Linux服务器安全防护部署精品文档12页

Linux服务器安全防护部署Abstract Linux operating system is an operating system with open source code， its excellent stability， safety， strong load capacity， compared to the Windows operating system has more advantages. But does not represent a safety problem does not exist in the Linux system， Linux system after the installation is complete， must carry out the necessary configuration， to enhance the security of Linux server， and decrease the possibility of the system to be attacked， increase the stability of the system.Keywords Linux The server Safety The firewall System optimiza-tion1 用户权限配置1）屏蔽、删除被操作系统本身启动的不必要的用户和用户组。

Linux 提供了很多默认的用户和用户组，而用户越多，系统就越容易受到利用和攻击，因此删除不必要的用户和用户组可提高系统的安全性。

命令：userdel 用户名groupdel 用户组名2）用户口令应使用字母、数字、特殊符号的无规则组合，绝对不要单独使用英语单子或词组，必须保证在密码中存在至少一个特殊符号和一个数字。

强制要求系统中非root用户密码最大使用天数为60天、长度不能小于8位。

命令：vi /etc/login.defsPASS_MAX_DAYS 60PASS_MIN_LENGTH 83）root用户如果忘记注销就离开服务器会很危险，所以强制要求root 用户在一定时间内没有操作则自动注销root用户。

命令：vi /etc/profileTMOUT=3004）检查系统中是否存在空密码的用户，空密码很容易使服务器用户被盗，建议在检查出空密码用户后，排查是否为正常用户，正常用户强制修改密码，非正常用户直接删除。

命令：gawk -F ‘：’ '（$2 == “”）{print $1}’ /etc/shadow 5）检查系统中是否存在除root之外的特权用户，在Linux系统中建议只有root一个特权用户，非root的特权用户，根据实际情况，通过降权或删除方式来保证系统的安全性。

命令：gawk -F ‘：’ '（$3 == “0” && $1 ！= “root”） {print $1}’ /etc/passwd6）检查root用户的环境变量设置中是否存在‘.’路径，防止root 用户运行非指定的命令，导致木马病毒程序攻击。

删除在$PATH中设置的‘.’路径。

命令：echo $PATH2 系统服务配置Linux系统服务是指执行指定系统功能的程序，是Linux系统不可缺少的组成部分。

但不是系统服务都需要开启，为减少系统资源占用，增加系统性能，减少系统的安全隐患，开启系统服务应使用最小最新原则，即非必要服务不开启，如必须开启服务则一定使用服务的最新版本。

下边简要介绍Linux系统中可以关闭的系统服务。

1）acpid是进阶电源管理接口，可以监听来自核心层的电源相关时间而予以回应，在预定义时间内无操作，可以进入节电休眠状态，支持的通用操作有电源开关、电池监视、笔记本开关、笔记本显示屏亮度、休眠、挂机等等。

Linux服务器通常都是7*24运行，访问操作随时发生，节电休眠状态会影响整体系统的反映速度和性能，建议关闭。

2）anacron与循环型的工作任务 cron 有关，可在任务过期后还可以唤醒来继续执行，配置文件在 /etc/anacrontab，可以通过atd和crond 来代替，可通过关闭此服务来减少对系统资源的占用，建议关闭。

3）apmd是基于BOIS的高级电源管理服务，可检测电池电量，当电池电量不足时，可以自动关机以保护电脑主机。

在机房的服务器不存在电量不足的情况，并且其部分功能已被acpi代替，可通过关闭此服务来减少对系统资源的占用，建议关闭。

4）arptables_jf为arptables网络的用户控制过滤的守护进程，arptables处理arp协议有关包，这些包在iptables中不会处理，一般在服务器外围都会有硬件防火墙，所以此服务的作用不大，可通过关闭此服务来减少对系统资源的占用，建议关闭。

5）arpwatch记录日志并构建一个在LAN接口上看到的以太网地址和IP地址对数据库，配合arptables使用，一般在服务器外围都会有硬件防火墙，所以此服务的作用不大，可通过关闭此服务来减少对系统资源的占用，建议关闭。

6）atd单一的计划工作任务，可以通过crond来代替，通过关闭此服务来减少对系统资源的占用，建议关闭。

7）avahi-daemon、avahi-dnsconfd是 zeroconf 协议的实现。

它可以在没有 DNS 服务的局域网里发现基于 zeroconf 协议的设备和服务，非局域网内部服务器建议关闭，来减少系统资源占用。

8）bluetooth蓝牙是给无线便携设备使用的（非 wifi， 802.11），服务器上不会使用，建议关闭。

9）conman管理远程桌面连接的程序，为安全性考虑，建议关闭。

10）cpuspeed用来管理 CPU 的频率功能，在低负载情况下降低CPU 频率来节省电量、降低CPU风扇转速，服务器上建议关闭，减少在CPU频率转换时带来的性能损失。

11）cups系统打印服务，当系统不需为网络提供打印服务时，请关闭系统打印服务。

如果必须开启打印服务，请保证cups升级到最新版本，并且运行在非root用户和用户组上。

12）dhcpd、dhcpd6是DHCP服务器，当系统不需为网络提供DHCP服务时，请关闭此服务。

如果必须开启DHCP服务，请保证dhcpd升级到最新版本。

13）dnsmasq是一个DNS服务工具，它可以应用在内部网和Internet 连接的时候的IP地址NAT转换，也可以用做小型网络的DNS服务，如不需要单独建立DNS服务，建议关闭。

14）ebtables以太网桥防火墙，如服务器作为网桥使用，并需要在数据链路层对封包进行过滤，则开启此服务，否则建议关闭。

15）edac检测ECC内存错误，开需要检测ECC内存时可以开启此服务，正常运行时建议关闭此服务以提高性能。

16）fcoe、fcoe-target让企业用户可以利用它们的以太网将现有服务器与光纤通道SANs连接在一起，而且无需受限于某特定厂商的技术，建议关闭。

17）firstboot是在安装之后的第一次启动时仅需要执行一次的特定任务。

系统安装完毕后，此服务不会自动关闭，需手动完成。

18）ip6tables是IPv6 的软件防火墙，在不使用IPv6的网络中无需开启，建议关闭。

19）iscsi又称为IP-SAN，是一种基于因特网及SCSI-3协议下的存储技术，如果服务器使用SAN存储区域网络，可开启此服务，否则建议关闭此服务，以节省系统资源。

20）isdn是一种互联网的接入方式，除非使用 ISDN 猫来上网，否则建议关闭。

21）isnsd是在TCP/IP网络上自动发现、管理和配置iSCSI和光纤信道设备（光纤信道协议），如使用存储区域网络则开启此服务，否则建议关闭。

22）lldpad提供通过英特尔链路层发现协议代理增强对数据中心的以太网支持，普通服务器可以关闭此服务。

23）mailman、sendmail是系统邮件服务，当系统不作为邮件服务器使用时关闭。

24）mcelogd收集、解码硬件检测错误数据，普通服务器不需要此服务提供的工具，建议关闭。

25）mdmonitor该服务用来监测 Software RAID 或 LVM 的信息，如果需要在服务器上使用Software RAID，可以开启此服务，否则建议关闭此服务，以增加服务器性能。

26）memcached高性能的，分布式的内存对象缓存系统，一般可用于加快动态Web应用程序，减轻数据库负载，如果服务器作为数据库服务器使用，建议开启此服务，非数据库服务器建议关闭此服务。

27）mip6d在IPv6网络中允许节点在移动中保持联系，在未使用IPv6网络服务器上建议关闭此服务。

28）multipathd多路径设备管理工具，配合iscsi服务使用，在未使用存储区域网络的主机上建议关闭。

29）named是DNS（BIND）服务器守护进程，配合DNS服务使用，在未开启DNS服务的主机上建议关闭。

30）netconsole将kernel的printk消息通过udp发送到远程主机的syslogd上，如果需要远程日志管理功能可开启此服务，建议关闭。

31）nfs用于 Unix/Linux/BSD 系列操作系统的标准文件共享方式，服务器需要连接到局域网中的其它服务器并进行文件共享可以开启此服务，否则建议关闭此服务。

32）nfslock 通过TCP/IP网络共享文件的协议，此守护进程提供了NFS文件锁定功能，使用nfs服务需要开启此服务，否则建议关闭此服务。

33）nscd服务名缓存进程，它为NIS和LDAP等服务提供更快的验证，一般服务器上建议关闭此服务。

34）ntpd是通过互联网自动更新系统时间，容易被攻击者利用，建议关闭此服务，并定期手动校对系统时间。

35）oddjobd是D-BUS的服务，为客户执行特定任务时连接到它，并发出请求使用系统范围的消息总线，一般服务器上建议关闭此服务以增加性能。

36）pcscd智能卡读卡器支持工具，未使用读卡器设备的服务器上建议关闭此服务。

37）portreserve用于帮助服务占用端口号，用于确保某个端口不被占用，在开发调试期可以开启此服务帮助开发者正确使用端口号，在运行稳定的服务器上建议关闭此服务提高服务器性能。

38）postgresql是PostgreSQL 关系数据库引擎，未使用PostgreSQL 的服务器建议关闭此服务。

39）pppoe-server是ADSL连接守护进程，未使用ADSL连接网络的服务器建议关闭此服务。

40）systemtap监控和跟踪运行中的Linux 内核的操作的动态方法，在开发中开发者使用此工具对Linux内核进行调试，而不在需要重新编译、安装新内核、重启等过程，在稳定运行的服务器上建议关闭此服务。