這篇文章主要介紹了Linux服務(wù)器中操作系統(tǒng)加固的示例分析,具有一定借鑒價(jià)值,感興趣的朋友可以參考下,希望大家閱讀完這篇文章之后大有收獲,下面讓小編帶著大家一起了解一下。
我們提供的服務(wù)有:網(wǎng)站設(shè)計(jì)、成都網(wǎng)站設(shè)計(jì)、微信公眾號開發(fā)、網(wǎng)站優(yōu)化、網(wǎng)站認(rèn)證、鳳泉ssl等。為1000多家企事業(yè)單位解決了網(wǎng)站和推廣的問題。提供周到的售前咨詢和貼心的售后服務(wù),是有科學(xué)管理、有技術(shù)的鳳泉網(wǎng)站制作公司減少系統(tǒng)無用賬號,降低安全風(fēng)險(xiǎn)。
操作步驟
使用命令 userdel <用戶名>
刪除不必要的賬號。
使用命令 passwd -l <用戶名>
鎖定不必要的賬號。
使用命令 passwd -u <用戶名>
解鎖必要的賬號。
檢查是否存在空口令和root權(quán)限的賬號。
操作步驟
查看空口令和root權(quán)限賬號,確認(rèn)是否存在異常賬號:
使用命令 awk -F: '($2=="")' /etc/shadow
查看空口令賬號。
使用命令 awk -F: '($3==0)' /etc/passwd
查看UID為零的賬號。
加固空口令賬號:
使用命令 passwd <用戶名>
為空口令賬號設(shè)定密碼。
確認(rèn)UID為零的賬號只有root賬號。
加強(qiáng)口令的復(fù)雜度等,降低被猜解的可能性。
操作步驟
使用命令 vi /etc/login.defs
修改配置文件。
PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數(shù)
PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數(shù)
PASS_WARN_AGE 7 #新建用戶的密碼到期提前提醒天數(shù)
使用chage命令修改用戶設(shè)置。
例如,chage -m 0 -M 30 -E 2000-01-01 -W 7 <用戶名>
表示將此用戶的密碼最長使用天數(shù)設(shè)為30,最短使用天數(shù)設(shè)為0,密碼2000年1月1日過期,過期前七天警告用戶。
設(shè)置連續(xù)輸錯三次密碼,賬號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth
修改配置文件,在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300
。
限制能su到root的用戶。
操作步驟
使用命令 vi /etc/pam.d/su
修改配置文件,在配置文件中添加行。例如,只允許test組用戶su到root,則添加 auth required pam_wheel.so group=test
。
限制root用戶直接登錄。
操作步驟
創(chuàng)建普通權(quán)限賬號并配置密碼,防止無法遠(yuǎn)程登錄;
使用命令 vi /etc/ssh/sshd_config
修改配置文件將PermitRootLogin的值改成no,并保存,然后使用service sshd restart
重啟服務(wù)。
關(guān)閉不必要的服務(wù)(如普通服務(wù)和xinetd服務(wù)),降低風(fēng)險(xiǎn)。
操作步驟
使用命令 chkconfig --level
設(shè)置服務(wù)在指定init級別下開機(jī)是否啟動。
對SSH服務(wù)進(jìn)行安全加固,防止暴力破解成功。
操作步驟
使用命令 vim /etc/ssh/sshd_config
編輯配置文件。
不允許root賬號直接登錄系統(tǒng)。
設(shè)置 PermitRootLogin 的值為 no。
修改SSH使用的協(xié)議版本。
設(shè)置 Protocol 的版本為 2。
修改允許密碼錯誤次數(shù)(默認(rèn)6次)。
設(shè)置 MaxAuthTries 的值為 3。
配置文件修改完成后,重啟sshd服務(wù)生效。
設(shè)置默認(rèn)的umask值,增強(qiáng)安全性。
操作步驟
使用命令 vi /etc/profile
修改配置文件,添加行 umask 027
, 即新創(chuàng)建的文件屬主擁有讀寫執(zhí)行權(quán)限,同組用戶擁有讀和執(zhí)行權(quán)限,其他用戶無權(quán)限。
設(shè)置系統(tǒng)登錄后,連接超時(shí)時(shí)間,增強(qiáng)安全性。
操作步驟
使用命令 vi /etc/profile
修改配置文件,將以 TMOUT=
開頭的行注釋,設(shè)置為TMOUT=180
,即超時(shí)時(shí)間為三分鐘。
啟用日志功能,并配置日志記錄。
操作步驟
Linux系統(tǒng)默認(rèn)啟用以下類型日志:
系統(tǒng)日志(默認(rèn))/var/log/messages
cron日志(默認(rèn))/var/log/cron
安全日志(默認(rèn))/var/log/secure
注意:部分系統(tǒng)可能使用syslog-ng日志,配置文件為:/etc/syslog-ng/syslog-ng.conf。
您可以根據(jù)需求配置詳細(xì)日志。
通過腳本代碼實(shí)現(xiàn)記錄所有用戶的登錄操作日志,防止出現(xiàn)安全事件后無據(jù)可查。
操作步驟
1、運(yùn)行 [root@xxx /]# vim /etc/profile打開配置文件。
2、在配置文件中輸入以下內(nèi)容:
history USER=`whoami` USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'` if [ "$USER_IP" = "" ]; then USER_IP=`hostname` fi if [ ! -d /var/log/history ]; then mkdir /var/log/history chmod 777 /var/log/history fi if [ ! -d /var/log/history/${LOGNAME} ]; then mkdir /var/log/history/${LOGNAME} chmod 300 /var/log/history/${LOGNAME} fi export HISTSIZE=4096 DT=`date +"%Y%m%d_%H:%M:%S"` export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT" chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null
3、運(yùn)行 [root@xxx /]# source /etc/profile 加載配置生效。
注意: /var/log/history 是記錄日志的存放位置,可以自定義。
通過上述步驟,可以在 /var/log/history 目錄下以每個(gè)用戶為名新建一個(gè)文件夾,每次用戶退出后都會產(chǎn)生以用戶名、登錄IP、時(shí)間的日志文件,包含此用戶本次的所有操作(root用戶除外)。
同時(shí),建議您使用OSS服務(wù)收集存儲日志。
感謝你能夠認(rèn)真閱讀完這篇文章,希望小編分享的“Linux服務(wù)器中操作系統(tǒng)加固的示例分析”這篇文章對大家有幫助,同時(shí)也希望大家多多支持創(chuàng)新互聯(lián)成都網(wǎng)站設(shè)計(jì)公司,關(guān)注創(chuàng)新互聯(lián)成都網(wǎng)站設(shè)計(jì)公司行業(yè)資訊頻道,更多相關(guān)知識等著你來學(xué)習(xí)!
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn,海內(nèi)外云服務(wù)器15元起步,三天無理由+7*72小時(shí)售后在線,公司持有idc許可證,提供“云服務(wù)器、裸金屬服務(wù)器、網(wǎng)站設(shè)計(jì)器、香港服務(wù)器、美國服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案,具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢,專為企業(yè)上云打造定制,能夠滿足用戶豐富、多元化的應(yīng)用場景需求。