IBM AIX 安全加固实施操作流程

IBM AIX 安全加固实施操作流程
第一阶段：加固前备份和健康检查
1)数据库0级备份
协调业务工程师操作
2)备份AIX系统rootvg
●将磁带插入磁带机
●#smitty mksysb进行系统备份
●当COMMAND STATUS页面中Command: OK出现后，表示备份成功。

●取出制作完毕的磁带.
●磁带上的标签上注明备份机器的名称和序列号
3)加固前业务验证
●软件功能测试（检查业务软件正常运行）和基本通话测试（检查业务功能），出一
份测试列表。

●snmp健值修改和双机切换步骤1
4)加固前系统健康检检
参考IBM健康检查项
5)系统重启
执行#shutdown –Fr ，重启系统。

第二阶段：安全补丁加载
1)补丁准备
●按IBM发布最新安全补丁列表，准备相关安全补丁包
●确认补丁加载前先停该节点双机业务
2)补丁加载
●导出系统补丁加载前补丁列表
#instfix -i >/tmp/inst/oldfix.log
●安装安全补丁
#smitty update_all
●导出系统补丁加载后补丁列表
1在双机情况下，更改snmp的Key值（缺省为Public）
# instfix -i >/tmp/inst/newfix.log
3)业务验证（按业务测试列表操作）
●由于补丁加载对系统影响较大，需单独业务验证。

●需确认业务工程师业务验证情况
第三阶段：安全相关工具部署
1）安装部署SSH工具
1. 安装openssl（openssl-devel-0.9.7g-1.aix5.1.ppc.rpm）
#rpm -i openssl-devel-0.9.7g-1.aix5.1.ppc.rpm
prngd必须在openssl和openssh安装之前安装，并且openssl又是安装openssh rpm 文件包所首要必需的。

2.安装openssh（openssh-4.1p1_52.tar.Z），安装时要接受license
#uncompress openssh-4.1p1_52.tar.Z
#mkdir ssh ; mv openssh-4.1p1_52.tar ssh ; cd ssh
#tar –xvf openssh-4.1p1_52.tar
#smitty installp
在用smit菜单安装时必须更改Accept new License agreement栏的值为yes
3.如果想要指定SSH2协议在openSSH被用，需要在/etc/ssh/sshd_config文件里加入如
下行：
Protocol 2
可以用telnet命令来验证SSH协议的版本：
# telnet localhost 22
Trying...
Connected to .
Escape character is '^]'.
SSH-2.0-OpenSSH_3.4p1
上面显示你现在正在用ssh2.
如果你看到如下信息：
# telnet localhost 22
Trying...
telnet: connect: A remote host refused an attempted connect operation.
那么说明sshd程序现在没有运行，用Ctrl-c和q来终止，然后运行如下命令：
#startsrc -s sshd
4.如果想要指定root用户不可直接用ssh登陆，需要在/etc/ssh/sshd_config文件里加
入如下行：
Permitrootlogin no
5.执行命令重新启动SSH
#stopsrc –s sshd
#strarsrc -s sshd
4)加固软件安装
●确认/usr文件系统有足够的空间用于信息备份
●将软件包AixSec_Enhance.1.0.0.1.bff传送到/tmp/inst目录下
●#cd /tmp/inst
●使用smitty installp安装加固软件。

5)加固前系统信息采集
执行#aixsec_enhance –T G 命令采集信息，结果保存在/usr/lpp/AixSec_Log/Gather/summary.html文件中。

6)加固前系统检查
执行#aixsec_enhance –T C 命令检查系统，结果保存在/usr/lpp/AixSec_Log/Check/summary.html文件中。

7)加固前系统加固预处理
●执行 #aixsec_enhance –T P 命令采集信息
●执行结果保存在/usr/lpp/AixSec_Log/Preview/Info.log文件中。

8)分析采集/检查/预处理的结果
●分析采集和检查的结果，作为加固实施的参考；
●分析预处理执行的结果，如果提示出错，纠正错误后再实施加固；
●根据预处理执行的提示，结合用户现场的情况，使用命令#aixsec_cfg int 修改
参数配置文件。

●
9)实施加固
●执行命令#aixsec_enhance -T E 实施安全加固功能；
●在执行过程中如果想检查提示信息，可以打开
/usr/lpp/AixSec_Log/Enhance/Info.log文件；
●系统在加固过程中的备份信息（文件和命令）保存在/usr/lpp/AixSec_Log/Enhance
目录下的时间戳中。

10)加固后系统信息采集
●加固执行成功，运行命令#aixsec_enhance –T G 命令采集信息
●采集结果被追加到/usr/lpp/AixSec_Log/Gather/summary.html文件中。

11)实施非工具执行的加固操作
1、修改SNMPD的配置文件
（1）更改/etc/snmpdv3.conf中的public为harden或主机名
VACM_GROUP group1 SNMPv1 harden -
TARGET_PARAMETERS trapparms1 SNMPv1 SNMPv1 harden noAuthNoPriv -
COMMUNITY harden hzmscp noAuthNoPriv 0.0.0.0 0.0.0.0 -
（2）重起snmpd
#stopsrc -s clinfoES
#stopsrc -s clsmuxpdES
stopsrc -s snmpd
startsrc -s snmpd
startsrc -s clsmuxpdES
startsrc -s clinfoES
2、修改登陆界面，增加登陆安全提示
vi /etc/motd，将登陆提示该为：
3、查找全局可读可写的文件和文件夹，及所有与登陆相关的文件（.profile,.cshrc,.rhosts 等）并判断是否需要修改全局写属性
find / -type f -perm -o+w -exec ls -l {} \;
find / -type f -perm -o+w -exec ls -l {} \ >/usr/lpp/AixSec_Log/filelist0511be.log find / -type d -perm -o+w -exec ls –ld {} \;
find / -type d -perm -o+w -exec ls –ld {} \ >/usr/lpp/AixSec_Log/dirlist0511be.log find / -name .profile -exec ls -l {} \;
find / -name .cshrc -exec ls -l {} \;
find / -name .rhosts -exec ls -l {} \;
4、限制root用户不可访问ftp服务
vi /etc/ftpusers
增加一行：root
5、删除所有.netrc文件
find / -name .netrc
并删除
12)重启计算机
●如果加固执行成功，在信息采集完成后，重启计算机。

第五阶段：加固后验证阶段
1)加固项验证
按加固内容逐项验证
2)加固后系统健康检检
参考IBM健康检查项
3)加固后业务验证
●业务工程师提供有业务验证列表
●需确认业务工程师业务验证情况
4)第三方安全扫描工具扫描
客户提供第三方扫描工具扫描
第六阶段：加固出现故障的恢复
1)加固执行失败，执行回退操作
如果加固过程中出现问题，可以使用命令#aixsec_enhance –T R，选择指定时间戳，实施系统状态的会退。

2)如果回退后系统不正常，恢复备份系统磁带
在极端的情况下，如果回退出现失败，或者成功回退后，用户的运行环境出现了其他异常情况，使得业务系统无法正常工作，可以使用系统恢复磁带进行系统级全面恢复。

●将加固前备份的对应磁带插入磁带机
●重起主机
●在speaker出现前按数字键5
●系统在恢复后自动重起。