主机安全加固方案

目 录1.安装最新安全补丁地址:RedHat Linux:Caldera OpenLinux: Conectiva Linux: Debian GNU/Linux: Mandrake Linux: LinuxPPC:Yellow Dog Linux :2.网络和系统服务先把所有通过ineted/xineted 运行的网络服务关闭,再打开确实需要的服务服务都可以被禁止,比如echo, exec, login, shell,who,finger 等.对于telnet, r 系列服务, ftp 等, 强烈建议使用SSH 来代替.2 设置xinetd 访问控制在/etc/xinetd.conf 文件的”default {}”块中加入如下行:only_from=<net>/<num_bit> <net>/<num_bit> …运行 chkconfig nfs off 件和系统访问.2关闭NFS 客户端进程: 运行 chkconfig nfslock off chkconfig autofs off3 关闭NIS客户端进程:chkconfig ypbind offNIS系统在设计时就存在安全隐患4 关闭NIS服务器进程:运行 chkconfig ypserv offchkconfig yppasswd off5 关闭其它基于RPC的服务:运行 chkconfig portmap off 基于RPC的服务通常非常脆弱或者缺少安全的认证,但是还可能共享敏感信息.除非确实必需,否则应该完全禁chkconfig netfs off8 关闭打印机守护进程chkconfig lpd off 如果用户从来不通过该机器打印文件则应该禁止该服务.Unix的打印服务有糟糕的安全记录.9 关闭启动时运行的 X Serversed 's/id:5:initdefault:/id:3:initdefault:/' \< /etc/inittab > /etc/inittab.newmv /etc/inittab.new /etc/inittabchown root:root /etc/inittabchmod 0600 /etc/inittab 对于专门的服务器没有理由要运行X Server, 比如专门的Web服务器10 关闭Mail Serverchkconfig postfix off 多数Unix/Linux系统运行Sendmail作为邮件服务器, 而该软件历史上出现过较多安全漏洞,如无必要,禁止该服务11 关闭Web Serverchkconfig httpd off可能的话,禁止该服务.12 关闭SNMPchkconfig snmpd off 如果必需运行SNMP的话,应该更改缺省的community string13 关闭DNS Serverchkconfig named off可能的话,禁止该服务14 关闭 Database Serverchkconfig postgresql off Linux下常见的数据库服务器有Mysql, Postgre, Oracle等, 没有必要的话,应该禁止这些服务15 关闭路由守护进程chkconfig routed offchkconfig gated off 组织里仅有极少数的机器才需要作为路由器来运行.大多数机器都使用简单的”静态路由”, 并且它不需要运行特殊的守护进程16 关闭Webmin远程管理工具chkconfig webmin off Webmin是一个远程管理工具,它有糟糕的认证和会话管理历史, 所以应该谨慎使用17 关闭Squid Web Cachechkconfig squid off如果必需使用, 应该谨慎配置18 可能的话禁止inetd/xinetdchkconfig inetd off 或如果没有网络服务通过inetd/xinetd运行则可以禁止它们chkconfig xinetd off19 设置守护进程掩码cd /etc/rc.d/init.dif [ "`grep -l umask functions`" = "" ]; thenecho "umask 022" >> functionsfi 系统缺省的umask 值应该设定为022以避免守护进程创建所有用户可写的文件3.核心调整cat <<END_ENTRIES >>/etc/security/limits.conf* soft core 0* hard core 0END_ENTRIES间.perl -i.orig -pe \'next if (/^\s*#/ || /^\s*$/);($res, @hst) = split(" ");foreach $ent (@hst) {undef(%set);($optlist) = $ent =~ /\((.*)\)/;foreach $opt (split(/,/, $optlist)) {$set{$opt} = 1;}delete($set{"insecure"});$set{"secure"} = 1;$ent =~ s/\(.*\)//;$ent .= "(" . join(",", keys(%set)) . ")";}$hst[0] = "(secure)" unless (@hst);$_ = "$res\t" . join(" ", @hst) . "\n";' \/etc/exportsautomouted NFS攻击.3 网络参数调整:cat <<END_SCRIPT >> /etc/sysctl.confEND_SCRIPTcat <<END_SCRIPT >> /etc/sysctl.confEND_SCRIPTchown root:root /etc/sysctl.confchmod 0600 /etc/sysctl.conf 详见: 或24.日志系统志文件/var/log/secure:if [ `grep -c 'auth\.' /etc/syslog.conf` -eq 0 ] then facility包含了大量安全相关的信息, 不是所有Linux发布都记录这些日志信息.应该把这些信息记录到echo -e "auth.*\t\t\t\t/var/log/secure" \>>/etc/syslog.conffiif [ `grep -c 'authpriv\.' /etc/syslog.conf` eq 0 ] thenecho -e "authpriv.*\t\t\t\t/var/log/secure" \ >>/etc/syslog.conffitouch /var/log/securechown root:root /var/log/securechmod 600 /var/log/secure /var/log/secure文件中(该文件仅超级用户可读)5.文件/目录访问许可权限awk '($2 ~ /^\/m.*\/(floppy|cdrom)$/ && \ $3 != "supermount") \{ $4 = sprintf("%s,nosuid", $4) }; \{ print }' /etc/fstab >/etc/fstab.newmv /etc/fstab.new /etc/fstabchown root:root /etc/fstabchmod 0644 /etc/fstab 重要途径.该设置可以防止普通用户通过CDROM或软盘引入SUID程序2 禁止普通用户来mount可移动文件系统:cd /etc/securityegrep -v '(floppy|cdrom)' console.perms \grep -v supermount /etc/fstab > /etc/fstab.newmv /etc/fstab.new /etc/fstabchown root:root console.perms /etc/fstabchmod 0600 console.permschmod 0644 /etc/fstab 在基于Linux的发布中普通用户在控制台上有更大的权限, 可以使用CD-ROM和软盘驱动器.甚至在一些发布,比如Mandrake Linux上当在机器上插入软盘或光碟时系统会通过supermount来自动mount这些驱动器.3 对passwd, shadow, 和group文件设置正确的许可权限:cd /etcchown root:root passwd shadow groupchmod 644 passwd groupchmod 400 shadow 这些文件的属主和组应该为root, passwd和group文件的许可权限应该为644,shadow文件的许可权限应该为4004 对临时目录设置粘着位:chmod +t /tmpfind /var -type d -perm -0222 -xdev -exec chmod +t{} \; 临时目录不设置粘着位会导致普通用户可以任意删除其它用户建立的临时文件5 查找未认证的SUID/SGID可程序:for part in \`awk '($3 == "ext2" || $3 == “ext3”) \{ print $2 }' /etc/fstab`dofind $part \( -perm -04000 -o -perm -02000 \) \-type f -xdev -printdone6.系统访问, 认证和授权for file in `echo /etc/pam.d/*` ; dogrep -v rhosts_auth $file > ${file}.newmv ${file}.new $filechown root:root $filechmod 644 $filedone系统正常的访问控制机制rm /etc/hosts.equiv 用户设置全局信任关系,于.rhost的作用类似.3 校验/etc/ftpusers文件的内容, 确认root和系统用户存在在该文件中/etc/ftpusers文件列出了所有禁止使用ftp的用户的名单,通常root和系统用户都应该禁止使用ftp4 限制 at/cron给授权的用户:cd /etc/rm -f cron.deny at.denyecho root >cron.allowecho root >at.allowchown root:root cron.allow at.allowchmod 400 cron.allow at.allow Cron.allow和at.allow文件列出了允许允许crontab和at命令的用户名单, 在多数系统上通常只有系统管理员才需要运行这些命令5 Crontab文件限制访问权限:chown root:root /etc/crontabchmod 400 /etc/crontabchown -R root:root /var/spool/cronchmod -R go-rwx /var/spool/cronchown -R root:root /etc/cron.*chmod -R go-rwx /etc/cron.* 系统的crontab文件应该只能被cron 守护进程(它以超级用户身份运行)来访问,一个普通用户可以修改crontab 文件会导致他可以以超级用户身份执行任意程序6 建立恰当的警告banner:echo "Authorized uses only. All activity may be \monitored and reported." >>/etc/motdchown root:root /etc/motdchmod 644 /etc/motdcat <<END >> /etc/rc.d/rc.localecho "Authorized uses only. All activity may be \monitored and reported." >> /etc/issueecho "Authorized uses only. All activity may be \monitored and reported." >> /etc/END 改变登录banner可以隐藏操作系统类型和版本号和其它系统信息,这些信息可以会对攻击者有用.7 限制root登录到系统控制台:cat <<END_FILE >/etc/securettytty1tty2tty3tty4tty5tty6END_FILEchown root:root /etc/securetty 通常应该以普通用户身份访问系统,然后通过其它授权机制(比如su命令和sudo)来获得更高权限,这样做至少可以对登录事件进行跟踪chmod 400 /etc/securetty8 设置LILO/GRUB口令:在/etc/lilo.conf文件的开头加入如下行:restrictedpassword=<password>以root身份执行如下命令:chown root:root /etc/lilo.confchmod 600 /etc/lilo.conflilo对于GRUB:加入本行到/etc/grub.conf:password <password>以root身份执行如下命令:chown root:root /etc/grub.confchmod 600 /etc/grub.conf 可以有助于防止基于控制台的物理攻击7.用户账号和环境for user in uucp operatordo/usr/sbin/userdel $userdonefor user in adm alias apache axfrdns bin daemon dhcpd \dnscache dnslog ftp games gdm gopher halt htdig ident \lp mail mailnull named news nobody nscd postfix \ postgres qmaild qmaill qmailp qmailq qmailr qmails \rpc rpcuser squid sympa sync tinydns xfsdo/usr/sbin/usermod -L -s /dev/null $userdone 的,可以把它们从passwd和shadow文件中删除,其它账号视具体情况而定.要锁定一个账号,可以把该账号的shell改为一个无效的shell, 比如/dev/null验证没有遗留下来的’+’条目存在于passwd,shadow,group文件中:grep ^+: /etc/passwd /etc/shadow /etc/group 这些条目可能会给攻击者提供一个途径来取得系统的访问权限,如果存在的化应该删除2 验证是否有账号存在空口令的情况:awk -F: '($2 == "") { print $1 }' /etc/shadow 所有账号应该有一个强口令或者使用类似”NP”或”*LOCKED*”的口令字串来锁定账号3 检查除了root以外是否还有其它账号的UID为0:awk -F: '($3 == 0) { print $1 }' /etc/passwd 任何UID为0的账号在系统上都具有超级用户权限.4 检查root用户的$PATH中是否有’.’或者所有用户/组用户可写的目录超级用户的$PATH设置中如果存在这些目录可能会导致超级用户误执行一个特洛伊木马5 删除属于root用户的具有潜在危险的文件:rm -f /.[rs]hosts /.netrc /root/.[rs]hosts /root/.netrc /.rhost, /.netrc 或 /root/.rhost ,/root/.netrc文件都具有潜在的危险制:for dir in \`awk -F: '($3 >= 500) { print $6 }' /etc/passwd` dochmod go-w $dirdone 可能会导致恶意用户读/修改/删除其它用户的数据或取得其它用户的系统权限7 是否有用户的点文件是所有用户可读的:for dir in \`awk -F: '($3 >= 500) { print $6 }' /etc/passwd`dofor file in $dir/.[A-Za-z0-9]*doif [ -f $file ]; thenchmod o-w $filefidonedone Unix/Linux下通常以”.”开头的文件是用户的配置文件,如果存在所有用户可读/写的配置文件可能会使恶意用户能读/写其它用户的数据或取得其它用户的系统权限8 删除用户的.netrc文件:for dir in `cut -f6 -d: /etc/passwd`dorm -f $dir/.netrcdone .netrc文件中可能会包含未加密的口令9 为用户设置合适的缺省umask值:cd /etcfor file in profile csh.login csh.cshrc bashrcdoif [ `grep -c umask $file` -eq 0 ];thenecho "umask 022" >> $filefichown root:root $filechmod 444 $filedone 为用户设置缺省的umask值有助于防止用户建立所有用户可写的文件而危及用户的数据.8.关键安全工具的安装程管理/数据传输协议.它可以用来替代telnet, r命令,ftp等传统的不安全的协议/命令.SSH的最新实现软件可以在下载2 安装NTP NTP(网络时间协议)用于使网络上的多个系统间的时间同步,精确的系统。