《linux系统安全加固手册 09》由会员分享，可在线阅读，更多相关《linux系统安全加固手册 09（9页珍藏版）》请在金锄头文库上搜索。
1、Linux系统安全加固手册1.安装最新安全补丁:项目:注释:1安装操作系统提供商发布的最新的安全补丁各常见的Linux发布安全信息的web地址:RedHat Linux: http:/ OpenLinux: http:/ Linux: http:/.br/atualizacoes/Debian GNU/Linux: http:/www.debian.org/security/Mandrake Linux: http:/www.linux- http:/ : http:/www.suse.de/security/index.htmlYellow Dog Linux : http:/ exec,
2、login, shell,who,finger等.对于telnet, r系列服务, ftp等, 强烈建议使用SSH来代替.2设置xinetd访问控制在/etc/xinetd.conf文件的”default ”块中加入如下行:only_from=/ / 每个/(比如192.168.1.0/24)对表示允许的源地址启动服务:设置项注释:1关闭NFS服务器进程:运行 chkconfig nfs offNFS通常存在漏洞会导致未授权的文件和系统访问.2关闭NFS客户端进程:运行 chkconfig nfslock offchkconfig autofs off3关闭NIS客户端进程:chkconfig
3、 ypbind offNIS系统在设计时就存在安全隐患4关闭NIS服务器进程:运行 chkconfig ypserv offchkconfig yppasswd off5关闭其它基于RPC的服务:运行 chkconfig portmap off基于RPC的服务通常非常脆弱或者缺少安全的认证,但是还可能共享敏感信息.除非确实必需,否则应该完全禁止基于RPC的服务.6关闭SMB服务运行 chkconfig smb off除非确实需要和Windows系统共享文件,否则应该禁止该服务.7禁止Netfs脚本chkconfig netfs off如果不需要文件共享可禁止该脚本8关闭打印机守护进程chkco
4、nfig lpd off如果用户从来不通过该机器打印文件则应该禁止该服务.Unix的打印服务有糟糕的安全记录.9关闭启动时运行的 X Serversed s/id:5:initdefault:/id:3:initdefault:/ /etc/inittab.newmv /etc/inittab.new /etc/inittabchown root:root /etc/inittabchmod 0600 /etc/inittab对于专门的服务器没有理由要运行X Server, 比如专门的Web服务器10关闭Mail Serverchkconfig postfix off多数Unix/Linux系
5、统运行Sendmail作为邮件服务器, 而该软件历史上出现过较多安全漏洞,如无必要,禁止该服务11关闭Web Serverchkconfig httpd off可能的话,禁止该服务.12关闭SNMPchkconfig snmpd off如果必需运行SNMP的话,应该更改缺省的community string13关闭DNS Serverchkconfig named off可能的话,禁止该服务14关闭 Database Serverchkconfig postgresql offLinux下常见的数据库服务器有Mysql, Postgre, Oracle等, 没有必要的话,应该禁止这些服务15关
6、闭路由守护进程chkconfig routed offchkconfig gated off组织里仅有极少数的机器才需要作为路由器来运行.大多数机器都使用简单的”静态路由”, 并且它不需要运行特殊的守护进程16关闭Webmin远程管理工具chkconfig webmin offWebmin是一个远程管理工具,它有糟糕的认证和会话管理历史, 所以应该谨慎使用17关闭Squid Web Cachechkconfig squid off如果必需使用, 应该谨慎配置18可能的话禁止inetd/xinetdchkconfig inetd off 或chkconfig xinetd off如果没有网络服务
7、通过inetd/xinetd运行则可以禁止它们19设置守护进程掩码cd /etc/rc.d/init.dif grep -l umask functions = ; thenecho umask 022 functionsfi系统缺省的umask 值应该设定为022以避免守护进程创建所有用户可写的文件3.核心调整:设置项注释:1禁止core dump:cat /etc/security/limits.conf* soft core 0* hard core 0END_ENTRIES允许core dump会耗费大量的磁盘空间.2限制NFS客户端使用特权端口:perl -i.orig -pe ne
8、xt if (/s*#/ | /s*$/);($res, hst) = split( );foreach $ent (hst) undef(%set);($optlist) = $ent = /(.*?)/;foreach $opt (split(/,/, $optlist) $set$opt = 1;delete($setinsecure);$setsecure = 1;$ent = s/(.*?)/;$ent .= ( . join(, keys(%set) . );$hst0 = (secure) unless (hst);$_ = $rest . join( , hst) . n; /
9、etc/exports可以防止非特权用户发起的automouted NFS攻击.3网络参数调整:cat /etc/sysctl.confnet.ipv4.ip_forward = 0net.ipv4.conf.all.accept_source_route = 0net.ipv4.tcp_max_syn_backlog = 4096net.ipv4.conf.all.rp_filter = 1END_SCRIPTcat /etc/sysctl.confnet.ipv4.conf.all.send_redirects = 0net.ipv4.conf.all.accept_redirects =
10、 0net.ipv4.conf.default.accept_redirects = 0END_SCRIPTchown root:root /etc/sysctl.confchmod 0600 /etc/sysctl.conf详见: http:/ 和AUTHPRIV facility的消息到日志文件/var/log/secure:if grep -c auth. /etc/syslog.conf -eq 0 thenecho -e auth.*tttt/var/log/secure /etc/syslog.conffiif grep -c authpriv. /etc/syslog.conf
11、eq 0 thenecho -e authpriv.*tttt/var/log/secure /etc/syslog.conffitouch /var/log/securechown root:root /var/log/securechmod 600 /var/log/secure.syslog中的AUTH 和AUTHPRIV facility包含了大量安全相关的信息, 不是所有Linux发布都记录这些日志信息.应该把这些信息记录到/var/log/secure文件中(该文件仅超级用户可读)5.文件/目录访问许可权限:检查项注释:1对/etc/fstab中的可移动介质增加”nosuid”选项
12、:awk ($2 /m.*/(floppy|cdrom)$/ & $3 != supermount) $4 = sprintf(%s,nosuid, $4) ; print /etc/fstab /etc/fstab.newmv /etc/fstab.new /etc/fstabchown root:root /etc/fstabchmod 0644 /etc/fstab可以移动介质是引入恶意代码的一个重要途径.该设置可以防止普通用户通过CDROM或软盘引入SUID程序2禁止普通用户来mount可移动文件系统:cd /etc/securityegrep -v (floppy|cdrom) console.perms console.perms.newmv console.perms.new console.permsgrep -v supermount /etc/fstab /etc/fstab.newmv /etc/fstab.new /etc/fstabchown root:root console.perms /etc/fst
