【服务】Linux系统安全加固手册
麒麟系统安全加固手册
麒麟系统安全加固手册摘要：1.麒麟系统的概述2.麒麟系统的安全问题3.麒麟系统安全加固的方法4.麒麟系统安全加固手册的使用建议正文：麒麟系统作为我国自主研发的操作系统，具有较高的安全性能，但依然可能存在潜在的安全风险。
为了提高麒麟系统的安全性，我们需要对其进行安全加固。
下面我们将详细介绍麒麟系统的安全问题以及如何进行安全加固。
首先，麒麟系统的概述。
麒麟系统是我国自主研发的一款操作系统，其具有高性能、高安全性、易于使用等特点。
在我国政府部门、企事业单位等领域得到了广泛的应用。
然而，随着麒麟系统应用范围的扩大，其面临的安全风险也在逐渐增加。
其次，麒麟系统的安全问题。
麒麟系统作为一款操作系统，其安全性能是至关重要的。
然而，在实际应用中，麒麟系统仍然可能存在潜在的安全风险，如系统漏洞、恶意软件攻击等。
这些问题需要我们采取措施进行解决。
接着，麒麟系统安全加固的方法。
为了提高麒麟系统的安全性，我们需要对其进行安全加固。
安全加固的方法包括：定期更新系统补丁、安装安全防护软件、强化系统访问控制等。
通过这些方法，我们可以有效提高麒麟系统的安全性能。
最后，麒麟系统安全加固手册的使用建议。
为了方便用户进行麒麟系统安全加固，我们提供了一份麒麟系统安全加固手册。
使用建议如下：1.仔细阅读手册，了解麒麟系统的安全加固方法。
2.根据实际情况，制定合适的安全加固策略。
3.在进行安全加固时，务必遵循操作规程，避免误操作导致系统损坏。
4.定期对系统进行安全检查，确保加固效果。
总之，麒麟系统安全加固手册为我们提供了一套实用的安全加固方法。
LINUX安全加固手册
LINUX安全加固手册目录1概述 (3)2 安装 (3)3 用户帐号安全Password and account security (4)3.1 密码安全策略 (4)3.2 检查密码是否安全 (4)3.3 Password Shadowing (4)3.4 管理密码 (4)3.5 其它 (5)4 网络服务安全(Network Service Security) (5)4.1服务过滤Filtering (6)4.2 /etc/inetd.conf (7)4.3 R 服务 (7)4.4 Tcp_wrapper (7)4.5 /etc/hosts.equiv 文件 (8)4.6 /etc/services (8)4.7 /etc/aliases (8)4.8 NFS (9)4.9 Trivial ftp (tftp) (9)4.10 Sendmail (9)4.11 finger (10)4.12 UUCP (10)4.13 World Wide Web (WWW) – httpd (10)4.14 FTP安全问题 (11)5 系统设置安全(System Setting Security) (12)5.1限制控制台的使用 (12)5.2系统关闭Ping (12)5.3关闭或更改系统信息 (12)5.4 /etc/securetty文件 (13)5.5 /etc/host.conf文件 (13)5.6禁止IP源路径路由 (13)5.7资源限制 (13)5.8 LILO安全 (14)5.9 Control-Alt-Delete 键盘关机命令 (14)5.10日志系统安全 (15)5.11修正脚本文件在“/etc/rc.d/init.d”目录下的权限 (15)6 文件系统安全(File System Security) (15)6.1文件权限 (15)6.2控制mount上的文件系统 (16)6.3备份与恢复 (16)7 其它 (16)7.1使用防火墙 (16)7.2使用第三方安全工具 (16)1概述近几年来Internet变得更加不安全了。
如何进行Linux系统安全加固
如何进行Linux系统安全加固Linux系统是业界广泛使用的一种操作系统，但是由于其开放源代码的特性，也使得其安全性面临一定的挑战。
为了保护服务器和应用程序的安全，对Linux系统进行安全加固是至关重要的。
本文将介绍如何进行Linux系统的安全加固，以保护系统免受潜在的威胁。
一、更新系统和软件第一步，在进行任何安全加固之前，确保您的Linux系统和软件都是最新的版本。
及时更新系统和软件补丁是保持系统安全的基本要求。
二、限制用户权限1. 禁止root用户登录：root用户是Linux系统的超级管理员，拥有最高权限。
为了防止黑客直接攻击root账号，应禁止root用户登录，并使用普通用户登录系统进行操作。
2. 限制用户权限：给予用户最小的权限，仅赋予其完成工作所需的权限，避免非必要的系统访问权限。
三、配置防火墙配置防火墙可以阻止不明访问和恶意攻击，增强系统安全性。
1. 启用iptables：iptables是Linux系统的防火墙工具，使用它可以配置规则来过滤和管理网络通信。
通过配置iptables，可以限制对系统的访问，仅允许必要的端口和协议。
2. 限制网络访问：通过防火墙，限制外部网络对服务器的访问。
例如，可以只开放HTTP和SSH端口，并禁止其他不必要的端口。
四、加密通信为了保护敏感数据的机密性，对Linux系统中的通信进行加密是必要的。
1. 使用SSH协议：SSH（Secure Shell）是一种加密通信协议，可以安全地远程登录和执行命令。
使用SSH协议代替传统的明文传输协议，如Telnet，可以保护用户的登录凭证免受攻击。
2. HTTPS配置：对于运行Web服务器的系统，配置HTTPS协议可以加密网站与用户之间的通信，确保数据的机密性和完整性。
五、强化密码策略强密码是保护系统安全的一个重要环节。
通过实施强密码策略，可以降低系统遭受密码攻击的风险。
1. 密码复杂度要求：要求用户设置复杂的密码，包含大小写字母、数字和特殊字符，并定期更换密码。
系统安全加固参考信息
Linux 系统安全加固参照信息目录1 操作系统安全 -身份鉴识 31.1 对登录操作系统的用户进行身份表记和鉴识31.2 最小密码长度 31.3 密码复杂度 31.4 密码词典 41.5 系统密码使用时间41.6 对失败登录的次数进行限制41.7 密码重复使用次数设置51.8SSH服务 IP，端口，协议，同意密码错误的次数，网络中同意翻开的会话数 51.9root 账号远程登录设置51.10防备任何人使用su 命令连结 root 用户 61.11系统 Banner设置 62 操作系统安全 -接见控制 72.1 改正帐户口令，改正默认帐户的接见权限72.2 删除剩余的、过期的帐户，防止共享帐户的存在72.3 限制超级管理员远程登录83 操作系统安全 -入侵防备 83.1 仅安装需要的应用程序，封闭不需要的服务和端口83.2 封闭不用要的服务83.3 网络接见控制策略94 操作系统安全 -资源控制 94.1 依据安全策略设置登录终端的安闲超时断开会话或锁定94.2 文件创立初始权限94.3 设置适合的历史命令数目94.4 系统磁盘节余空间充分知足近期的业务需求104.5 检查并记录操作系统的分区状况和文件系统利用率105 操作系统安全—日记105.1 日记功能开启 105.2 失败登录日记监控115.3syslog日记等级的安全配置115.4 安全审计谋略 115.5 系统日记记录 125.6 启用记录 cron 行为日记功能和cron/at 的使用状况 126 操作系统安全 -系统安全 126.1 补丁管理 126.2 检查并记录系统开启的网络端口136.3 封闭无效服务和启动项136.4 仅同意特定 IP 同意接见服务 147 操作系统安全 ---其余服务安全 147.1FTP配置文件 147.2R族文件 157.3NFS文件系统配置状况检查157.4FTP用户及服务安全151操作系统安全 -身份鉴识1.1 对登录操作系统的用户进行身份表记和鉴识要求解决方法需对全部的帐号设置密码，要求在登岸系统时一定输进口令进行身份考证。
linux系统安全加固方案
1 概述............................... - 1 -1.1 适用范围......................... - 1 -2 用户账户安全加固 ........................ - 1 -2.1 修改用户密码策略..................... - 1 - 2.2 锁定或删除系统中与服务运行，运维无关的的用户........ - 1 -2.3 锁定或删除系统中不使用的组................ - 2 -2.4 限制密码的最小长度..................... - 2 -3 用户登录安全设置 ........................ - 3 -3.1 禁止 root 用户远程登录.................. - 3 -3.2 设置远程 ssh 登录超时时间................. - 3 - 3.3 设置当用户连续登录失败三次，锁定用户30分钟........ - 4 -3.4 设置用户不能使用最近五次使用过的密码............ - 4 -3.5 设置登陆系统账户超时自动退出登陆.............. - 5 -4 系统安全加固........................... -5 - 4.1 关闭系统中与系统正常运行、业务无关的服务.......... - 5 -4.2 禁用“ CTRL+ALT+DEL重启系统................. -6 -4.3 加密 grub 菜单....................... - 6 -1概述1.1适用范围本方案适用于银视通信息科技有限公司linux主机安全加固，供运维人员参考对linux 主机进行安全加固。
2用户账户安全加固2.1修改用户密码策略（1）修改前备份配置文件：/etc/logi n.defscp /etc/login.defs /etc/login.defs.bak（2）修改编辑配置文件：vi /etc/login.defs ，修改如下配置：PASS_MAX_DAYS 90 （用户的密码不过期最多的天数）PASS_MIN_DAYS 0 （密码修改之间最小的天数）PASS_MIN_LEN 8 （密码最小长度）PASS_WARN_AGE 7 （口令失效前多少天开始通知用户更改密码）（3）回退操作〜］# cp /etc/login.defs.bak /etc/login.defs2.2锁定或删除系统中与服务运行，运维无关的的用户（1）查看系统中的用户并确定无用的用户~]# more /etc/passwd（2）锁定不使用的账户（锁定或删除用户根据自己的需求操作一项即可）锁定不使用的账户：~]# usermod -L username或删除不使用的账户:〜]# userdel -f username(3) 回退操作用户锁定后当使用时可解除锁定，解除锁定命令为:~]# usermod -U username2.3锁定或删除系统中不使用的组(1) 操作前备份组配置文件/etc/group~]# cp /etc/group /etc/group.bak(2) 查看系统中的组并确定不使用的组~]# cat /etc/group(3) 删除或锁定不使用的组锁定不使用的组：修改组配置文件/etc/group，在不使用的组前加“ #”注释掉该组即可删除不使用的组：~]# groupdel groupname（4）回退操作~]# cp /etc/group.bak /etc/group2.4限制密码的最小长度（1）操作前备份组配置文件/etc/pam.d/system-auth~]# cp /etc/pam.d /etc/pam.d.bak（2）设置密码的最小长度为8修改配置文件 /etc/pam.d, 在行” password requisite pam_pwquality.so try_first_pass local_users_o nly retry=3 authtok_type= ”中添加“ minlen=8 ”，或使用 sed 修改：〜]# sed -i "s#password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=#password requisite pam_pwquality.so try_first_pass local_users_only retry=3 minlen=8authtok_type=#g" /etc/pam.d/system-auth(3) 回退操作~]# cp /etc/pam.d.bak /etc/pam.d3用户登录安全设置3.1禁止root用户远程登录（1）修改前备份ssh配置文件/etc/ssh/sshd_conf~]# cp /etc/ssh/sshd_conf /etc/ssh/sshd_conf.bak（2）修改ssh服务配置文件不允许root用户远程登录编辑/etc/ssh/sshd_config 找到“#PermitRootLogin yes”去掉注释并修改为“ PermitRootLogin no ”或者使用sed修改，修改命令为：~]# sed -i "s@#PermitRootLogin yes@PermitRootLogin no@g" /etc/ssh/sshd_config（3）修改完成后重启ssh服务Centos6.x 为：~]# service sshd restartCentos7.x 为：~]# systemctl restart sshd.service（4）回退操作~]# cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config3.2设置远程ssh登录超时时间（1）修改前备份ssh服务配置文件/etc/ssh/sshd_config~]# cp /etc/ssh/sshd_conf /etc/ssh/sshd_conf.bak（2）设置远程ssh登录长时间不操作退出登录编辑 /etc/ssh/sshd_co nf 将”Clie ntAlivel nterval 0”修改为”ClientAlivelnterval 180 ”，将”ClientAliveCountMax 3 ”去掉注释，或执行如下命令：〜]# sed -i "s@#ClientAlivelnterval 0@ClientAliveInterval 180@g"/etc/ssh/sshd_config〜]# sed -i "s@#ClientAliveCountMax 3@ClientAliveCountMax 3@g" /etc/ssh/sshd_config（3）配置完成后保存并重启ssh服务Centos6.x 为：~]# service sshd restartCentos7.x 为:~]# systemctl restart sshd.service（4）回退操作~]# cp /etc/ssh/sshd_config.bak /etc/ssh/sshd_config3.3设置当用户连续登录失败三次，锁定用户30分钟（1）配置前备份配置文件/etc/pam.d/sshd~]# cp /etc/pam.d/sshd /etc/pam.d/sshd.bak（2）设置当用户连续输入密码三次时，锁定该用户30分钟修改配置文件/etc/pam.d/sshd,在配置文件的第二行添加内容auth required pam_tally2.so deny=3 unlock_time=300（3）若修改配置文件出现错误，回退即可，回退操作：~]# cp /etc/pam.d/sshd.bak /etc/pam.d/sshd3.4设置用户不能使用最近五次使用过的密码（1）配置前备份配置文件/etc/pam.d/sshd〜]# cp /etc/pam.d/system-auth /etc/pam.d/system-auth.bak(2) 配置用户不能使用最近五次使用的密码修改配置文件 /etc/pam.d/sshd, 找到行”password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok ”，在最后力卩入remember=10 或使用 sed修改~]# sed -i "s@#password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok@password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=10@g" /etc/ssh/sshd_config(3) 回退操作~]# cp /etc/pam.d/sshd.bak /etc/pam.d/sshd3.5设置登陆系统账户超时自动退出登陆(1)设置登录系统的账号长时间不操作时自动登出修改系统环境变量配置文件/etc/profile, 在文件的末尾加入”TMOUT=180使登录系统的用户三分钟不操作系统时自动退出登录。
Linux安全加固
一，登录bannar设置要求内容：修改系统banner，避免泄漏操作系统名称，版本号，主机名称等，并且给出登陆告警信息操作步骤：在缺省情况下，当你登录到linux 系统，它会告诉你该linux 发行版的名称、版本、内核版本、服务器的名称。
应该尽可能的隐藏系统信息。
首先编辑―/etc/rc.d/rc.local‖文件，在下面显示的这些行前加一个―#‖，把输出信息的命令注释掉。
# This will overwrite /etc/issue at every boot. So, make any changes you want to make to /etc/issue here or you will lose them when you reboot#echo ―‖ > /etc/issue#echo ―$R‖ >> /etc/issue#echo ―Kernel $(uname -r) on $a $(uname -m)‖ >> /etc/issue#cp -f /etc/issue /etc/#echo >> /etc/issue其次删除‖/etc‖目录下的 和issue 文件：# mv /etc/issue /etc/issue.bak# mv /etc/ /etc/.bak二，账号设置要求内容：1，应删除或锁定与设备运行、维护等工作无关的账号操作步骤：锁定或者删除用户userdel -r 用户（删除用户）锁定用户（如下）修改/etc/shadow 文件，用户名后加*LK*将/etc/passwd 文件中的shell 域设置成/bin/falsepasswd -l 用户（只有具备超级用户权限的使用者方可使用，）需要锁定的用户：listen,gdm,webservd,nobody,nobody4、noaccess。
2，使用PAM禁止任何人su为root操作步骤：编辑su文件(vim /etc/pam.d/su)，在开头添加下面两行：auth sufficient /lib/security/pam_rootok.soauth required /lib/security/pam_wheel.so group=wheel如上两行命令说明只有wheel组的成员可以使用su 命令成为root 用户。
linux加固手册v1.0（正式版）
linux加固手册v1.0（正式版）L I N U X操作系统安全加固手册版本号：1.0.0目录1概述 (1)1.1适用范围 (1)1.2外部引用说明 (1)1.3术语和定义 (1)1.4符号和缩略语 (1)2LINUX主机安全加固 (1)2.1身份鉴别 (1)2.1.1为空口令用户设置密码 (1)2.1.2缺省密码长度限制 (2)2.1.3缺省密码生存周期限制 (2)2.1.4口令过期提醒 (2)2.1.5限制超级管理员远程登录 (3)2.1.6使用 ssh 加密传输 (3)2.2访问控制 (3)2.2.1为不同的管理员分配不同的账号 (3)2.2.2去除不需要的帐号、修改默认帐号的 shell 变量 (4) 2.2.3对系统账号进行登录限制 (4)2.2.4除 root 之外 UID 为 0 的用户 (4)2.2.5设置关键目录的权限 (5)2.2.6修改 umask 值 (5)2.2.7设置目录权限 (6)2.2.8设置关键文件的属性 (6)2.2.9对 root 为 ls、rm 设置别名 (7)2.2.10使用 PAM 禁止任何人 su 为 root (7)2.3安全审计 (8)2.3.1启用日志记录功能 (8)2.3.2记录系统安全事件 (8)2.3.3启用记录 cron 行为日志功能 (8)2.3.4增加 ftpd 审计功能 (8)2.4剩余信息保护 (9)2.5入侵防范 (9)2.5.1设置访问控制列表 (9)2.5.2更改主机解析地址的顺序 (10)2.5.3打开 syncookie (10)2.5.4不响应 ICMP 请求 (10)2.5.5防 syn 攻击优化 (11)2.5.6补丁装载 (11)2.5.7关闭无效服务 (11)2.5.8关闭无效服务和进程自动启 (12)2.5.9禁止/etc/rc.d/init.d 下某些脚本的执行 (13)2.5.10加固 snmp 服务 (13)2.5.11修改 ssh 端口 (14)2.6恶意代码防范 (14)2.7资源控制 (14)2.7.1隐藏系统提示信息 (14)2.7.2设置登录超时时间 (15)2.7.3资源限制 (15)3推荐安装工具...................................................................................................................... 错误！未定义书签。
Linux系统的系统安全加固和防护措施
Linux系统的系统安全加固和防护措施随着信息技术的飞速发展，网络安全问题日益凸显。
作为一种开放源代码操作系统，Linux系统广泛应用于互联网服务器等重要领域，其系统安全加固和防护措施显得尤为重要。
本文将重点探讨Linux系统的系统安全加固和防护措施。
一、操作系统的安全加固1. 更新操作系统和软件版本：经常检查并更新操作系统和软件的最新版本，以获取最新的安全补丁和功能更新。
同时，及时删除不再使用的软件和插件，减少潜在的漏洞。
2. 强化账户和密码策略：对超级用户（root）账户和其他普通账户设定复杂的密码，并定期更换密码。
此外，禁止使用弱密码和常见密码，提高系统的安全性。
3. 配置文件权限设置：限制普通用户对系统核心配置文件的访问权限，避免恶意代码或攻击者利用改动配置文件来破坏系统稳定性。
4. 禁用不必要的服务和端口：检查系统中运行的服务和开放的端口，禁用不必要的服务和端口，减少系统的攻击面。
5. 安装防火墙：配置和启动防火墙，限制进出系统的网络流量，防止外部攻击和恶意流量的入侵。
二、访问控制和权限管理1. 用户权限管理：为每个用户分配合适的权限，限制其对系统资源和敏感文件的访问。
使用sudo（superuser do）命令，授予合适的特权给普通用户，降低系统被滥用的风险。
2. 使用访问控制列表（ACL）：通过使用ACL实现对文件和目录的详细权限控制，限制除所有者和管理员外的其他用户对文件的访问与修改。
3. 文件加密：通过使用加密文件系统或单独对敏感文件进行加密，保护数据的机密性，即使系统受到攻击，攻击者也无法窃取敏感信息。
三、日志和监控1. 日志管理：配置系统日志以记录关键事件和错误信息。
定期检查系统日志，及时发现异常和潜在威胁，并采取相应措施进行应对。
2. 实施入侵检测系统（IDS）和入侵防御系统（IPS）：部署IDS和IPS来监控系统的网络流量和行为，及时识别并阻止潜在的攻击。
3. 安全审计：进行定期的系统安全审计，发现系统中的安全漏洞和风险，及时加以修复和改进。
麒麟系统安全加固手册
麒麟系统安全加固手册摘要：一、麒麟系统安全加固手册概述1.手册的目的和适用对象2.手册的主要内容二、麒麟系统的基本安全设置1.麒麟系统的特点和安全性2.麒麟系统的默认安全设置3.麒麟系统的安全模块三、麒麟系统的安全加固措施1.更新系统补丁2.配置防火墙3.配置入侵检测系统4.限制用户权限5.加密重要文件和数据6.防止恶意软件四、麒麟系统的安全使用建议1.增强密码安全2.定期备份数据3.防止社交工程攻击4.安全使用网络服务5.避免公开暴露个人信息五、麒麟系统的安全漏洞处理1.发现安全漏洞的途径2.安全漏洞的处理流程3.安全漏洞的修复措施正文：麒麟系统安全加固手册是为了帮助用户提高麒麟操作系统安全性能而编写的。
本手册适用于麒麟系统的管理员和普通用户，旨在指导用户了解和提高麒麟系统的安全性。
麒麟系统作为一款国产操作系统，从设计之初就非常重视安全性。
系统默认的安全设置可以满足大多数用户的需求，但仍需要根据实际情况进行调整和优化。
本手册将介绍麒麟系统的安全模块，帮助用户了解系统的安全机制。
为了进一步加强麒麟系统的安全性，本手册还提供了一系列安全加固措施。
这些措施包括更新系统补丁、配置防火墙、配置入侵检测系统、限制用户权限、加密重要文件和数据、防止恶意软件等。
通过实施这些措施，用户可以大大提高麒麟系统的安全性能。
在使用麒麟系统的过程中，用户还需要注意一些安全使用建议，例如增强密码安全、定期备份数据、防止社交工程攻击、安全使用网络服务、避免公开暴露个人信息等。
这些建议可以有效降低用户在使用麒麟系统过程中面临的安全风险。
最后，本手册还介绍了如何处理麒麟系统的安全漏洞。
用户可以通过本手册了解发现安全漏洞的途径、安全漏洞的处理流程以及安全漏洞的修复措施。
对于发现的安全漏洞，用户需要及时采取措施进行修复，以保障麒麟系统的安全性能。
总之，麒麟系统安全加固手册为用户提供了全面的安全指导，帮助用户提高麒麟系统的安全性能。
Linux安全加固手册
文档本源为 :从网络收集整理.word 版本可编写 .欢送下载支持.Linux 安全加固一.账户安全1.1 锁定系统中节余的自建帐号检查方法 :执行命令#cat /etc/passwd#cat /etc/shadow查察账户、口令文件，与系统管理员确认不用要的账号。
对于一些保存的系统伪帐户如：bin, sys ，adm， uucp， lp, nuucp ， hpdb, www, daemon 等可依照需要锁定登陆。
备份方法：#cp -p /etc/passwd /etc/passwd_bak#cp -p /etc/shadow /etc/shadow_bak加固方法 :使用命令 passwd -l <用户名>锁定不用要的账号。
使用命令 passwd -u < 用户名 >解锁需要恢复的账号。
风险 :需要与管理员确认此项操作不会影响到业务系统的登录1.2 设置系统口令策略检查方法：使用命令#cat /etc/login.defs|grep PASS查察密码策略设置备份方法：加固方法：更正配置文件PASS_MAX_DAYS 90新#建用户的密码最长使用天数PASS_MIN_DAYS 0新#建用户的密码最短使用天数PASS_WARN_AGE 新7#建用户的密码到期提前提示天数PASS_MIN_LEN 9 最#小密码长度 91.3 禁用 root 之外的超级用户检查方法：#cat /etc/passwd查察口令文件，口令文件格式以下：login_name ： password：user_ID ：group_ID ： comment： home_dir ：commandlogin_name ：用户名password：加密后的用户密码user_ID ：用户 ID，(1 ~ 6000)假设用户ID=0，那么该用户拥有超级用户的权限。
查察此处可否有多个 ID=0。
group_ID ：用户组 IDcomment：用户全名或其他说明信息home_dir ：用户根目录command：用户登录后的执行命令备份方法：#cp -p /etc/passwd /etc/passwd_bak加固方法：使用命令 passwd -l <用户名>锁定不用要的超级账户。
linux加固手册
凝思
红帽
1. v4.2 /etc/pam.d/passwd 2. v6.0 /etc/pam.d/common-password auth required pam_tally.so deny=5 onerr=fail no_magic_root unlock_time=600
或auth required pam_tally2.so deny=5 onerr=fail no_magic_root unlock_time=600
检查/etc/passwd文件中uid=0只能是root账号 检查/etc/passwd文件中uid=0只能是root账号
使用pam_rootok.so认证模块认 证且配置了只允许wheel组的用户 才能su为root则合规，否则不合 是否必须？ 规。 备注:不明白。
麒麟和凝思默认不存在该文件， 默认合规
/etc/ssh/sshd_config文件 PermitRootLogin no
使用以下命令查看telnet和ssh服务状态： #chkconfig --list |grep "telnet|ssh" 如果输出有telnet，需关闭telnet服务
使用以下命令查看telnet和ssh服务状态： #chkconfig --list |grep "telnet|ssh" 如果输出有telnet，需关闭telnet服务
设置umask值，控制新建文件权限
禁用多个超级账号
系统服务 系统服务 系统服务 系统服务
系Байду номын сангаас服务
配置NFS服务限制 禁止组合键关机
1、查看系统是否存在如下NFS守护进 程:rpc.lockd， rpc.nfsd， rpc.statd， rpc.mountd 2、查看NFS服务状态： # chkconfig --list |grep nfs nfs 0:off 1:off 2:off 3:off 4:off 5:off 6:off nfslock 0:off 1:off 2:off 3:on 4:on 5:on 6:off 3、查看是否对NFS服务访问做限制： #more /etc/hosts.allow #more /etc/hosts.deny 1、不存在与NFS有关的守护进程 2、如果存在NFS守护进程，但/etc/hosts.allow设 置了允许访问nfs的远程地址且/etc/hosts.deny设 置了拒绝所有访问NFS的远程地址。 二者满足其中之一则合规，否则不合规。
通用linux系统安全加固
通用linux系统安全加固手册1帐户安全配置要求1.1创建/e t c/s h a d o w影子口令文件配置项名称设置影子口令模式检查方法执行：#more /etc/shadow查看是否存在该文件操作步骤1、执行备份：#cp –p /etc/passwd /etc/passwd_bak 2、切换到影子口令模式：#pwconv回退操作执行：#pwunconv#cp /etc/passwd_bak /etc/passwd风险说明系统默认使用标准口令模式，切换不成功可能导致整个用户管理失效1.2建立多帐户组，将用户账号分配到相应的帐户组配置项名称建立多帐户组，将用户账号分配到相应的帐户组检查方法1、执行：#more /etc/group#more /etc/shadow查看每个组中的用户或每个用户属于那个组2、确认需要修改用户组的用户操作步骤1、执行备份：#cp –p /etc/group /etc/group_bak2、修改用户所属组：# usermod –g group username回退操作执行：#cp /etc/group_bak /etc/group风险说明修改用户所属组可能导致某些应用无法正常运行1.3删除或锁定可能无用的帐户配置项名称删除或锁定可能无用的帐户检查方法1、执行：#more /etc/passwd查看是否存在以下可能无用的帐户：hpsmh、named、uucp、nuucp、adm、daemon、bin、lp 2、与管理员确认需要锁定的帐户操作步骤1、执行备份：#cp –p /etc/passwd /etc/passwd_bak 2、锁定无用帐户：#passwd -l username回退操作执行：#cp /etc/passwd_bak /etc/passwd风险说明锁定某些用户可能导致某些应用无法正常运行1.4删除可能无用的用户组配置项名称删除可能无用的用户组检查方法1、执行：#more /etc/group查看是否存在以下可能无用的用户组：lp nuucp nogroup2、与管理员确认需要删除的用户组操作步骤1、执行备份：#cp –p /etc/group /etc/group_bak 2、删除无用的用户组：#groupdel groupname回退操作执行：#cp /etc/group_bak /etc/group风险说明删除某些组可能导致某些应用无法正常运行1.5检查是否存在空密码的帐户配置项名称检查是否存在空密码的帐户检查方法执行下列命令，检查是否存在空密码的帐户logins –p应无回结果操作步骤1、执行备份：#cp –p /etc/passwd /etc/passwd_bak#cp -p /etc/shadow /etc/shadow_bak2、锁定空密码帐户或使用passwd命令设置复杂密码#passwd –l username回退操作执行：#cp –p /etc/passwd_bak /etc/passwd #cp -p /etc/shadow_bak /etc/shadow风险说明锁定某些帐户可能导致某些应用无法正常运行1.6设置口令策略满足复杂度要求配置项名称设置口令策略满足复杂度要求检查方法1、执行下列命令，检查是否存在空密码的帐户#logins –p应无返回结果2、执行：#more /etc/default/security检查是否满足以下各项复杂度参数：MIN_PASSWORD_LENGTH=6 PASSWORD_MIN_UPPER_CASE_CHARS=1 PASSWORD_MIN_LOWER_CASE_CHARS=1 PASSWORD_MIN_DIGIT_CHARS=1 PASSWORD_MIN_SPECIAL_CHARS=1操作步骤1、执行备份：#cp –p /etc/default/security /etc/default/security_bak #cp –p /etc/passwd /etc/passwd_bak2、执行下列命令，编辑/etc/default/security#vi /etc/default/security修改以下各项复杂度参数：MIN_PASSWORD_LENGTH=6PASSWORD_MIN_UPPER_CASE_CHARS=1 PASSWORD_MIN_LOWER_CASE_CHARS=1 PASSWORD_MIN_DIGIT_CHARS=1 PASSWORD_MIN_SPECIAL_CHARS=1回退操作执行：#cp /etc/default/security_bak /etc/default/security #cp /etc/passwd_bak /etc/passwd风险说明可能导致非root用户修改自己的密码时多次不成功1.7设置帐户口令生存周期配置项名称设置帐户口令生存周期检查方法执行：#more /etc/default/security查看是否存在以下各项参数：PASSWORD_MAXDAYS=90 PASSWORD_WARNDAYS=28操作步骤1、执行备份：#cp –p /etc/default/security /etc/default/security_bak #cp –p /etc/passwd /etc/passwd_bak2、执行下列命令，编辑/etc/default/security#vi /etc/default/security修改以下各项参数：PASSWORD_MAXDAYS=90PASSWORD_WARNDAYS=28回退操作执行：#cp /etc/default/security_bak /etc/default/security #cp /etc/passwd_bak /etc/passwd风险说明可能在密码过期后影响正常使用及维护1.8设定密码历史，不能重复使用最近5次（含5次）内已使用的口令配置项名称应配置设备，使用户不能重复使用最近5次（含5次）内已使用的口令检查方法执行：#more /etc/default/security查看是否存在以下参数：PASSWORD_HISTORY_DEPTH=5操作步骤1、执行备份：#cp –p /etc/default/security /etc/default/security_bak #cp –p /etc/passwd /etc/passwd_bak2、执行下列命令，编辑/etc/default/security#vi /etc/default/security修改以下参数：PASSWORD_HISTORY_DEPTH=5回退操作执行：#cp /etc/default/security_bak /etc/default/security #cp /etc/passwd_bak /etc/passwd风险说明低风险1.9限制r o o t用户远程登录配置项名称root用户远程登录限制检查方法执行：#more /etc/securetty检查是否有下列行：Console执行：#more /opt/ssh/etc/sshd_config 检查是否有PermitRootLogin no操作步骤1、执行备份：#cp –p /etc/securetty / etc/securetty_bak#cp -p /opt/ssh/etc/sshd_config /opt/ssh/etc/sshd_config_bak 2、新建一个普通用户并设置高强度密码：#useradd username#passwd username3、禁止root用户远程登录系统：#vi /etc/securetty去掉console前面的注释，保存退出#vi /opt/ssh/etc/sshd_config将PermitRootLogin后的yes改为no回退操作执行：#cp /etc/securetty_bak /etc/securetty#cp -p /opt/ssh/etc/sshd_config_bak /opt/ssh/etc/sshd_config风险说明严重改变维护人员操作习惯，必须新建一个能够执行交互式登录的普通用户并能够通过su提升权限，可能带来新的威胁1.10检查p a s s w d、g r o u p文件权限设置配置项名称检查passwd、group文件权限设置检查方法执行：#ls –l /etc/passwd /etc/group操作步骤1、执行备份：#cp –p /etc/passwd /etc/passwd_bak #cp –p /etc/group /etc/group_bak 2、修改文件权限：#chmod 644 /etc/passwd#chmod 644 /etc/group回退执行：#cp /etc/passwd_bak /etc/passwd #cp /etc/group_bak /etc/group风险说明权限设置不当可能导致无法执行用户管理，并可能造成某些应用运行异常1.11删除帐户目录下的.n e t r c/.r h o s t s/.s h o s t s文件配置项名称删除帐户目录下的.netrc/.rhosts/.shosts文件检查方法执行下列命令，检查帐户目录下是否存在.netrc/.rhosts/.shosts文件# logins -ox | cut -f6 -d: | grep /home/ | while read dir; do ls -a "$dir" ;done操作步骤1、执行备份：使用cp命令备份.netrc/.rhosts/.shosts文件2、删除文件：使用rm -f命令删除.netrc/.rhosts/.shosts文件回退操作使用cp命令恢复被删除的.netrc/.rhosts/.shosts文件风险说明可能影响需要使用远程连接的应用1.12系统u m a s k设置配置项名称系统umask设置检查方法执行：#more /etc/profile 检查系统umask值操作步骤1、执行备份：#cp -p /etc/profile /etc/profile_bak 2、修改umask设置：#vi /etc/profile将umask值修改为027，保存退出回退操作执行：#cp /etc/profile_bak /etc/profile风险说明umask设置不当可能导致某些应用无法正确自动创建目录或文件，从而运行异常2访问、认证安全配置要求2.1远程登录取消t e l n e t采用s s h配置项名称远程登录取消telnet采用ssh检查方法查看SSH、telnet服务状态：#ps –elf | grep ssh#ps –elf | grep telnetSSH服务状态查看结果为：online telnet服务状态查看结果为：disabled操作步骤1、备份#cp –p /etc/inetd.conf /etc/inetd.conf_bak2、修改/etc/inetd.conf文件，将telnet行注释掉#telnet stream tcp nowait root /usr/lbin/telnetd telnetd3、安装ssh软件包，通过#/opt/ssh/sbin/sshd start来启动SSH。
麒麟系统安全加固手册
麒麟系统安全加固手册
"麒麟系统安全加固手册" 可能是指针对麒麟操作系统（例如，麒麟Linux操作系统）进行安全加固的手册或指南。
通常，这样的手册旨在提供系统管理员、安全专业人员或其他相关人员在确保操作系统安全性方面的指导和建议。
由于我没有直接访问特定文档的能力，也不了解您具体指的是哪个版本的麒麟系统，因此无法提供具体的手册内容。
一般来说，操作系统的安全加固手册可能包括以下内容：
1.身份认证与访问控制：
•关于用户身份认证和访问控制的最佳实践，包括密码策略、用户权限等。
2.系统补丁和更新管理：
•如何及时应用操作系统的安全补丁和更新，以修复已知的漏洞。
3.网络安全配置：
•针对网络服务的配置安全建议，包括防火墙设置、网络访问控制等。
4.日志与监控：
•设置合适的系统日志和监控功能，以便及时发现异常行为和安全事件。
5.安全审计与合规性：
•如何进行系统安全审计，以确保符合相关合规性标准。
6.病毒防护和恶意软件防范：
•设置和管理防病毒软件以及其他恶意软件防范措施。
如果您是麒麟系统的用户或管理员，建议查阅官方文档、技术支持资源或联系麒麟系统的相关部门，以获取适用于特定版本的详细安全加固手册。
Linux下的系统安全加固方法
Linux下的系统安全加固方法在当今信息化时代，计算机系统的安全性显得尤为重要。
而Linux作为一种开源操作系统，其灵活性和可配置性为我们提供了强大的安全加固工具和功能。
本文将介绍一些常见的Linux下的系统安全加固方法，帮助读者加强系统的安全性。
1. 更新和升级系统保持操作系统及相关软件的最新版本是确保系统安全的第一步。
定期更新和升级系统可以及时修复系统漏洞和安全隐患，并获得最新的安全补丁和功能特性。
常用的命令包括“yum update”或“apt-get upgrade”等。
2. 安装防火墙防火墙是Linux系统保护网络安全的重要工具。
可以通过配置iptables或firewalld等工具来实现防火墙的功能。
合理配置防火墙规则可以限制网络访问、过滤恶意流量，并对可信来源进行安全访问控制。
3. 用户管理与访问控制合理的用户管理和访问控制是系统安全的核心。
建议进行以下措施：3.1. 删除不必要的用户账号清理掉无用的或未授权的用户账号，减少系统受到攻击的风险。
3.2. 强化密码策略设置密码的复杂性要求，要求用户定期更换密码，并禁止使用弱密码。
3.3. 禁止root远程登录禁止root账号通过远程方式登录，减少系统远程攻击的风险。
3.4. 使用sudo限制命令权限尽量使用sudo命令来执行特权操作，限制用户对系统的直接访问。
4. 加密通信加密通信是保障系统安全的重要环节。
可以通过配置SSL/TLS证书来加密网络通信，确保数据在传输过程中的安全性。
同时，禁止使用明文传输的协议和服务，如Telnet和FTP等。
5. 安全审计和监控通过安全审计和监控可以实时监测系统的安全状态，发现潜在的威胁和异常行为。
常见的安全审计工具有AIDE和OSSEC等，可以实时监控文件和系统的变化，并发出警报。
6. 定期备份和恢复定期备份系统和关键数据是防范数据丢失和系统崩溃的有效方法。
备份数据应存储在安全的位置，并进行定期验证和测试。
服务器安全加固手册
服务器安全加固手册一、安全策略加固：1、点击“开始”—“管理工具”—“本地安全策略”：2、点击“账户策略”—“密码策略”和“账户策略”，策略配置如下：3、点击“本地策略”—“审核策略”和“安全选项”，策略配置如下：4、点击“开始”—“管理工具”—“计算机管理”：5、点击“系统工具”—“本地用户和组”—“用户”，鼠标右击“guest”账户点击“属性”，将guest账户禁用：二、防火墙安全配置：注意：开启防火墙会导致外部主动访该问服务器的部分端口流量被阻断，如（数据库服务器中开启防火墙后，应用服务器则无法连接数据库端口），强烈建议先梳理各服务器需要开放的业务端口，在防火墙策略中放开需要使用到的业务端口，再打开、启动防火墙。
保证业务的正常运行，一旦开启防火墙发现对业务有影响则立即关闭防火墙。
1、点击“开始”—“管理工具”—“高级安全windows防火墙”：2、点击“入站规则”—“远程桌面（TCP-In）”—鼠标右击“属性”：3、点击“作用域”—“远程IP地址”中填写如下IP地址：4、点击“开始”—“网络”—右击鼠标“属性”：5、点击“windows防火墙”—“打开或关闭windows防火墙”，开启防火墙功能：三、补丁更新1、补丁更新前请将服务器进行安全备份，以免补丁更新失败造成数据丢失。
2、如果windows系统为正版授权系统，可在“开始”—“所有程序”—“windows update”—“启动自动更新”—“检查更新”，采用windows系统自动更新功能。
3、如果服务器可上网，安装360安全卫士或电脑管家等第三方软件，进行在线补丁更新，但补丁更新完后务必将该软件卸载、删除。
4、可在微软官方网站中《https:///zh-cn/》中下载高危漏洞补丁进行离线安装。
四、删除多余的第三方应用软件：删除多余的、不需要使用的第三方软件，如QQ、Teamview、输入法、浏览器等不许使用的应用软件。
五、防病毒部署：建议购买国内知名厂商防病毒软件，建议采用C/S架构的病毒集中管理方式，实现防病毒的分布式部署。
浅谈Linux操作系统安全加固
INFORMATION TECHNOLOGY 信息化建设摘要：论文以实际生产环境为案例，探究Linux操作系统安全加固方面的相关问题和解决办法，以实现信息安全，保障生产安全稳定运行。
关键词：Linux；安全加固；操作系统一、前言Linux操作系统是一款类Unix操作系统，由于其良好而稳定的性能在我厂的计算机应用服务器中得到广泛的应用。
网络科技的快速发展，使得关于网络安全的问题，日益突显出来，而惟有确保安全可靠的服务器操作系统，才能从最根本上保障生产应用和生产数据的安全。
二、安全隐患及加固措施（一）用户账户以及登录安全1.删除多余用户和用户组。
Linux是多用户操作系统，存在很多种不一样的角色系统账号，当安装完成操作系统之后，系统会默认为未添加许用户组及用户，若是部分用户或是用户组不需要，应当立即删除它们，否则黑客很有可能利用这些账号，对服务器实施攻击。
具体保留哪些账号，可以依据服务器的用途来决定。
2.关闭不需要的系统服务。
操作系统安装完成之后，其会在安装的过程当中，会自主的启动各种类型的服务程序内容，对于长时间运行的服务器而言，其运行的服务程序越多，则系统的安全性就越低。
所以，用户或是用户组就需要将一些应用不到的服务程序进行关闭，这对提升系统的安全性能，有着极大的帮助[1]。
3.密码安全策略。
在Linux之下，远程的登录系统具备两种认证的形式：即密钥与密码认证。
其中，密钥认证的形式，主要是将公钥储存在远程的服务器之上，私钥存储在本地。
当进行系统登陆的时候，再通过本地的私钥，以及远程的服务器公钥，进行配对认证的操作，若是认证的匹配度一致，则用户便能够畅通无阻的登录系统。
此类认证的方式，并不会受到暴力破解的威胁。
与此同时，只需要确保本地私钥的安全性，使其不会被黑客所盗取即可，攻击者便不能够通过此类认证方式登陆到系统中。
所以，推荐使用密钥方式进行系统登陆。
4.有效应用su、sudo命令。
su命令的作用的是对用户进行切换。
服务器安全加固手册
服务器安全加固手册一、引言随着信息技术的快速发展，服务器作为信息存储和处理的中心，其安全性变得越来越重要。
本手册旨在提供一套全面的服务器安全加固方案，帮助企业或个人保护其服务器免受各种安全威胁。
二、服务器安全加固概述服务器安全加固主要包括以下几个方面：操作系统安全、应用程序安全、网络安全、物理安全和数据备份恢复。
通过对这些方面的加固，可以有效地提高服务器的安全性。
三、操作系统安全加固1、选用最新版本的操作系统，并及时更新补丁。
2、禁用不必要的服务，减少系统漏洞。
3、配置安全的登录方式，如强密码、多因素身份验证等。
4、对重要文件和文件夹进行权限设置，确保只有授权用户可以访问。
5、定期进行安全审计，检查系统日志，发现异常行为及时处理。
四、应用程序安全加固1、确保应用程序使用最新版本，修复已知漏洞。
2、对应用程序进行访问控制，限制不必要的访问权限。
3、对输入数据进行验证和过滤，防止恶意代码注入。
4、对敏感数据进行加密存储，确保数据安全。
5、定期对应用程序进行安全审计，发现潜在的安全问题及时处理。
五、网络安全加固1、使用防火墙，限制不必要的网络访问。
2、定期更换密码，避免使用弱密码。
3、使用加密协议进行数据传输，确保数据在传输过程中的安全。
4、配置安全的网络拓扑结构，避免单点故障。
5、使用入侵检测系统（IDS），及时发现并阻止恶意攻击。
六、物理安全加固1、将服务器放置在安全的环境中，如防火、防潮、防尘等。
2、使用门禁系统，限制无关人员进入服务器机房。
3、对服务器进行定期维护和检查，确保硬件安全。
4、使用加密设备对重要数据进行加密存储，防止数据泄露。
5、对服务器进行备份和恢复措施，确保在发生故障时数据可以快速恢复。
七、总结本手册提供了一套全面的服务器安全加固方案，包括操作系统安全加固、应用程序安全加固、网络安全加固、物理安全加固和数据备份恢复等方面。
通过对这些方面的加固，可以有效地提高服务器的安全性，防止各种安全威胁的发生。
linux系统安全加固手册 09
Linux 系统平安加固手册平安补丁:安装操作系统提供商公布的最新的平安补丁各常见的Linux 公布平安信息的web 地址: RedHatLinux:CalderaOpenLinux: ConectivaLinux: DebianGNU/Linux: MandrakeLinux: LinuxPPC:y/ S.u.S.E.:YellowDogLinux:2.网络和系统效劳:确保只有确实需要的效劳在运行:先把所有通过ineted/xineted 运行的网络效劳关闭,再翻开确实需要的效劳尽大多数通过inetd/xinetd 运行的网络效劳都能够被禁止,比方echo,exec,login,shell,who,finger 等.关于telnet,r 系列效劳,ftp 等,强烈建议使用SSH 来代替.2设置xinetd 访咨询操纵〞default{}〞块中参加如下行:only_from=<net>/<num_bit><net>/<num_bit>…每个<net>/<num_bit>(比方192.168.1.0/24)对表示答应的源地址关闭NFS 效劳器进程: 运行chkconfignfsoff NFS 通常存在漏洞会导致未授权的文件和系统访咨询. 2 关闭NFS 客户端进程: 运行chkconfignfslockoff chkconfigautofsoff3 关闭NIS 客户端进程: chkconfigypbindoff NIS 系统在设计时就存在平安隐患4 关闭NIS 效劳器进程: 运行chkconfigypservoff chkconfigyppasswdoff5关闭其它基于RPC 的效劳: 运行chkconfigportmapoff基于RPC 的效劳通常特别脆弱或者缺少平安的认证,然而还可能共享敏感信息.除非确实必需,否那么应该完全禁止基于RPC 的效劳.6关闭SMB 效劳运行chkconfigsmboff除非确实需要和Windows 系统共享文件,否那么应该禁止该效劳.7 禁止Netfs足本chkconfignetfsoff假如不需要文件共享可禁止该足本8 关闭打印机守护进程chkconfiglpdoff 假如用户从来不通过该机器打印文件那么应该禁止该效劳.Unix的打印效劳有糟糕的平安记录.9 关闭启动时运行的XServersed's/id:5:initdefault:/id:3:initdefault:/'\mv/etc/inittab.new/etc/inittabchownroot:root/etc/inittabchmod0600/etc/inittab 关于专门的效劳器没有理由要运行XServer,比方专门的Web效劳器10 关闭MailServerchkconfigpostfixoff 多数Unix/Linux系统运行Sendmail作为邮件效劳器,而该软件历史上出现过较多平安漏洞,如无必要,禁止该效劳11 关闭WebServerchkconfigdoff可能的话,禁止该效劳.12 关闭SNMPchkconfigsnmpdoff 假如必需运行SNMP的话,应该更改缺省的communitystring13 关闭DNSServerchkconfignamedoff可能的话,禁止该效劳14 关闭DatabaseServerchkconfigpostgresqloff Linux下常见的数据库效劳器有Mysql,Postgre,Oracle等,没有必要的话,应该禁止这些效劳15 关闭路由守护进程chkconfigroutedoffchkconfiggatedoff 〞静态路由〞,同时它不需要运行特别的守护进程16 关闭Webmin远程治理工具chkconfigwebminoff Webmin是一个远程治理工具,它有糟糕的认证和会话治理历史,因此应该慎重使用17 关闭SquidWebCachechkconfigsquidoff假如必需使用,应该慎重配置chkconfiginetdoff或chkconfigxinetdoff么能够禁止它们19 设置守护进程掩码if["`grep-lumaskfunctions`"=""];thenecho"umask022">>functionsfi 系统缺省的umask值应该设定为022以防止守护进程创立所有用户可写的文件3.核心调整:禁止coredump:cat<<END_ENTRIES*softcore0*hardcore0END_ENTRIES答应coredump会消耗大量的磁盘空间.2 限制NFS客户端使用特权端口:perl-i.orig-pe\'nextif(/^\s*#/||/^\s*$/);($res,@hst)=split("");foreach$ent(@hst){undef(%set);($optlist)=$ent=~/\((.*?)\)/;foreach$opt(split(/,/,$optlist)){$set{$opt}=1;}delete($set{"insecure"});$set{"secure"}=1;$ent=~s/\(.*?\)//;$ent.="(".join(",",keys(%set)).")";}$hst[0]="(secure)"unless(@hst);$_="$res\t".join("",@hst)."\n";'\/etc/exports 能够防止非特权用户发起的automoutedNFS攻击.3 网络参数调整:net.ipv4.ip_forward=0net.ipv4.conf.all.accept_source_route=0net.ipv4.tcp_max_syn_backlog=4096net.ipv4.conf.all.rp_filter=1END_SCRIPTcat<<END_SCRIPT>>/etc/sysctl.confnet.ipv4.conf.all.send_redirects=0net.ipv4.conf.all.accept_redirects=0net.ipv4.conf.default.accept_redirects=0END_SCRIPT 详见:或24.日志系统:捕捉发送给AUTH和AUTHPRIVfacility的消息到日志文件/var/log/secure:if[`grep-c'auth\.'/etc/syslog.conf`-eq0]thenecho-e"auth.*\t\t\t\t/var/log/secure"\fiif[`grep-c'authpriv\.'/etc/syslog.conf`eq0]thenecho-e"authpriv.*\t\t\t\t/var/log/secure"\ .syslog中的AUTH和AUTHPRIVfacility包含了大量平安相关的信息,不是所有Linux公布都记录这些日志信息.应该把这些信息记录到/var/log/secure文件中(该文件仅超级用户可读)fitouch/var/log/securechownroot:root/var/log/securechmod600/var/log/secure5.文件/名目访咨询许可权限:对/etc/fstab中的可移动介质增加〞nosuid〞选项:awk'($2~/^\/m.*\/(floppy|cdrom)$/&&\$3!="supermount")\{$4=sprintf("%s,nosuid",$4)};\{print}'/emv/etc/fstab.new/etc/fstabchownroot:root/etc/fstabchmod0644/etc/fstab2 禁止一般用户来mount可移动文件系统:cd/etc/securityegrep-v'(floppy|cdrom)'console.perms\mv/etc/fstab.new/etc/fstabchownroot:rootconsole.perms/etc/fstabchmod0644/etc/fstab 在基于Linux的公布中一般用户在操纵台上有更大的权限,能够使用CD-ROM和软盘驱动器.甚至在一些公布,比方MandrakeLinux 上当在机器上插进软盘或光碟时系统会通过supermount来自动mount这些驱动器.3 对passwd,shadow,和group文件设置正确的许可权限:cd/etcchownroot:rootpasswdshadowgroupchmod644passwdgroupchmod400shadow 这些文件的属主和组应该为root,passwd和group文件的许可权限应该为644,shadow 文件的许可权限应该为4004 对临时名目设置粘着位:chmod+t/tmpfind/var-typed-perm-0222-xdev-execchmod+t{}\;临时名目不设置粘着位会导致一般用户能够任意删除其它用户建立的临时文件5 查寻未认证的SUID/SGID可程序:forpartin\`awk'($3=="ext2"||$3==“ext3〞)\{print$2}'/etc/fstab`dofind$part\(-perm-04000-o-perm-02000\)\-typef-xdev-printdone6.系统访咨询,认证和授权::forfilein`echo/etc/pam.d/*`;dogrep-vrhosts_auth$file>${file}.newmv${file}.new$filechownroot:root$filechmod644$filedone2 删除: /etc/hosts.equiv文件为系统上的所有用户设置全局信任关系,于.rhost的作用类似.3 校验/etc/ftpusers文件的内容,确认root和系统用户存在在该文件中/etc/ftpusers文件列出了所有禁止使用ftp的用户的名单,通常root和系统用户都应该禁止使用ftp4 限制at/cron给授权的用户:cd/etc/ Cron.allow和at.allow文件列出了答应答应crontab和at命令的用户名单,在多数系统上通常只有系统治理员才需要运行这些命令5 Crontab文件限制访咨询权限:chownroot:root/etc/crontabchmod400/etc/crontabchown-Rroot:root/var/spool/cronchmod-Rgo-rwx/var/spool/cronchown-Rroot:root/etc/cron.*chmod-Rgo-rwx/etc/cron.*系统的crontab文件应该只能被cron守护进程(它以超级用户身份运行)来访咨询,一个一般用户能够修改crontab文件会导致他能够以超级用户身份执行任意程序6 建立恰当的警告banner:echo"Authorizedusesonly.Allactivitymaybe\monitoredandreported.">>/etc/motdchownroot:root/etc/motdchmod644/etc/motdecho"Authorizedusesonly.Allactivitymaybe\monitoredandreported.">>/etc/issueecho"Authorizedusesonly.Allactivitymaybe\ 改变登录banner能够隐躲操作系统类型和版本号和其它系统信息,这些信息能够会对攻击者有用.END7 限制root登录到系统操纵台:cat<<END_FILE>/etc/securettytty1tty2tty3tty4tty5tty6END_FILEchownroot:root/etc/securettychmod400/etc/securetty 通常应该以一般用户身份访咨询系统,然后通过其它授权机制(比方su命令和sudo)来获得更高权限,如此做至少能够对登录事件进行跟踪8 设置LILO/GRUB口令:在/etc/lilo.conf文件的开头参加如下行:restrictedpassword=<password>以root身份执行如下命令:lilo关于GRUB:参加本行到/etc/grub.conf:password<password>以root身份执行如下命令:能够有助于防止基于操纵台的物理攻击7.用户账号和环境:往除或锁定系统账号:foruserinuucpoperatordo/usr/sbin/userdel$userdone foruserinadmaliasapacheaxfrdnsbi ndaemondhcpd\ dnscachednslogftpgamesgdmgopherh althtdigident\ lpmailmailnullnamednewsnobodynsc dpostfix\ postgresqmaildqmaillqmailpqmailq qmailrqmails\ Uucp和operator账号通常是不需要的,能够把它们从passwd和shadow文件中删除,其它账号视具体情况而定.要锁定一个账号,能够把该账号的shell改为一个无效的shell,比方/dev/nullrpcrpcusersquidsympasynctinydnsx fsdo/usr/sbin/usermod-L-s/dev/null$userdone验证没有遗留下来的’+’条目存在于passwd,shadow,group文件中:grep^+:/etc/passwd/etc/shadow/etc/group 这些条目可能会给攻击者提供一个途径来取得系统的访咨询权限,假如存在的化应该删除2 验证是否有账号存在空口令的情况:awk-F:'($2==""){print$1}'/etc/shadow 所有账号应该有一个强口令或者使用类似〞NP〞或〞*LOCKED*〞的口令字串来锁定账号3 检查除了root以外是否还有其它账号的UID为0:awk-F:'($3==0){print$1}'/etc/passwd 任何UID为0的账号在系统上都具有超级用户权限.4 检查root用户的$PATH中是否有’.’或者所有用户/组用户可写的名目超级用户的$PATH设置中假如存在这些名目可能会导致超级用户误执行一个特洛伊木马5 删除属于root用户的具有潜在危险的文件:rm-f/.[rs]hosts/.netrc/root/.[rs]hosts/root/.netrc /.rhost,/.netrc或/root/.rhost,/root/.netrc文件都具有潜在的危险6 用户的home名目许可权限是否为755或更严格的限制:fordirin\`awk-F:'($3>=500){print$6}'/etc/passwd`dochmodgo-w$dirdone 用户home名目的许可权限限制不严可能会导致恶意用户读/修改/删除其它用户的数据或取得其它用户的系统权限7 是否有用户的点文件是所有用户可读的:fordirin\`awk-F:'($3>=500){print$6}'/etc/passwd`doforfilein$dir/.[A-Za-z0-9]*doif[-f$file];thenchmodo-w$file Unix/Linux下通常以〞.〞开头的文件是用户的配置文件,假如存在所有用户可读/写的配置文件可能会使恶意用户能读/写其它用户的数据或取得其它用户的系统权限fidonedone8 删除:fordirin`cut-f6-d:/etc/passwd`dorm-f$dir/.netrcdone.netrc文件中可能会包含未加密的口令9 为用户设置适宜的缺省umask值:cd/etcforfileinprofilecsh.logincsh.cshrcbashrcdoif[`grep-cumask$file`-eq0];thenecho"umask022">>$filefichownroot:root$filechmod444$filedone 为用户设置缺省的umask值有助于防止用户建立所有用户可写的文件而危及用户的数据.8.要害平安工具的安装:安装SSH SSH是一个使用加密连接的平安的远程治理/数据传输协议.它能够用来替代telnet,r命令,ftp等传统的不平安的协议/命令.SSH的最新实现软件能够在下载2 安装NTP NTP(网络时刻协议)用于使网络上的多个系统间的时刻同步,精确的系统时刻有利于保证系统日志的正确性.。
麒麟系统安全加固手册
麒麟系统安全加固手册【实用版】目录1.麒麟系统的概述2.麒麟系统的安全性3.麒麟系统的加固方法4.麒麟系统的安全加固效果正文麒麟系统安全加固手册麒麟系统，作为我国自主研发的操作系统，以其高度的安全性和稳定性，得到了广泛的应用。
在这个信息安全日益重要的时代，麒麟系统的安全性更是备受关注。
为了提高麒麟系统的安全性，我们需要对其进行安全加固。
本文将从麒麟系统的概述、安全性、加固方法以及安全加固效果四个方面进行讲解。
首先，我们来了解一下麒麟系统的概述。
麒麟系统是我国自主研发的一款操作系统，其研发过程得到了国家的大力支持和相关企业的积极参与。
麒麟系统具有高度的安全性和稳定性，可以满足不同场景下的使用需求。
同时，麒麟系统还具有良好的兼容性和可扩展性，可以支持多种硬件设备和软件应用。
接下来，我们来谈谈麒麟系统的安全性。
麒麟系统在设计之初，就充分考虑了信息安全的因素，采用了多种安全技术，如加密技术、访问控制技术等，保证了系统的安全性。
此外，麒麟系统还通过了多项国内外的信息安全认证，如 ISO27001、ISO27017 等，进一步证明了其安全性。
然后，我们来介绍一下麒麟系统的加固方法。
麒麟系统的加固方法主要包括以下几个方面：1.更新系统补丁：及时更新系统补丁，可以修复系统中的安全漏洞，提高系统的安全性。
2.配置安全策略：合理的安全策略，可以限制用户的操作权限，防止非法操作，提高系统的安全性。
3.加密重要数据：对重要数据进行加密，可以防止数据泄露，提高数据的安全性。
4.定期备份数据：定期备份数据，可以在系统出现故障时，快速恢复数据，减少损失。
最后，我们来看看麒麟系统的安全加固效果。
通过对麒麟系统进行安全加固，可以有效地提高系统的安全性，防止系统被攻击，保护用户的数据安全。
同时，安全加固还可以提高系统的稳定性，保证系统的持续稳定运行。
综上所述，麒麟系统以其高度的安全性和稳定性，得到了广泛的应用。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
【关键字】服务密级：商业秘密LINUX评估加固手册安氏领信科技发展有限公司二〇二一年二月目录1、系统补丁的安装RedHat使用RPM包实现系统安装的管理，系统没有单独补丁包（Patch）。
如果出现新的漏洞，则发布一个新的RPM包，版本号（Version）不变，Release做相应的调整。
因此检查RH Linux的补丁安装情况只能列出所有安装的软件，和RH 网站上发布的升级软件对照，检查其中的变化。
通过访问官方站点下载最新系统补丁，RedHat公司补丁地址如下：rpm -qa 查看系统当前安装的rpm包rpm -ivh package1 安装RPM包rpm -Uvh package级RPM包rpm -Fvh package级RPM包（如果原先没有安装，则不安装）2、帐户、口令策略的加固2．1、删除或禁用系统无用的用户询问系统管理员，确认其需要使用的帐户如果下面的用户及其所在的组经过确认不需要，可以删除。
lp, sync, shutdown, halt, news, uucp, operator, games, gopher修改一些系统帐号的shell变量，例如uucp,ftp和news等，还有一些仅仅需要FTP功能的帐号，检查并取消/bin/bash或者/bin/sh等Shell变量。
可以在/etc/passwd中将它们的shell变量设为/bin/false或者/dev/null等。
也可以通过passwd groupdel 来锁定用户、删除组。
passwd -l user1锁定user1用户passwd -u user1 解锁user1用户groupdel lp 删除lp组。
2．2、口令策略的设置RedHat Linux总体口令策略的设定分两处进行，第一部分是在/etc/login.defs文件中定义，其中有四项相关内容：PASS_MAX_DAYS 密码最长时效（天）PASS_MIN_DAYS 密码最短时效（天）PASS_MIN_LEN 最短密码长度PASS_WARN_AGE 密码过期前PASS_WARN_AGE天警告用户编辑/etc/login.defs文件，设定：PASS_MAX_DAYS=90PASS_MIN_DAYS=0PASS_MIN_LEN=8PASS_WARN_AGE=30另外可以在/etc/pam.d/system-auth文件中的cracklib项中定义口令强度：difokminlendcreditucreditlcreditocredit使用vi编辑/etc/pam.d/system-auth文件，设置cracklib的属性#%PAM-1.0# This file is auto-generated.# User changes will be destroyed the next time authconfig is run.auth required /lib/security/pam_env.soauth sufficient /lib/security/pam_unix.so likeauth nullokauth required /lib/security/pam_deny.soaccount required /lib/security/pam_access.soaccount required /lib/security/pam_unix.sopassword required /lib/security/pam_cracklib.so retry=3 type= difok=4 minlen=12 dcredit=1 ucredit=2 lcredit=2 ocredit=1password sufficient /lib/security/pam_unix.so nullok use_authtok md5 shadowpassword required /lib/security/pam_deny.sosession required /lib/security/pam_limits.sosession required /lib/security/pam_unix.so2．3、系统是否允许root远程登录RedHat在文件/etc/securetty中定义root用户可以登录的端口；默认其中只包含vc/1-11和tty1-11，即root用户只能从本地登录。
2．4、root的环境变量设置系统的环境变量在下列文件中设置：Bash：/etc/profile~/.bash_profile~/.bash_login~/.profile~/.bashrc/etc/bashrcTcsh/Csh：/etc/csh.cshrc/etc/csh.login~/.tcshrc或~/.cshrc~/.history~/.login~/.cshdirsprintenv 查看用户的环境变量检查环境变量PATH，确保其中不包含本地目录（.）。
3、网络与服务加固3．1、rc?.d中的服务的设置RedHat的服务主要由/etc/inittab和/etc/rc?.d/S*文件启动，事实上，/etc/inittab的主要任务是为每一个runlevel指定启动文件，从而启动/etc/rc?.d/S*文件。
例如，在默认的运行级别3中系统将运行/etc/rc3.d/目录中所有S打头的文件。
runlevel 检查当前运行级别（第一项是pre-runlevel，第二项是当前的runlevel）chkconfig –list 检查所有级别中启动的服务情况chkconfig –list |grep 3:on 检查某一级别（例如级别3）中启动的服务chkconfig sendmail off 将sendmail从启动目录中除去检查以下服务，如果不需要，关闭之在（/etc/inittab中注释掉）；否则，参照3.3 3.4 3.5 3.6进行配置：portmap（启动rpcbind/portmap服务）nfslock （启动rpc.lockd和rpc.statd）httpd （启动apache）named （启动bind）sendmail （启动sendmail）smb （启动samba服务）snmpd （启动snmp服务）snmptrapd （启动snmp trap服务）nfs （启动nfs服务）3．2、/etc/inetd.conf中服务的设置由INETD启动的服务在文件/etc/inetd.conf定义。
建议关闭由inetd启动的所有服务；如果有管理上的需要，可以打开telnetd、ftpd、rlogind、rshd等服务。
可从/etc/inetd.conf中删除的服务（在/etc/inetd.conf中注释掉）：shellkshellloginkloginexeccomsatuucpbootpsfingersystatnetstattftptalkntalkrpc.rquotadrpc.rexdrpc.rusersdrpc.ttdbserverrpc.spraydrpc.cmsdrpc.rwalldrpc.pcnfsdrpc.rstatdrpc.ssalldechodiscardchargendaytimetimecomsatwebsminstsrvimap2pop3kfclixmqueryRedHat Linux 7.3以后使用了新版本的xinetd取代了老版本的inetd，在配置方面最大的不同在于使用了/etc/xinetd.d/配置目录取代了/etc/inetd.conf配置文件。
每一项服务/etc/xinetd.d/中都有一个相应的配置文件，例如telnetd的配置文件是/etc/xinetd.d/telnet。
查看每一个配置文件disable属性的定义（yes/no）就可以确定该服务是否启动（默认是yes）。
使用vi编辑/etc/xinetd.d/中的配置文件，在不需要启动的服务配置文件中添加disable=yes。
建议关闭所有服务，如果管理需要，则可以打开telnetd和ftpd服务。
使用vi编辑/etc/xinetd.d/rlogin文件，控制rlogin服务的启动状态# default: on# description: rlogind is the server for the rlogin(1) program. The server \# provides a remote login facility with authentication based on \# privileged port numbers from trusted hosts.service login{disable = yessocket_type = streamwait = nouser = rootlog_on_success += USERIDlog_on_failure += USERIDserver = /usr/sbin/in.rlogind3．3、NFS的配置NFS系统的组成情况：nfsd NFS服务进程，运行在服务器端，处理客户的读写请求mountd 加载文件系统服务进程，运行在服务器端，处理客户加载nfs文件系统的请求/etc/exports 定义服务器对外输出的NFS文件系统/etc/fstab 定义客户端加载的NFS文件系统如果系统不需要NFS服务，可以使用chkconfig关闭NFS服务；如果不能关闭，使用showmount -e或直接查看/etc/exports文件检查输出的文件系统是否必要，以及属性是否妥当（readonly等）。
chkconfig --list nfs 显示NFS服务是否在系统启动时启动/etc/init.d/nfs start|stop 启动|停止nfs服务showmount -e 显示本机输出的NFS文件系统mount 显示本机加载的文件系统（包括NFS文件系统）3．4、SNMP的配置如果系统不需要SNMP服务，可以关闭该服务（使用chkconfig命令）；如果不能关闭，需要在/etc/snmpd.conf中指定不同的community name。
chkconfig --list snmpd显示snmpd服务是否在系统启动时启动chkconfig snmpd off 将snmpd服务从启动目录中去掉/etc/init.d/snmpd start|stop 启动|停止snmpd服务3．5、Sendmail的配置如果系统不需要Sendmail服务，可以关闭该服务（使用chkconfig命令）；如果不能关闭，将sendmail服务升级到最新，并在其配置文件/etc/sendmail.cf中指定不同banner（参见示例）。