Linux操做系統加固

本文旨在指導系統管理人員或安全檢查人員進行Linux操做系統的安全合規性檢查和加固。

1. 帳號和口令

1.1 禁用或刪除無用帳號

減小系統無用帳號，下降安全風險。

操做步驟

• 使用命令 userdel <用戶名> 刪除沒必要要的帳號。
• 使用命令 passwd -l <用戶名> 鎖定沒必要要的帳號。
• 使用命令 passwd -u <用戶名> 解鎖必要的帳號。

1.2 檢查特殊帳號

檢查是否存在空口令和root權限的帳號。

操做步驟

1. 查看空口令和root權限帳號，確認是否存在異常帳號：
   • 使用命令 awk -F: '($2=="")' /etc/shadow 查看空口令帳號。
   • 使用命令 awk -F: '($3==0)' /etc/passwd 查看UID爲零的帳號。
2. 加固空口令帳號：
   • 使用命令 passwd <用戶名> 爲空口令帳號設定密碼。
   • 確認UID爲零的帳號只有root帳號。

1.3 添加口令策略

增強口令的複雜度等，下降被猜解的可能性。

操做步驟

1. 使用命令 vi /etc/login.defs 修改配置文件。
   • PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數
   • PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數
   • PASS_WARN_AGE 7 #新建用戶的密碼到期提早提醒天數
2. 使用chage命令修改用戶設置。
   例如，chage -m 0 -M 30 -E 2000-01-01 -W 7 <用戶名>表示將此用戶的密碼最長使用天數設爲30，最短使用天數設爲0，密碼2000年1月1日過時，過時前七天警告用戶。
3. 設置連續輸錯三次密碼，帳號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth修改配置文件，在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。

1.4 限制用戶su

限制能su到root的用戶。

操做步驟

使用命令 vi /etc/pam.d/su修改配置文件，在配置文件中添加行。例如，只容許test組用戶su到root，則添加 auth required pam_wheel.so group=test。

1.4 禁止root用戶直接登陸

限制root用戶直接登陸。

操做步驟

1. 建立普通權限帳號並配置密碼,防止沒法遠程登陸;
2. 使用命令 vi /etc/ssh/sshd_config修改配置文件將PermitRootLogin的值改爲no，並保存，而後使用service sshd restart重啓服務。

2. 服務

2.1 關閉沒必要要的服務

關閉沒必要要的服務（如普通服務和xinetd服務），下降風險。

操做步驟

使用命令systemctl disable <服務名>設置服務在開機時不自動啓動。

說明： 對於部分老版本的Linux操做系統（如CentOS 6），可使用命令chkconfig \--level <init級別> <服務名> off設置服務在指定init級別下開機時不自動啓動。

2.2 SSH服務安全

對SSH服務進行安全加固，防止暴力破解成功。

操做步驟

使用命令 vim /etc/ssh/sshd_config 編輯配置文件。

• 不容許root帳號直接登陸系統。
  設置 PermitRootLogin 的值爲 no。
• 修改SSH使用的協議版本。
  設置 Protocol 的版本爲 2。
• 修改容許密碼錯誤次數（默認6次）。
  設置 MaxAuthTries 的值爲 3。

配置文件修改完成後，重啓sshd服務生效。

3. 文件系統

3.1 設置umask值

設置默認的umask值，加強安全性。

操做步驟

使用命令 vi /etc/profile 修改配置文件，添加行 umask 027， 即新建立的文件屬主擁有讀寫執行權限，同組用戶擁有讀和執行權限，其餘用戶無權限。

3.2 設置登陸超時

設置系統登陸後，鏈接超時時間，加強安全性。

操做步驟

使用命令 vi /etc/profile 修改配置文件，將以 TMOUT= 開頭的行註釋，設置爲TMOUT=180，即超時時間爲三分鐘。

4. 日誌

4.1 syslogd日誌

啓用日誌功能，並配置日誌記錄。

操做步驟

Linux系統默認啓用如下類型日誌：

• 系統日誌（默認）/var/log/messages
• cron日誌（默認）/var/log/cron
• 安全日誌（默認）/var/log/secure

注意：部分系統可能使用syslog-ng日誌，配置文件爲：/etc/syslog-ng/syslog-ng.conf。

您能夠根據需求配置詳細日誌。

4.2 記錄全部用戶的登陸和操做日誌

經過腳本代碼實現記錄全部用戶的登陸操做日誌，防止出現安全事件後無據可查。

操做步驟

1.打開配置文件

[root@xxx /]# vim /etc/profile

2.在配置文件中輸入如下內容：

history
USER=`whoami`
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]; then
USER_IP=`hostname`
fi
if [ ! -d /var/log/history ]; then
mkdir /var/log/history
chmod 777 /var/log/history
fi
if [ ! -d /var/log/history/${LOGNAME} ]; then
mkdir /var/log/history/${LOGNAME}
chmod 300 /var/log/history/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date +"%Y%m%d_%H:%M:%S"`
export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null

3. 運行加載配置生效。

[root@xxx /]# source /etc/profile

注意： /var/log/history 是記錄日誌的存放位置，能夠自定義。

經過上述步驟，能夠在 /var/log/history 目錄下以每一個用戶爲名新建一個文件夾，每次用戶退出後都會產生以用戶名、登陸IP、時間的日誌文件，包含此用戶本次的全部操做（root用戶除外）。

原文連接：https://www.jianshu.com/p/7f68e8cb51bc