于时间同步的daytime和

time等。还有一些报告系统状态的服务，如finger、efinger、systat和netstat等，虽然对系统查错和寻

找用户非常有用，但也给黑客提供了方便之门。例如，黑客可以利用finger服务查找用户的电话、使用目

录以及其他重要信息。可以将这些服务全部取消或部分取消，以增强系统的安全性。
Inetd除了利用/etc/inetd.conf设置系统服务项之外，还利用/etc/services文件查找各项服务所使用的

端口。在Linux中有两种不同的服务型态：一种是仅在有需要时才执行的服务，如finger服务；另一种是

一直在执行的永不停顿的服务。这类服务在系统启动时就开始执行，因此不能靠修改inetd来停止其服务

，只能从修改/etc/rc.d/rc[n].d/文件或用Runleveleditor去修改它。提供文件服务的NFS服务器和提供

NNTP新闻服务的news都属于这类服务，如果没有必要，最好取消这些服务。
7.限制系统的出入
Linux一般将密码加密之后，存放在/etc/passwd文件中。Linux系统上的所有用户都可以读到/etc/passwd

文件，虽然文件中保存的密码已经经过加密，但仍然不太安全。因为一般的用户可以利用现成的密码破译

工具，以穷举法猜测出密码。比较安全的方法是设定影子文件/etc/shadow，只允许有特殊权限的用户阅

读该文件。
如果要采用影子文件，必须将所有的公用程序重新编译，才能支持影子文件。这种方法比较麻烦，比较简

便的方法是采用插入式验证模块（PAM）。很多Linux系统都带有Linux的工具程序PAM，它是一种身份验证

机制，可以用来动态地改变身份验证的方法和要求，而不要求重新编译其他公用程序。此外，PAM还有很

多安全功能：它可以将传统的DES加密方法改写为其他功能更强的加密方法，以确保用户密码不会轻易地

遭人破译；它可以设定每个用户使用电脑资源的上限；它甚至可以设定用户的上机时间和地点。
8.保持最新的系统核心
Kernel是Linux操作系统的核心，它常驻内存，用于加载操作系统的其他部分，并实现操作系统的基本功

能。由于Kernel控制计算机和网络的各种功能，因此，它的安全性对整个系统安全至关重要。
在设定Kernel的功能时，只选择必要的功能，千万不要所有功能照单全收，否则会使Kernel变得很大，既

占用系统资源，也给黑客留下可乘之机。
9.设定用户账号的安全等级
除密码之外，用户账号也有安全等级，这是因为在Linux上每个账号可以被赋予不同的权限，因此在建立

一个新用户ID时，系统管理员应该根据需要赋予该账号不同的权限，并且归并到不同的用户组中。
每个账号ID应该有专人负责。在企业中，如果负责某个ID的职员离职，管理员应立即从系统中删除该账号

。很多入侵事件都是借用了那些很久不用的账号。负责某个ID的职员离职，管理员应立即从系统中删除该

账号，，如果一定要从远程登录为root权限，最好是先以普通账号登录，然后利用su命令升级为超级用户

。
10.追踪黑客的踪迹
管理人员要经常提高警惕，随时注意各种可疑状况，并且按时检查各种系统日志文件，包括一般信息日志

、网络连接日志、文件传输日志以及用户登录日志等。在检查这些日志时，要注意是否有不合常理的时间

记载。例如：
•正常用户在半夜三更登录；
•不正常的日志记录，比如日志只记录了一半就切断了，或者整个日志文件被删除了；
•用户从陌生的网址进入系统；
•因密码错误或用户账号错误被摈弃在外的日志记录，尤其是那些一再连续尝试进入失败，但却有一定模

式的试错法；
•非法使用或不正当使用超级用户权限su的指令；
•重新开机或重新启动各项服务的记录。
11.使用防火墙等其他安全工具，共同防御黑客入侵

具体操作方法：
     Linux下用户组安全设置
     chmod o-r /etc/passwd //让其他用户得不到passwd里的信息
     chmod o-r /etc/group //让其他用户得不到group里的信息
     chgrp apache /etc/passwd /etc/group //把passwd与group改为apache组
     权限设置
     cd /
     chmod o-r *
     cd /usr
     chmod o-r *
     cd /var
     chmod o-r *
     chmod go-r /etc/httpd/conf
     chmod go-rx /etc/rc.d/init.d
     chmod o-r