linux基本安全配置手冊

安裝注意

作為伺服器，不安裝不需要的元件，所以在選擇元件的時候，不要安裝服務包和桌面但需要開發工具和開發包。
以下命令等適用redhat/centos 4,5

1.刪除系統特殊的的使用者帳號：

禁止所有預設的被作業系統本身啟動的且不需要的帳號，當你第一次裝上系統時就應該做此檢查，Linux提供了各種帳號，你可能不需要，如果你不需要這個帳號，就移走它，你有的帳號越多，就越容易受到攻擊。
======================================================================
#為刪除你係統上的使用者，用下面的命令：
[root@c1gstudio]# userdel username

#批量刪除方式
#這裡刪除"adm lp sync shutdown halt mail news uucp operator games gopher ftp "賬號
#如果你開著ftp等服務可以把ftp賬號保留下來。

======================================================================

2.刪除系統特殊的組帳號

[root@c1gstudio]# groupdel groupname

#批量刪除方式

======================================================================

3.使用者密碼設定

安裝linux時預設的密碼最小長度是5個位元組，但這並不夠，要把它設為8個位元組。修改最短密碼長度需要編輯login.defs檔案#vi /etc/login.defs

然後修改Root密碼
#passwd root
New UNIX password:
Retype new UNIX password:
passwd: all authentication tokens updated successfully.
======================================================================

4.修改自動登出帳號時間

自動登出帳號的登入，在Linux系統中root賬戶是具有最高特權的。如果系統管理員在離開系統之前忘記登出root賬戶，那將會帶來很大的安全隱患，應該讓系統會自動登出。通過修改賬戶中“TMOUT”引數，可以實現此功能。TMOUT按秒計算。編輯你的profile檔案（vi /etc/profile）,在"HISTSIZE="後面加入下面這行：

300，表示300秒，也就是表示5分鐘。這樣，如果系統中登陸的使用者在5分鐘內都沒有動作，那麼系統會自動登出這個賬戶。
======================================================================

5.限制Shell命令記錄大小

預設情況下，bash shell會在檔案$HOME/.bash_history中存放多達500條命令記錄(根據具體的系統不同，預設記錄條數不同)。系統中每個使用者的主目錄下都有一個這樣的檔案。在此筆者強烈建議限制該檔案的大小。
您可以編輯/etc/profile檔案，修改其中的選項如下: HISTFILESIZE=30或HISTSIZE=30
#vi /etc/profile

======================================================================

6.登出時刪除命令記錄

編輯/etc/skel/.bash_logout檔案，增加如下行:

這樣，系統中的所有使用者在登出時都會刪除其命令記錄。
如果只需要針對某個特定使用者，如root使用者進行設定，則可只在該使用者的主目錄下修改/$HOME/.bash_history檔案，增加相同的一行即可。

======================================================================

7.用下面的命令加需要的使用者組和使用者帳號

[root@c1gstudio]# groupadd
例如：增加website 使用者組，groupadd website
然後呼叫vigr命令檢視已新增的使用者組

用下面的命令加需要的使用者帳號
[root@c1gstudio]# useradd username –g website //新增使用者到website組（作為webserver的普通管理員，而非root管理員）
然後呼叫vipw命令檢視已新增的使用者

用下面的命令改變使用者口令（至少輸入8位字母和數字組合的密碼，並將密碼記錄於本地機的專門文件中，以防遺忘）
[root@c1gstudio]# passwd username
======================================================================

8.阻止任何人su作為root

如果你不想任何人能夠su作為root,你能編輯/etc/pam.d/su加下面的行：

#vi /etc/pam.d/su

意味著僅僅website組的使用者可以su作為root.
======================================================================

9.修改ssh服務的root登入許可權

修改ssh服務配置檔案，使的ssh服務不允許直接使用root使用者來登入，這樣減少系統被惡意登入攻擊的機會。

#vi /etc/ssh/sshd_config

將這行前的＃去掉後，修改為：

10.修改ssh服務的sshd 埠

ssh預設會監聽在22埠，你可以修改至6022埠以避過常規的掃描。
注意：修改埠錯誤可能會導致你下次連不到伺服器，可以先同時開著22和6022兩個埠，然後再關掉22埠；
重啟sshd不會彈掉你當前的連線，可以另外開一個客戶端來測試服務;

#vi /etc/ssh/sshd_config
#增加修改

#重啟sshd服務

檢查一下sshd的監聽埠對不對

#iptables開放sshd的6022埠

重啟iptables 服務

#測試兩個埠是否都能連上，連上後再將22埠刪除

詳細參考：
Linux作業系統下SSH預設22埠修改方法
======================================================================

11.關閉系統不使用的服務：

cd /etc/init.d #進入到系統init程式啟動目錄
在這裡有兩個方法，可以關閉init目錄下的服務，
一、將init目錄下的檔名mv成*.old類的檔名，即修改檔名，作用就是在系統啟動的時候找不到這個服務的啟動檔案。二、使用chkconfig系統命令來關閉系統啟動等級的服務。
注：在使用以下任何一種方法時，請先檢查需要關閉的服務是否是本伺服器特別需要啟動支援的服務，以防關閉正常使用的服務。

使用chkcofig命令來關閉不使用的系統服務 (level前面為2個減號)
要想在修改啟動指令碼前瞭解有多少服務正在執行，輸入：
ps aux | wc -l

然後修改啟動指令碼後，重啟系統，再次輸入上面的命令，就可計算出減少了多少項服務。越少服務在執行，安全性就越好。另外執行以下命令可以瞭解還有多少服務在執行：
netstat -na --ip

批量方式
先停止服務

關閉啟動服務

以下為手動方式及解釋,執行批量方式後不需再執行了
chkconfig --level 345 apmd off ##筆記本需要
chkconfig --level 345 netfs off ## nfs客戶端
chkconfig --level 345 yppasswdd off ## NIS伺服器，此服務漏洞很多
chkconfig --level 345 ypserv off ## NIS伺服器，此服務漏洞很多
chkconfig --level 345 dhcpd off ## dhcp服務
chkconfig --level 345 portmap off ##執行rpc(111埠)服務必需
chkconfig --level 345 lpd off ##列印服務
chkconfig --level 345 nfs off ## NFS伺服器，漏洞極多
chkconfig --level 345 sendmail off ##郵件服務, 漏洞極多
chkconfig --level 345 snmpd off ## SNMP，遠端使用者能從中獲得許多系統資訊
chkconfig --level 345 rstatd off ##避免執行r服務，遠端使用者可以從中獲取很多資訊
chkconfig --level 345 atd off ##和cron很相似的定時執行程式的服務
注：以上chkcofig 命令中的3和5是系統啟動的型別，以下為數字代表意思
0:開機(請不要切換到此等級)
1:單人使用者模式的文字介面
2:多人使用者模式的文字介面,不具有網路檔案系統(NFS)功能
3:多人使用者模式的文字介面,具有網路檔案系統(NFS)功能
4:某些發行版的linux使用此等級進入x windows system
5:某些發行版的linux使用此等級進入x windows system
6:重新啟動

如果不指定--level 單用on和off開關，系統預設只對執行級3，4，5有效

chkconfig cups off #印表機
chkconfig bluetooth off # 藍芽
chkconfig hidd off # 藍芽
chkconfig ip6tables off # ipv6
chkconfig ipsec off # vpn
chkconfig auditd off #使用者空間監控程式
chkconfig autofs off #光碟軟盤硬碟等自動載入服務

chkconfig avahi-daemon off #主要用於Zero Configuration Networking ，一般沒什麼用建議關閉
chkconfig avahi-dnsconfd off #主要用於Zero Configuration Networking ,同上,建議關閉
chkconfig cpuspeed off #動態調整CPU頻率的程式，在伺服器系統中這個程式建議關閉
chkconfig isdn off #isdn
chkconfig kudzu off #硬體自動監測服務
chkconfig nfslock off #NFS文件鎖定功能。文件共享支援，無需的能夠關了
chkconfig nscd off #負責密碼和組的查詢，在有NIS服務時需要
chkconfig pcscd off #智慧卡支援，,如果沒有可以關了
chkconfig yum-updatesd off #yum更新

chkconfig acpid off
chkconfig autofs off
chkconfig firstboot off
chkconfig mcstrans off #selinux
chkconfig microcode_ctl off
chkconfig rpcgssd off
chkconfig rpcidmapd off
chkconfig setroubleshoot off
chkconfig xfs off
chkconfig xinetd off
chkconfig messagebus off
chkconfig gpm off #滑鼠
chkconfig restorecond off #selinux
chkconfig haldaemon off
chkconfig sysstat off
chkconfig readahead_early off
chkconfig anacron off

需要保留的服務

因為有些服務已執行，所以設定完後需重啟

chkconfig
/*
語　　法：chkconfig [--add][--del][--list][系統服務] 或 chkconfig [--level ][系統服務][on/off/reset]

補充說明：這是Red Hat公司遵循GPL規則所開發的程式，它可查詢作業系統在每一個執行等級中會執行哪些系統服務，其中包括各類常駐服務。

參　　數：
　--add 　增加所指定的系統服務，讓chkconfig指令得以管理它，並同時在系統啟動的敘述檔案內增加相關資料。
　--del 　刪除所指定的系統服務，不再由chkconfig指令管理，並同時在系統啟動的敘述檔案內刪除相關資料。
　--level 　指定讀系統服務要在哪一個執行等級中開啟或關畢
*/

======================================================================

12.阻止系統響應任何從外部/內部來的ping請求

既然沒有人能ping通你的機器並收到響應，你可以大大增強你的站點的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次啟動後自動執行。

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

#這個可以不做哈
======================================================================

12.修改“/etc/host.conf”檔案

　　“/etc/host.conf”說明了如何解析地址。編輯“/etc/host.conf”檔案（vi /etc/host.conf），加入下面這行：
　　# Lookup names via DNS first then fall back to /etc/hosts.
　　order hosts,bind
　　# We have machines with multiple IP addresses.
　　multi on
　　# Check for IP address spoofing.
　　nospoof on

第一項設定首先通過DNS解析IP地址，然後通過hosts檔案解析。第二項設定檢測是否“/etc/hosts”檔案中的主機是否擁有多個IP地址（比如有多個以太口網路卡）。第三項設定說明要注意對本機未經許可的電子欺騙。
======================================================================

13.不允許從不同的控制檯進行root登陸

　　"/etc/securetty"檔案允許你定義root使用者可以從那個TTY裝置登陸。你可以編輯"/etc/securetty"檔案，再不需要登陸的TTY裝置前新增“#”標誌，來禁止從該TTY裝置進行root登陸。

　　在/etc/inittab檔案中有如下一段話：
　　# Run gettys in standard runlevels
　　1:2345:respawn:/sbin/mingetty tty1
　　2:2345:respawn:/sbin/mingetty tty2
　　#3:2345:respawn:/sbin/mingetty tty3
　　#4:2345:respawn:/sbin/mingetty tty4
　　#5:2345:respawn:/sbin/mingetty tty5
　　#6:2345:respawn:/sbin/mingetty tty6

　　系統預設的可以使用6個控制檯，即Alt+F1,Alt+F2...，這裡在3，4，5，6前面加上“#”，註釋該句話，這樣現在只有兩個控制檯可供使用，最好保留兩個。然後重新啟動init程式，改動即可生效！
======================================================================

15.禁止Control-Alt-Delete鍵盤關閉命令

　　在"/etc/inittab" 檔案中註釋掉下面這行（使用#）：
　　ca::ctrlaltdel:/sbin/shutdown -t3 -r now
　　改為：
　　#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

　　為了使這項改動起作用，輸入下面這個命令：
# /sbin/init q
======================================================================

16.用chattr命令給下面的檔案加上不可更改屬性。

[root@c1gstudio]# chattr +i /etc/passwd
[root@c1gstudio]# chattr +i /etc/shadow
[root@c1gstudio]# chattr +i /etc/group
[root@c1gstudio]# chattr +i /etc/gshadow
【注：chattr是改變檔案屬性的命令，引數i代表不得任意更動檔案或目錄,此處的i為不可修改位(immutable)。檢視方法：lsattr /etc/passwd，撤銷為chattr –i /etc/group】
補充說明：這項指令可改變存放在ext2檔案系統上的檔案或目錄屬性，這些屬性共有以下8種模式：
　a：讓檔案或目錄僅供附加用途。
　b：不更新檔案或目錄的最後存取時間。
　c：將檔案或目錄壓縮後存放。
　d：將檔案或目錄排除在傾倒操作之外。
　i：不得任意更動檔案或目錄。
　s：保密性刪除檔案或目錄。
　S：即時更新檔案或目錄。
　u：預防以外刪除。

參　　數：
　-R 遞迴處理，將指定目錄下的所有檔案及子目錄一併處理。
　-v 設定檔案或目錄版本。
　-V 顯示指令執行過程。
　+ 開啟檔案或目錄的該項屬性。
　- 關閉檔案或目錄的該項屬性。
　= 指定檔案或目錄的該項屬性。

======================================================================

17.給系統服務埠列表檔案加鎖

主要作用：防止未經許可的刪除或新增服務

chattr +i /etc/services
【檢視方法：lsattr /etc/ services，撤銷為chattr –i /etc/ services】

======================================================================

17.系統檔案許可權修改

Linux檔案系統的安全主要是通過設定檔案的許可權來實現的。每一個Linux的檔案或目錄，都有3組屬性，分別定義檔案或目錄的所有者，使用者組和其他人的使用許可權（只讀、可寫、可執行、允許SUID、允許SGID等）。特別注意，許可權為SUID和SGID的可執行檔案，在程式執行過程中，會給程式賦予所有者的許可權，如果被黑客發現並利用就會給系統造成危害。

(1)修改init目錄檔案執行許可權：
chmod -R 700 /etc/init.d/* （遞迴處理，owner具有rwx，group無，others無）

(2)修改部分系統檔案的SUID和SGID的許可權：
chmod a-s /usr/bin/chage
chmod a-s /usr/bin/gpasswd
chmod a-s /usr/bin/wall
chmod a-s /usr/bin/chfn
chmod a-s /usr/bin/chsh
chmod a-s /usr/bin/newgrp
chmod a-s /usr/bin/write
chmod a-s /usr/sbin/usernetctl
chmod a-s /usr/sbin/traceroute
chmod a-s /bin/mount
chmod a-s /bin/umount
chmod a-s /sbin/netreport

(3)修改系統引導檔案
chmod 600 /etc/grub.conf
chattr +i /etc/grub.conf
【檢視方法：lsattr /etc/grub.conf，撤銷為chattr –i /etc/grub.conf】

======================================================================

18.增加dns

#vi /etc/resolv.conf

======================================================================

19.hostname 修改

#注意需先把mysql、postfix等服務停了
1.hostname servername

2.vi /etc/sysconfig/network
service network restart

3.vi /etc/hosts

======================================================================

20.selinux 修改

開啟selinux可以增加安全性，但裝軟體時可能會遇到一些奇怪問題
以下是關閉方法
#vi /etc/selinux/config
改成disabled

======================================================================

21.關閉ipv6

#vi /etc/sysconfig/network

重啟服務

Service ip6tables stop
Service network restart

關閉自動啟動

chkconfig --level 235 ip6tables off

======================================================================

22.設定iptables

iptables 預設安全規則指令碼

======================================================================

重啟系統

以上大部分設定可以執行指令碼來完成
linux安全設定快捷指令碼

設定完成後重啟系統

其它設定項

linux調整系統時區/時間的方法

把/usr/share/zoneinfo裡相應的時區與/etc/localtime做個軟link.比如使用上海時區的時間:ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localtime 如果要使用UTC計時方式，則應在/etc/sysconfig/clock檔案裡改UTC=TRUE 時間的設定: 使用date 命令加s引數修改，注意linux的時間格式為"月日時分年",也可以只修改時間date -s 22:30:20,如果修改的是年月日和時間，格式為"月日時分年.秒",2007-03-18 11:01:56則應寫為"date -s 031811012007.56 硬體時間與當前時間更新: hwclock --systohc 如果硬體記時用UTC,則為 hwclock --systohc --utc

linux調整系統時區/時間的方法

1) 找到相應的時區檔案 /usr/share/zoneinfo/Asia/Shanghai

用這個檔案替換當前的/etc/localtime檔案。
步驟： cp –i /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
選擇覆蓋
2) 修改/etc/sysconfig/clock檔案，修改為：

ZONE="Asia/Shanghai"
UTC=false
ARC=false

3)
時間設定成2005年8月30日的命令如下：
#date -s 08/30/2005

將系統時間設定成下午6點40分0秒的命令如下。
#date -s 18:40:00

4)
同步BIOS時鐘，強制把系統時間寫入CMOS，命令如下：
#clock -w

======================================================================

增加網易yum源

#cd /etc/yum.repos.d/
#mv CentOS-Base.repo CentOS-Base.repo.bak
#wget http://mirrors.163.com/.help/CentOS-Base-163.repo

======================================================================

安裝ntpd

#yum install ntp
#chkconfig --levels 235 ntpd on
#ntpdate ntp.api.bz #先手動校準下
#service ntpd start

======================================================================

設定語言

英文語言，中文支援
#vi /etc/sysconfig/i18n

LANG="en_US.UTF-8"
SUPPORTED="zh_CN.UTF-8:zh_CN:zh"
SYSFONT="latarcyrheb-sun16"

======================================================================

tmpwatch 定時清除

假設伺服器自定義了php的session和upload目錄

#vi /etc/cron.daily/tmpwatch
在240 /tmp 前增加
-x /tmp/session -x /tmp/upload

#mkdir /tmp/session
#mkdir /tmp/upload
#chown nobody:nobody /tmp/upload
#chmod 0770 /tmp/upload
======================================================================

安裝fail2ban

使用fail2ban來阻止Ssh暴力入侵
======================================================================

安裝Tripwire

安裝Tripwire檢查檔案完整性
======================================================================

安裝jailkit

用jailkit建立一個chroot環境的sftp