linux安全基线加固
安全基线加固
一、帐号与口令-用户口令设置, 配置用户口令强度检查达到12位，要求用户口令包括数字、小写字母、大写字母和特殊符号4类中至少2类。
[root@www ~]# vim /etc/pam.d/system-auth
二、 帐号与口令-检查是否存在除root之外UID为0的用户
操作步骤：
执行：awk -F: '(1 }' /etc/passwd
返回值包括“root”以外的条目，则低于安全要求。
三、帐号与口令-检查是否存在如下不必要账户：lp, sync, shutdown, halt, news,
uucp, operator, games, gopher等,
操作步骤：
执行：cat /etc/passwd
如果不使用，用以下命令进行删除。
四：给不同的用户分配不同的帐号，避免多个用户共享帐号。
至少分配root，auditor，operator角色。
五：设置帐号在3次连续尝试认证失败后锁定，锁定时间为1分钟，避免用户口
令被暴力破解。
步骤：建立/var/log/faillog文件并设置权限骤
touch /var/log/faillog
chmod 600 /var/log/faillog
编辑/etc/pam.d/system-auth文件，在
auth required pam_env.so后面添加
auth required pam_tally.so onerr=fail deny=3 unlock_time=60
六：帐号与口令-检查除ROOT外是否有其他账户拥有shell权限
执行：cat /etc/passwd观察是否有非root账户设置/bin/bash或/bin/sh权限
无特殊应用情况下，如发现上述账户，则低于安全要求
七：帐号与口令-远程连接的安全性配置
步骤：执行：find / -name .netrc，检查系统中是否有.netrc文件；
执行：find / -name .rhosts ，检查系统中是否有.rhosts文件
返回值包含以上条件，则低于安全要求。
如无必要，删除这两个文件
八：限制ssh连接的IP配置
配置tcp_wrappers，限制允许远程登陆系统的IP范围。
参考配置操作
编辑/etc/hosts.deny
添加sshd:ALL
编辑/etc/hosts.allow
添加
sshd:168.8.44.0/255.255.255.0#允许168.8.44.0网段远程登陆
sshd:168.8.43.0/255.255.255.0#允许168.8.43.0网段远程登陆
1、判定条件
只有网管网段可以ssh登陆系统。
2、检测操作
cat /etc/hosts.deny
cat /etc/hosts.allow
九：用户的umask安全配置
执行：more /etc/profile more /etc/csh.login more /etc/csh.cshrc more
/etc/bashrc检查是否包含umask值
补充操作说明：vi /etc/profile
建议设置用户的默认umask=077
十：文件系统-查找未授权的SUID/SGID文件
用下面的命令查找系统中所有的SUID和SGID程序，执行：
此题可以用shell脚本执行
[root@www Desktop]# vim 111.sh
####编辑一下内容
#!/bin/bash
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do
find $PART \( -perm -04000 -o -perm -02000 \) -type f -xdev -print
done
[root@www Desktop]# chmod +x 111.sh
[root@www Desktop]# ./111/sh
#!/bin/bash
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do
find $PART \( -perm -04000 -o -perm -02000 \) -type f -xdev -print
done
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do
find $PART \( -perm -04000 -o -perm -02000 \) -type f -xdev -print
done
若存在未授权的文件，则低于安全要求。
十一：检查任何人都有写权限的目录
在系统中定位任何人都有写权限的目录用下面的命令：
for PART in `awk '($3 == "ext2" || $3 == "ext3") \
{ print $2 }' /etc/fstab`; do
find $PART -xdev -type d \( -perm -0002 -a ! -perm -1000 \) -print
done
十二、查找任何人都有写权限的文件
在系统中定位任何人都有写权限的文件用下面的命令：
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do
find $PART -xdev -type f \( -perm -0002 -a ! -perm -1000 \) -print
done
若返回值非空，则低于安全要求。
十三、检查没有属主的文件
定位系统中没有属主的文件用下面的命令：
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do
find $PART -nouser -o -nogroup -print
done
注意：不用管“/dev”目录下的那些文件
补充操作说明
发现没有属主的文件往往就意味着有黑客入侵你的系统了。不能允许没有属
主的文件存在。如果在系统中发现了没有属主的文件或目录，先查看它的完
整性，如果一切正常，给它一个属主。有时候卸载程序可能会出现一些没有
属主的文件或目录，在这种情况下可以把这些文件和目录删除掉
十四、检查异常隐含文件
用“find”程序可以查找到这些隐含文件。例如：
[root@www ~]# find / -xdev -name ".." -print
/usr/share/man/man1/..1.gz
[root@www ~]# find / -xdev -name ".." -print |cat -v
/usr/share/man/man1/..1.gz
同时也要注意象“.xx”和“.mail”这样的文件名的。（这些文件名看起来都很象正常的文件名）
若返回值非空，则低于安全要求。
补充操作说明
在系统的每个地方都要查看一下有没有异常隐含文件（点号是起始字符的，
用“ls”命令看不到的文件），因为这些文件可能是隐藏的黑客工具或者其它
一些信息（口令破解程序、其它系统的口令文件，等等）。在UNIX/LINUX
下，一个常用的技术就是用一些特殊的名，如：“…”、“.. ”（点点空格）
或“..^G”（点点control-G），来隐含文件或目录。
十五、日志审计-syslog登录事件记录
执行命令：more /etc/rsyslog.conf
查看参数authpriv值
authpriv.* /var/log/secure
若未对所有登录事件都记录，则低于安全要求。
十六、Linux日志增强要求项
执行命令：
chattr +a /var/log/messages
chattr +i /var/log/messages.*
chattr +i /etc/shadow
chattr +i /etc/passwd
chattr +I /etc/group
十七、操作系统超时注销
参考配置操作
编辑/etc/profile文件，添加
TMOUT=300
用户登陆后如果300秒内没有做任何操作，则自动注销登陆。
十八、禁用不必要服务
根据实际情况，关闭不必要的系统服务，如：finger,kudzu,isdn,nfs,apm,
sound,pcmcia,vsftpd, rhnsd,Bluetooth,sendmail,lpd,netfs,telnet,RPC,imap
等服务。
在无特殊应用情况下，若有上述提到的服务开启，则不符合要求。
这是错的
以下是对的
[root@www ~]# systemctl start vsftpd
[root@www ~]#
[root@www ~]# ps ax |grep vsftpd
22769 pts/1 S+ 0:00 grep --color=auto vsftpd
[root@www ~]#
[root@www ~]# systemctl stop vsftpd
[root@www ~]#
[root@www ~]# systemctl list-units|grep running
proc-sys-fs-binfmt_misc.automount loaded active running Arbitrary Executable File Formats File System Automount Point
session-1.scope loaded active running Session 1 of user root
session-14.scope loaded active running Session 14 of user root
abrt-oops.service loaded active running ABRT kernel log watcher
abrt-xorg.service loaded active running ABRT Xorg log watcher
abrtd.service loaded active running ABRT Automated Bug Reporting Tool
accounts-daemon.service loaded active running Accounts Service
alsa-state.service loaded active running Manage Sound Card State (restore and store)
atd.service loaded active running Job spooling tools
auditd.service loaded active running Security Auditing Service
avahi-daemon.service loaded active running Avahi mDNS/DNS-SD Stack
bolt.service loaded active running Thunderbolt system service
chronyd.service loaded active running NTP client/server
colord.service loaded active running Manage, Install and Generate Color Profiles
crond.service loaded active running Command Scheduler
cups.service loaded active running CUPS Printing Service
dbus.service loaded active running D-Bus System Message Bus
fwupd.service loaded active running Firmware update daemon
gdm.service loaded active running GNOME Display Manager
gssproxy.service loaded active running GSSAPI Proxy Daemon
httpd.service loaded active running The Apache HTTP Server
irqbalance.service loaded active running irqbalance daemon
ksmtuned.service loaded active running Kernel Samepage Merging (KSM) Tuning Daemon
libstoragemgmt.service loaded active running libstoragemgmt plug-in server daemon
libvirtd.service loaded active running Virtualization daemon
lvm2-lvmetad.service loaded active running LVM2 metadata daemon
ModemManager.service loaded active running Modem Manager
NetworkManager.service loaded active running Network Manager
packagekit.service loaded active running PackageKit Daemon
polkit.service loaded active running Authorization Manager
postfix.service loaded active running Postfix Mail Transport Agent
rngd.service loaded active running Hardware RNG Entropy Gatherer Daemon
rpcbind.service loaded active running RPC bind service
rsyslog.service loaded active running System Logging Service
rtkit-daemon.service loaded active running RealtimeKit Scheduling Policy Service
smartd.service loaded active running Self Monitoring and Reporting Technology (SMART) Daemon
sshd.service loaded active running OpenSSH server daemon
systemd-journald.service loaded active running Journal Service
systemd-logind.service loaded active running Login Service
systemd-udevd.service loaded active running udev Kernel Device Manager
tuned.service loaded active running Dynamic System Tuning Daemon
udisks2.service loaded active running Disk Manager
upower.service loaded active running Daemon for power management
vgauthd.service loaded active running VGAuth Service for open-vm-tools
vmtoolsd.service loaded active running Service for virtual machines hosted on VMware
wpa_supplicant.service loaded active running WPA Supplicant daemon
avahi-daemon.socket loaded active running Avahi mDNS/DNS-SD Stack Activation Socket
cups.socket loaded active running CUPS Printing Service Sockets
dbus.socket loaded active running D-Bus System Message Bus Socket
lvm2-lvmetad.socket loaded active running LVM2 metadata daemon socket
rpcbind.socket loaded active running RPCbind Server Activation Socket
systemd-journald.socket loaded active running Journal Socket
systemd-udevd-control.socket loaded active running udev Control Socket
systemd-udevd-kernel.socket loaded active running udev Kernel Socket
[root@www ~]#
