本文旨在指導系統管理人員或安全檢查人員進行Linux操作系統的安全合規性檢查和加固。 |
減少系統無用賬號,降低安全風險。
操作步驟
檢查是否存在空口令和root權限的賬號。
操作步驟
1. 查看空口令和root權限賬號,確認是否存在異常賬號:
- 使用命令 awk -F: '($2=="")' /etc/shadow 查看空口令賬號。
- 使用命令 awk -F: '($3==0)' /etc/passwd 查看UID爲零的賬號。
2.加固空口令賬號:
- 使用命令 passwd <用戶名> 爲空口令賬號設定密碼。
- 確認UID爲零的賬號只有root賬號。
加強口令的複雜度等,降低被猜解的可能性。
操作步驟
1.使用命令 vi /etc/login.defs 修改配置文件。
- PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數
- PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數
- PASS_WARN_AGE 7 #新建用戶的密碼到期提前提醒天數
2.使用chage命令修改用戶設置。
例如,chage -m 0 -M 30 -E 2000-01-01 -W 7 <用戶名>表示將此用戶的密碼最長使用天數設爲30,最短使用天數設爲0,密碼2000年1月1日過期,過期前七天警告用戶。
3.設置連續輸錯三次密碼,賬號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth修改配置文件,在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。
限制能su到root的用戶。
操作步驟
使用命令 vi /etc/pam.d/su修改配置文件,在配置文件中添加行。例如,只允許test組用戶su到root,則添加 auth required pam_wheel.so group=test。
限制root用戶直接登錄。
操作步驟
1.創建普通權限賬號並配置密碼,防止無法遠程登錄;
2.使用命令 vi /etc/ssh/sshd_config修改配置文件將PermitRootLogin的值改成no,並保存,然後使用service sshd restart重啓服務。
關閉不必要的服務(如普通服務和xinetd服務),降低風險。
操作步驟
使用命令systemctl disable <服務名>設置服務在開機時不自動啓動。
說明:對於部分老版本的Linux操作系統(如CentOS 6),可以使用命令chkconfig \--level <init級別> <服務名> off設置服務在指定init級別下開機時不自動啓動。
對SSH服務進行安全加固,防止暴力破解成功。
操作步驟
使用命令 vim /etc/ssh/sshd_config 編輯配置文件。
- 不允許root賬號直接登錄系統。
設置 PermitRootLogin 的值爲 no。
- 修改SSH使用的協議版本。
設置 Protocol 的版本爲 2。
- 修改允許密碼錯誤次數(默認6次)。
設置 MaxAuthTries 的值爲 3。
配置文件修改完成後,重啓sshd服務生效。
設置默認的umask值,增強安全性。
操作步驟
使用命令 vi /etc/profile 修改配置文件,添加行 umask 027, 即新創建的文件屬主擁有讀寫執行權限,同組用戶擁有讀和執行權限,其他用戶無權限。
設置系統登錄後,連接超時時間,增強安全性。
操作步驟
使用命令 vi /etc/profile 修改配置文件,將以 TMOUT= 開頭的行註釋,設置爲TMOUT=180,即超時時間爲三分鐘。
啓用日誌功能,並配置日誌記錄。
操作步驟
Linux系統默認啓用以下類型日誌:
- 系統日誌(默認)/var/log/messages
- cron日誌(默認)/var/log/cron
- 安全日誌(默認)/var/log/secure
注意:部分系統可能使用syslog-ng日誌,配置文件爲:/etc/syslog-ng/syslog-ng.conf。
您可以根據需求配置詳細日誌。
通過腳本代碼實現記錄所有用戶的登錄操作日誌,防止出現安全事件後無據可查。
操作步驟
1.打開配置文件
[root@xxx /]# vim /etc/profile
2.在配置文件中輸入以下內容:
history USER=`whoami` USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'` if [ "$USER_IP" = "" ]; then USER_IP=`hostname` fi if [ ! -d /var/log/history ]; then mkdir /var/log/history chmod 777 /var/log/history fi if [ ! -d /var/log/history/${LOGNAME} ]; then mkdir /var/log/history/${LOGNAME} chmod 300 /var/log/history/${LOGNAME} fi export HISTSIZE=4096 DT=`date +"%Y%m%d_%H:%M:%S"` export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT" chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null
3.運行加載配置生效。
[root@xxx /]# source /etc/profile
注意:/var/log/history 是記錄日誌的存放位置,可以自定義。
通過上述步驟,可以在 /var/log/history 目錄下以每個用戶爲名新建一個文件夾,每次用戶退出後都會產生以用戶名、登錄IP、時間的日誌文件,包含此用戶本次的所有操作(root用戶除外)。