[转载]CentOS 7部分安全配置

参考

【转】CentOS 6 服务器安全配置指南

注意事项

在开始各项操作时，一定要备份原文件用于及时恢复

禁用未使用用户

1. 进入文件vi /etc/passwd,注释下列行

   #用户
   
   #cat /etc/passwd|grep ^#
   #adm:x:3:4:adm:/var/adm:/sbin/nologin
   #lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
   #shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
   #halt:x:7:0:halt:/sbin:/sbin/halt
   #uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
   #operator:x:11:0:operator:/root:/sbin/nologin
   #games:x:12:100:games:/usr/games:/sbin/nologin
   #gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
   #ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin
   #nfsnobody:x:65534:65534:Anonymous NFS User:/var/lib/nfs:/sbin/nologin
   #postfix:x:89:89::/var/spool/postfix:/sbin/nologin
   
   #组
   
   #cat /etc/group|grep ^#
   #adm:x:4:adm,daemon
   #lp:x:7:daemon
   #uucp:x:14:
   #games:x:20:
   #gopher:x:30:
   #video:x:39:
   #dip:x:40:
   #ftp:x:50:
   #audio:x:63:
   #floppy:x:19:
   #postfix:x:89:
   

2. 关闭不使用的服务

   #chkconfig --list |grep '3:on'
   

   邮件服务，使用公司邮件服务器：

   service postfix stop
   chkconfig postfix --level 2345 off	
   

   通用unix打印服务，对服务器无用：

   service cups stop
   chkconfig cups --level 2345 off
   

   调节cpu速度用来省电，常用在Laptop上：

   service cpuspeed stop
   chkconfig cpuspeed --level 2345 off
   

   蓝牙无线通讯，对服务器无用：

   service bluetooth stop
   chkconfig bluetooth --level 2345 off
   

   系统安装后初始设定，第一次启动系统后就没用了：

   service firstboot stop
   chkconfig firstboot --level 2345 off
   

   关闭nfs服务及客户端：

   service netfs stop
   chkconfig netfs --level 2345 off
   service nfslock stop
   chkconfig nfslock --level 2345 off
   

   通过下列命令来恢复一个服务：

   service acpid start && chkconfig acpid on
   

3. 增强特殊文件权限
   给下面的文件加上不可更改属性，从而防止非授权用户获得权限

   chattr +i /etc/passwd
   chattr +i /etc/shadow
   chattr +i /etc/group
   chattr +i /etc/gshadow
   chattr +i /etc/services #给系统服务端口列表文件加锁，防止未经许可的删除或添加服务
   chattr +i /etc/pam.d/su
   chattr +i /etc/ssh/sshd_config
   

   显示文件属性

   lsattr /etc/passwd /etc/shadow /etc/services /etc/ssh/sshd_config
   

   注意：执行以上 chattr 权限修改之后，就无法添加删除用户。

   如果再要添加删除用户，需要先取消上面的设置，等用户添加删除完成之后，再执行上面的操作，例如取消只读权限chattr -i /etc/passwd。（记得重新设置只读）

4. 定期检查安全配置
   将日志移动到专用的日志服务器里，这可避免入侵者轻易的改动本地日志。下面是常见linux的默认日志文件及其用处：

   /var/log/message #记录系统日志或当前活动日志。
   /var/log/auth.log #身份认证日志。
   /var/log/cron #Crond 日志 (cron 任务).
   /var/log/maillog #邮件服务器日志。
   /var/log/secure #认证日志。
   /var/log/wtmp #历史登录、注销、启动、停机日志和，lastb命令可以查看登录失败的用户
   /var/run/utmp #当前登录的用户信息日志，w、who命令的信息便来源与此
   /var/log/yum.log #Yum 日志。