真实的国产乱ⅩXXX66竹夫人,五月香六月婷婷激情综合,亚洲日本VA一区二区三区,亚洲精品一区二区三区麻豆

成都創(chuàng)新互聯(lián)網(wǎng)站制作重慶分公司

SECURITY-上課記錄6.3

查看指定時(shí)間的日志

$ journalctl --since="2012-10-30 18:17:16"
$ journalctl --since "20 min ago"
$ journalctl --since yesterday
$ journalctl --since "2015-01-10" --until "2015-01-11 03:00"
$ journalctl --since 09:00 --until "1 hour ago"

站在用戶的角度思考問(wèn)題，與客戶深入溝通，找到舞鋼網(wǎng)站設(shè)計(jì)與舞鋼網(wǎng)站推廣的解決方案，憑借多年的經(jīng)驗(yàn)，讓設(shè)計(jì)與互聯(lián)網(wǎng)技術(shù)結(jié)合，創(chuàng)造個(gè)性化、用戶體驗(yàn)好的作品，建站類型包括：成都網(wǎng)站制作、做網(wǎng)站、外貿(mào)營(yíng)銷網(wǎng)站建設(shè)、企業(yè)官網(wǎng)、英文網(wǎng)站、手機(jī)端網(wǎng)站、網(wǎng)站推廣、申請(qǐng)域名、網(wǎng)絡(luò)空間、企業(yè)郵箱。業(yè)務(wù)覆蓋舞鋼地區(qū)。

顯示尾部的最新10行日志

$ journalctl -n

顯示尾部指定行數(shù)的日志 $ journalctl -n 20

實(shí)時(shí)滾動(dòng)顯示最新日志 $ journalctl -f

查看指定服務(wù)的日志 $ journalctl /usr/lib/systemd/systemd

查看指定進(jìn)程的日志 $ journalctl _PID=1

查看某個(gè)路徑的腳本的日志 $ journalctl /usr/bin/bash

查看指定用戶的日志

$ journalctl _UID=33 --since today

查看某個(gè) Unit 的日志

$ journalctl -u nginx.service
$ journalctl -u nginx.service --since today

實(shí)時(shí)滾動(dòng)顯示某個(gè) Unit 的最新日志

$ journalctl -u nginx.service -f

合并顯示多個(gè) Unit 的日志

$ journalctl -u nginx.service -u php-fpm.service --since today

查看指定優(yōu)先級(jí)（及其以上級(jí)別）的日志，共有8級(jí)

0: emerg # 1: alert # 2: crit # 3: err # 4: warning # 5: notice # 6: info # 7: debug

$ journalctl -p err -b

日志默認(rèn)分頁(yè)輸出，--no-pager 改為正常的標(biāo)準(zhǔn)輸出

$ journalctl --no-pager

以 JSON 格式（單行）輸出

$ journalctl -b -u nginx.service -o json

以 JSON 格式（多行）輸出，可讀性更好

$ journalctl -b -u nginx.service -o json-pretty

顯示日志占據(jù)的硬盤空間

$ journalctl --disk-usage

指定日志文件占據(jù)的最大空間

$ journalctl --vacuum-size=1G

指定日志文件保存多久

$ journalctl --vacuum-time=1years

審計(jì)日志
auditctl -l
auditctl -w /etc/passwd -p rxwa
vi /etc/audit/audit.rules
ausearch -f /etc/passwd|grep useradd
aureport

一、整理列表100多項(xiàng)；
二、寫成腳本，自動(dòng)化批處理功能；
三、自動(dòng)化運(yùn)維工具(ansible、puppet、saltstack、cf)

在文件/etc/login.defs中設(shè)置 PASS_MAX_DAYS 不大于標(biāo)準(zhǔn)值
在文件/etc/login.defs中設(shè)置 PASS_MIN_DAYS 不小于標(biāo)準(zhǔn)值
在文件/etc/login.defs中設(shè)置 PASS_MIN_LEN 不小于標(biāo)準(zhǔn)值
在文件/etc/login.defs中設(shè)置 PASS_WARN_AGE 不小于標(biāo)準(zhǔn)值
awk -F: '$3==0 {print $1}' /etc/passwd
文件/etc/passwd中除root所在行外所有行第二個(gè)與第三個(gè)冒號(hào)之間UID不應(yīng)設(shè)置為0
"Redhat系統(tǒng)：修改/etc/pam.d/system-auth文件,
Suse9：修改/etc/pam.d/passwd文件，
Suse10,Suse11：修改/etc/pam.d/common-password文件，
在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 選3種，追加到password requisite pam_cracklib.so后面，添加到配置文件中。
例如：password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1
注：ucredit：大寫字母?jìng)€(gè)數(shù)；lcredit：小寫字母?jìng)€(gè)數(shù)；dcredit：數(shù)字個(gè)數(shù)；ocredit：特殊字符個(gè)數(shù)"
"Redhat系統(tǒng)：修改/etc/pam.d/system-auth文件,
Suse9：修改/etc/pam.d/passwd文件，
Suse10,Suse11：修改/etc/pam.d/common-password文件，
在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 選3種，追加到password requisite pam_cracklib.so后面，添加到配置文件中。
例如：password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1
注：ucredit：大寫字母?jìng)€(gè)數(shù)；lcredit：小寫字母?jìng)€(gè)數(shù)；dcredit：數(shù)字個(gè)數(shù)；ocredit：特殊字符個(gè)數(shù)"
"Redhat系統(tǒng)：修改/etc/pam.d/system-auth文件,
Suse9：修改/etc/pam.d/passwd文件，
Suse10,Suse11：修改/etc/pam.d/common-password文件，
在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 選3種，追加到password requisite pam_cracklib.so后面，添加到配置文件中。
例如：password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1
注：ucredit：大寫字母?jìng)€(gè)數(shù)；lcredit：小寫字母?jìng)€(gè)數(shù)；dcredit：數(shù)字個(gè)數(shù)；ocredit：特殊字符個(gè)數(shù)"
"參考配置操作：
(1) 設(shè)置用戶目錄默認(rèn)權(quán)限，執(zhí)行命令vi /etc/login.defs，編輯文件；
(2) 在文件中設(shè)置umask 027或UMASK 027，將缺省訪問(wèn)權(quán)限設(shè)置為750。，如果文件中含有umask參數(shù)，則需要在最前面設(shè)置該參數(shù)"
chmod 644 /etc/passwd
chmod 750 /etc/rc.d/init.d/
chmod 750 /tmp
chmod 600 /etc/xinetd.conf?補(bǔ)充說(shuō)明：低版本的Linux系統(tǒng)采用inetd.conf配置文件，執(zhí)行命令:chmod 600 /etc/inetd.conf
chmod 750 /etc/rc5.d/
chmod 750 /etc/rc4.d
chmod 750 /etc/
chmod 600 /etc/security
chmod 400 /etc/shadow
"如果/etc/grub.conf文件存在，且非鏈接文件，則執(zhí)行chmod 600 /etc/grub.conf;?如果/boot/grub/grub.conf文件存在，則執(zhí)行chmod 600 /boot/grub/grub.conf;
如果/etc/lilo.conf文件存在，則執(zhí)行chmod 600 /etc/lilo.conf。?"
chmod 644 /etc/services
chmod 750 /etc/rc0.d/
chmod 750 /etc/rc6.d
chmod 750 /etc/rc2.d/
chmod 644 /etc/group
chmod 750 /etc/rc1.d/
chmod 750 /etc/rc3.d
在文件/etc/csh.cshrc中設(shè)置 umask 077或UMASK 077
檢查文件/etc/bashrc（或/etc/bash.bashrc）中設(shè)置 umask 077或UMASK 077
在文件/etc/csh.login中設(shè)置 umask 077或UMASK 077
在文件/etc/profile中設(shè)置umask 077或UMASK 077
"執(zhí)行chattr +i /etc/gshadow?
如果不支持chattr,編輯/etc/fstab?
在相應(yīng)的reiserfs系統(tǒng)的選項(xiàng)中添加""user_xattr,attrs""這兩個(gè)選項(xiàng)，然后重啟主機(jī)。"
"執(zhí)行chattr +i /etc/shadow?
如果不支持chattr,編輯/etc/fstab?
在相應(yīng)的reiserfs系統(tǒng)的選項(xiàng)中添加""user_xattr,attrs""這兩個(gè)選項(xiàng)，然后重啟主機(jī)。"
"執(zhí)行chattr +i /etc/group?
如果不支持chattr,編輯/etc/fstab?
在相應(yīng)的reiserfs系統(tǒng)的選項(xiàng)中添加""user_xattr,attrs""這兩個(gè)選項(xiàng)，然后重啟主機(jī)。"
"執(zhí)行chattr +i /etc/passwd?
如果不支持chattr,編輯/etc/fstab?
在相應(yīng)的reiserfs系統(tǒng)的選項(xiàng)中添加""user_xattr,attrs""這兩個(gè)選項(xiàng)，然后重啟主機(jī)。"
"1. 執(zhí)行如下命令創(chuàng)建ssh banner信息文件：
#touch /etc/ssh_banner
#chown bin:bin /etc/ssh_banner
#chmod 644 /etc/ssh_banner
#echo "" Authorized only. All activity will be monitored and reported "" > /etc/ssh_banner
可根據(jù)實(shí)際需要修改該文件的內(nèi)容。

  1. 修改/etc/ssh/sshd_config文件，添加如下行：
    Banner /etc/ssh_banner
    3.重啟sshd服務(wù)：
    #/etc/init.d/sshd restart"
    "登錄日志文件為/var/log/wtmp,/var/log/utmp.這2個(gè)文件中記錄著所有登錄過(guò)主機(jī)的用戶，時(shí)間，來(lái)源等內(nèi)容，這個(gè)文件不具可讀性，可用last命令來(lái)看。
    如果命令無(wú)結(jié)果，請(qǐng)聯(lián)系管理員。"
    "編輯/etc/rsyslog.conf文件，
    配置：
    cron. /var/log/cron ，
    其中/var/log/cron為日志文件。
    如果該文件不存在，則創(chuàng)建該文件，命令為：
    touch /var/log/cron，并修改權(quán)限為775.命令為：chmod 775 /var/log/cron."
    "修改配置文件vi /etc/rsyslog.conf，
    加上這一行：
    . @192.168.0.1
    可以將""    .""替換為你實(shí)際需要的日志信息。比如：kern. ; mail. 等等。
    可以將此處192.168.0.1替換為實(shí)際的IP或域名(域名格式形如：www.nsfocus.com,根據(jù)具體情況填寫)。 "
    執(zhí)行命令：chmod 775 /var/log/mail
    執(zhí)行命令：chmod 775 /var/log/boot.log
    執(zhí)行命令：chmod 775 /var/log/localmessages
    執(zhí)行命令：chmod 775 /var/log/secure
    執(zhí)行命令：chmod 755 /var/log/messages
    執(zhí)行命令：chmod 775 /var/log/cron
    執(zhí)行命令：chmod 775 /var/log/spooler
    執(zhí)行命令：chmod 775 /var/log/maillog
    "1. Redhat5.x之前(包括5.x):編輯/etc/syslog.conf,
    Redhat 6.x:編輯/etc/rsyslog.conf,
    Suse 9:編輯/etc/syslog.conf,
    配置:
    authpriv.     /var/log/secure
  2. Suse10, 11:
    編輯:/etc/syslog-ng/syslog-ng.conf。
    配置:
    filter f_secure { facility(authpriv); };
    destination priverr { file(""/var/log/secure""); };
    log { source(src); filter(f_secure); destination(priverr); };
  3. 創(chuàng)建/var/log/secure文件
    touch /var/log/secure
  4. 重啟syslog服務(wù)
    #/etc/init.d/syslog restart"
    "通過(guò)設(shè)置日志文件可以對(duì)每個(gè)用戶的每一條命令進(jìn)行記錄，這一功能默認(rèn)是不開放的，為了打開它，需要安裝pacct工具，并執(zhí)行以下命令：
    #touch /var/log/pacct
    #accton /var/log/pacct
    執(zhí)行讀取命令lastcomm [user name] –f /var/log/pacct "
    "編輯/etc/rsyslog.conf
    配置：
    *.err;kern.debug;daemon.notice /var/adm/messages
    其中/var/adm/messages為日志文件。
    如果該文件不存在，則創(chuàng)建該文件，命令為：
    touch /var/adm/messages，并修改權(quán)限為666.命令為：chmod 666 /var/adm/messages.
    重啟日志服務(wù)：
    #/etc/init.d/rsyslog restart"
    在網(wǎng)站上免費(fèi)獲取OpenSSH http://www.openssh.com/,并根據(jù)安裝文件說(shuō)明執(zhí)行安裝步驟
    在/etc/services文件中，注釋掉 telnet 23/tcp 一行(如不生效重啟telnetd服務(wù)或xinetd服務(wù)或系統(tǒng)，例如，Red Hat 上重啟xinetd：service xinetd restart，根據(jù)實(shí)際情況操作)
    編輯 /etc/pam.d/login文件，配置auth required pam_securetty.so
    修改/etc/ssh/sshd_config文件,配置PermitRootLogin no。重啟服務(wù)，/etc/init.d/sshd restart。
    編輯/etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)文件，設(shè)置：anonymous_enable=NO
    在/etc/passwd文件中，刪除ftp用戶
    "1.編輯/etc/ftpusers(或/etc/vsftpd/ftpusers)文件
    2.添加root"
    "在/etc/ftpusers文件中加入下列行
    root"
    "1.確保/etc/ssh/sshd_config或/etc/ssh3/sshd2_config文件存在。如果不存在，則忽略下面配置步驟。
    2.在sshd_config或sshd2_config中配置：Protocol 2
    3.在sshd_config或sshd2_config中配置：PermitRootLogin no或PermitRootLogin NO"
    如果系統(tǒng)未安裝snmp服務(wù)，則認(rèn)為合規(guī)。
    編輯/etc/snmp/snmpd.conf，修改private默認(rèn)團(tuán)體字為用戶自定義團(tuán)體字。
    如果系統(tǒng)安裝了snmp服務(wù)，請(qǐng)確保該文件存在。如果不存在，則在/etc/snmp/目錄下創(chuàng)建該文件。
    編輯/etc/snmp/snmpd.conf，修改public默認(rèn)團(tuán)體字為用戶自定義團(tuán)體字。
    以root賬戶執(zhí)行，vi /etc/profile,增加 export TMOUT=600(單位：秒，可根據(jù)具體情況設(shè)定超時(shí)退出時(shí)間，要求不小于600秒),注銷用戶，再用該用戶登錄激活該功能
    "1.執(zhí)行命令find / -maxdepth 3 -name .netrc 2>/dev/null
    2.進(jìn)入到.netrc文件存在的目錄
    3.執(zhí)行命令：mv .netrc .netrc.bak"
    "1.執(zhí)行命令find / -maxdepth 3 -name hosts.equiv 2>/dev/null
    2.進(jìn)入到hosts.equiv文件存在的目錄
    3.執(zhí)行命令：mv hosts.equiv hosts.equiv.bak"
    "1.執(zhí)行命令find / -maxdepth 3 -name .rhosts 2>/dev/null
    2.進(jìn)入到.rhosts文件存在的目錄
    3.執(zhí)行命令：mv .rhosts .rhosts.bak"
    "1.執(zhí)行命令find / -maxdepth 2 -name hosts.equiv
    2.進(jìn)入到. hosts.equiv文件存在的目錄
    3.執(zhí)行命令：mv hosts.equiv hosts.equiv.bak"
    "1.執(zhí)行命令find / -maxdepth 3 -type f -name .rhosts 2>/dev/null
    2.進(jìn)入到.rhosts文件存在的目錄
    3.執(zhí)行命令：mv .rhosts .rhosts.bak"
    "chkconfig [--level levels] xxx off
    注:levels為運(yùn)行級(jí)別,需要重啟機(jī)器"
    "編輯su文件(vi /etc/pam.d/su)，在開頭添加下面兩行：
    auth sufficient pam_rootok.so 和
    auth required pam_wheel.so group=wheel 這表明只有wheel組的成員可以使用su命令成為root用戶。
    你可以把用戶添加到wheel組，以使它可以使用su命令成為root用戶。
    添加方法為：usermod –G wheel username"
    編輯/etc/inittab，注釋如下行ca::ctrlaltdel:/sbin/shutdown**，之后重啟系統(tǒng)。
    "在文件/etc/security/limits.conf中配置     soft core 0
    在文件/etc/security/limits.conf中配置* hard core 0"
    "1.備份配置文件
    #cp -p /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts.bak
    2.執(zhí)行命令
    #sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=""1""
    并修改/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts的值為1
    注：修改只能當(dāng)次生效，重啟系統(tǒng)需重新修改"
    "1.備份配置文件
    #cp -p /proc/sys/net/ipv4/conf/all/accept_redirects /proc/sys/net/ipv4/conf/all/accept_redirects.bak
    2.執(zhí)行命令
    #sysctl -w net.ipv4.conf.all.accept_redirects=""0""
    并修改/proc/sys/net/ipv4/conf/all/accept_redirects的值為0
    注：修改只能當(dāng)次生效，重啟系統(tǒng)需重新修改"
    "1.備份配置文件
    #cp -p /proc/sys/net/ipv4/conf/all/send_redirects /proc/sys/net/ipv4/conf/all/send_redirects.bak
    2.執(zhí)行命令
    #sysctl -w net.ipv4.conf.all.send_redirects=""0""
    并修改/proc/sys/net/ipv4/conf/all/send_redirects的值為0
    注：修改只能當(dāng)次生效，重啟系統(tǒng)需重新修改 "
    "1.備份配置文件
    #cp -p /proc/sys/net/ipv4/ip_forward /proc/sys/net/ipv4/ip_forward.bak
    2.執(zhí)行命令
    #sysctl -w net.ipv4.ip_forward=""0""
    并修改/proc/sys/net/ipv4/ip_forward的值為0
    注：修改只能當(dāng)次生效，重啟系統(tǒng)需重新修改"
    "1.備份配置文件
    #cp -p /proc/sys/net/ipv4/conf/all/accept_source_route/proc/sys/net/ipv4/conf/all/accept_source_route.bak
    2.執(zhí)行命令
    #sysctl -w net.ipv4.conf.all.accept_source_route=""0""
    并修改/proc/sys/net/ipv4/conf/all/accept_source_route的值為0
    注：修改只能當(dāng)次生效，重啟系統(tǒng)需重新修改"
    "Redhat:編輯/etc/pam.d/system-auth文件，
    Suse9:編輯/etc/pam.d/passwd文件，
    Suse10,Suse11:編輯/etc/pam.d/common-password文件，
    修改設(shè)置如下
    password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok remember=5
    補(bǔ)充操作說(shuō)明
    只需在password sufficient這一行加上remember=5即可
    NIS系統(tǒng)無(wú)法生效，非NIS系統(tǒng)或NIS+系統(tǒng)能夠生效。 "
    chmod 644 /etc/passwd
    chmod 644 /etc/group
    chmod 600 /etc/shadow
    "找出系統(tǒng)中所有含有“s”屬性的文件，把不必要的“s”屬性去掉，或者把不用的直接刪除。

    find /usr/bin -type f ( -perm -04000 -o -perm -02000 ) -exec ls -lg {} \;

    chmod a-s filename"

    "如果系統(tǒng)使用vsftp：
    修改/etc/vsftpd.conf（或者為/etc/vsftpd/vsftpd.conf）

    vi /etc/vsftpd.conf

    確保以下行未被注釋掉，如果沒(méi)有該行，請(qǐng)?zhí)砑樱?br/>write_enable=YES //允許上傳。如果不需要上傳權(quán)限，此項(xiàng)可不進(jìn)行更改。
    ls_recurse_enable=YES
    local_umask=022 //設(shè)置用戶上傳文件的屬性為755
    anon_umask=022 //匿名用戶上傳文件(包括目錄)的 umask
    重啟網(wǎng)絡(luò)服務(wù)

    /etc/init.d/vsftpd restart

    如果系統(tǒng)使用pure-ftp
    修改/etc/pure-ftpd/pure-ftpd.conf

    vi /etc/pure-ftpd/pure-ftpd.conf

    確保以下行未被注釋掉，如果沒(méi)有該行，請(qǐng)?zhí)砑樱?br/>Umask 177:077
    重啟ftp服務(wù)
    #/etc/init.d/pure-ftpd restart "
    "1.請(qǐng)確認(rèn)系統(tǒng)引導(dǎo)器的類型為grub,如果不為grub,則忽略此檢查點(diǎn)。
    2.如果/boot/grub/menu.lst文件存在，編輯/boot/grub/menu.lst文件,設(shè)置password=（為需要設(shè)置的密碼。
    3.如果不存在，請(qǐng)檢查grub是否正確安裝，或/boot/grub/menu.lst文件是否被更名"
    "為用戶創(chuàng)建賬號(hào)：
    #useradd username #創(chuàng)建賬號(hào)
    #passwd username #設(shè)置密碼
    修改權(quán)限：
    #chmod 750 directory #其中755為設(shè)置的權(quán)限，可根據(jù)實(shí)際情況設(shè)置相應(yīng)的權(quán)限，directory是要更改權(quán)限的目錄)
    使用該命令為不同的用戶分配不同的賬號(hào)，設(shè)置不同的口令及權(quán)限信息等。"
    "編輯文件/etc/profile，
    配置
    HISTFILESIZE=5"
    "1.修改文件/etc/motd的內(nèi)容，如沒(méi)有該文件，則創(chuàng)建它。
    #echo ""Login success. All activity will be monitored and reported "" > /etc/motd根據(jù)實(shí)際需要修改該文件的內(nèi)容"
    "1.vsftp
    修改/etc/vsftpd.conf(或者/etc/vsfptd/vsftpd.conf)
    #vi /etc/vsftpd.conf
    確保以下行未被注釋掉，如果沒(méi)有該行，請(qǐng)?zhí)砑樱?br/>chroot_local_user=YES
    重啟網(wǎng)絡(luò)服務(wù)
    #/etc/init.d/vsftpd restart

2.pure-ftp
修改/etc/pure-ftpd/pure-ftpd.conf
#vi /etc/pure-ftpd/pure-ftpd.conf
確保以下行未被注釋掉（并且值為以下值），如果沒(méi)有該行，請(qǐng)?zhí)砑樱?br/>ChrootEveryone yes
AllowUserFXP no
AllowAnonymousFXP no
重啟ftp服務(wù)
#/etc/init.d/pure-ftpd restart"
"參考配置操作
編輯別名文件vi /etc/aliases，刪除或注釋掉下面的行
#games: root
#ingres: root
#system: root
#toor: root
#uucp: root
#manager: root
#dumper: root
#operator: root
#decode: root
#root: marc
補(bǔ)充操作說(shuō)明
更新后運(yùn)行/usr/bin/newaliases，使改變生效 "
"1.編輯別名文件vi /etc/mail/aliases，刪除或注釋掉下面的行
#games: root
#ingres: root
#system: root
#toor: root
#uucp: root
#manager: root
#dumper: root
#operator: root
#decode: root
#root: marc
2.修改后運(yùn)行命令：/usr/bin/newaliases，使改變生效 "
"1.修改telnet回顯信息
修改文件/etc/issue 和/etc/issue.net中的內(nèi)容：
#echo "" Authorized users only. All activity may be monitored and reported "" > /etc/issue
#echo "" Authorized users only. All activity may be monitored and reported "" > /etc/issue.net
可根據(jù)實(shí)際需要修改該文件的內(nèi)容,但是不要出現(xiàn)系統(tǒng)敏感信息,如redhat,suse等。
2.重啟服務(wù)：

/etc/init.d/xinetd restart"

"編輯/etc/hosts.deny
增加一行 all:all
重啟進(jìn)程：
#/etc/init.d/xinetd restart "
"編輯/etc/hosts.allow
增加一行 : 允許訪問(wèn)的IP；舉例如下：
all:192.168.4.44:allow #允許單個(gè)IP；
sshd:192.168.1.:allow #允許192.168.1的整個(gè)網(wǎng)段的PC通過(guò)SSH來(lái)訪問(wèn)本機(jī)
重啟進(jìn)程：
#/etc/init.d/xinetd restart"
"刪除用戶:#userdel username;
鎖定用戶：
#usermod -L username
只有具備超級(jí)用戶權(quán)限的使用者方可使用.
#usermod –U username可以解鎖。
補(bǔ)充操作說(shuō)明
需要鎖定的用戶：adm,lp,mail,uucp,operator,games,gopher,ftp,nobody,nobody4,noaccess,listen,webservd,rpm,dbus,avahi,mailnull,smmsp,nscd,vcsa,rpc,rpcuser,nfs,sshd,pcap,ntp,haldaemon,distcache,apache,webalizer,squid,xfs,gdm,sabayon,named。"
"執(zhí)行命令passwd -l adm，鎖定adm賬戶。
若adm賬戶不存在，檢查項(xiàng)也合規(guī)。
補(bǔ)充說(shuō)明：需要鎖定賬戶有adm、daemon,bin,sys、lp、uucp、nuucp、smmsp。"
"1.執(zhí)行備份：
#cp -p /etc/group /etc/group.bak
2.創(chuàng)建新的用戶組
#groupadd 組名
#usermod -g 組名 -d 用戶目錄 -m 用戶名
把用戶添加進(jìn)入某個(gè)組(s)或參考usermod --help說(shuō)明進(jìn)行設(shè)置"
"Redhat:
編輯/etc/pam.d/system-auth文件
配置:
auth required pam_tally.so deny=5 unlock_time=600
account required pam_tally.so

Suse9:
編輯/etc/pam.d/passwd文件
配置:
auth required pam_tally.so deny=5 unlock_time=600
account required pam_tally.so

Suse10，Suse11:
編輯/etc/pam.d/common-auth文件
配置:auth required pam_tally.so deny=5 unlock_time=600 no_lock_time
編輯/etc/pam.d/common-account文件
配置:account required pam_tally.so

參數(shù)說(shuō)明：
deny #連續(xù)認(rèn)證失敗次數(shù)超過(guò)的次數(shù)
unlock_time #鎖定的時(shí)間，單位為秒"
"編輯/etc/pam.d/sshd文件
在auth行下方添加：
auth required pam_tally.so deny=5 unlock_time=600 no_lock_time
在account行下方添加：
account required pam_tally.so
參數(shù)說(shuō)明：
deny #連續(xù)認(rèn)證失敗次數(shù)超過(guò)的次數(shù)
unlock_time #鎖定的時(shí)間，單位為秒"
"執(zhí)行命令:
find /usr/bin/chage /usr/bin/gpasswd /usr/bin/wall /usr/bin/chfn /usr/bin/chsh /usr/bin/newgrp /usr/bin/write /usr/sbin/usernetctl /usr/sbin/traceroute /bin/mount /bin/umount /bin/ping /sbin/netreport -type f -perm +6000 2>/dev/null
如果存在輸出結(jié)果，則使用chmod 755 文件名 命令修改文件的權(quán)限。
例如：chmod a-s /usr/bin/chage"
"編輯ntp 的配置文件：?
#vi /etc/ntp.conf,?
配置：server IP地址（提供ntp服務(wù)的機(jī)器）?
如：server 192.168.1.1?
開啟ntp服務(wù)：?
redhat為：/etc/init.d/ntpd start?
suse9為：/etc/init.d/xntpd start?
suse10,11為：/etc/init.d/ntp start"
"如果ntp服務(wù)未開啟，開啟ntp服務(wù)：
redhat為：/etc/init.d/ntpd start
suse9為：/etc/init.d/xntpd start
suse10,11為：/etc/init.d/ntp start"
"Redhat 默認(rèn)已經(jīng)關(guān)閉了數(shù)據(jù)包轉(zhuǎn)發(fā)功能。
可通過(guò)以下命令來(lái)查看數(shù)據(jù)包轉(zhuǎn)發(fā)功能是否關(guān)閉：

cat /proc/sys/net/ipv4/ip_forward

如果返回值為0，說(shuō)明數(shù)據(jù)包轉(zhuǎn)發(fā)功能已經(jīng)關(guān)閉，為1則開啟。
關(guān)閉數(shù)據(jù)包轉(zhuǎn)發(fā)功能：
命令： #sysctl -w net.ipv4.ip_forward=0 "
"限制能夠訪問(wèn)NFS服務(wù)的IP范圍：
編輯文件：vi /etc/hosts.allow
增加一行:portmap: 允許訪問(wèn)的IP"
"編輯/etc/host.conf文件：
multi off #關(guān)閉多IP綁定
補(bǔ)充操作說(shuō)明
Redhat 默認(rèn)沒(méi)有/etc/host.conf文件，要先新建一個(gè)host.conf文件 "
"編輯/etc/host.conf文件：
nospoof on #關(guān)閉IP偽裝
補(bǔ)充操作說(shuō)明
Redhat 默認(rèn)沒(méi)有/etc/host.conf文件，要先新建一個(gè)host.conf文件 "

#! /bin/bash
#vesion 1.1 20190505
#author by (jxwpx)

ipadd=ifconfig -a | grep Bcast | awk -F "[ :]+" '{print $4}' | tr "\n" "_"
cat <

linux基線檢查腳本
Author(jxwpx)

linux基線配置規(guī)范設(shè)計(jì)
輸出結(jié)果"/tmp/${ipadd}_checkResult.txt"

EOF

echo "IP: ${ipadd}" >> "/tmp/${ipadd}_checkResult.txt"

user_id=whoami
echo "當(dāng)前掃描用戶：${user_id}" >> "/tmp/${ipadd}_checkResult.txt"

scanner_time=date '+%Y-%m-%d %H:%M:%S'
echo "當(dāng)前掃描時(shí)間：${scanner_time}" >> "/tmp/${ipadd}_checkResult.txt"

echo ""
echo "賬號(hào)策略檢查中..."
echo ""

#編號(hào)：GOOANN-Linux-02-01-01
#項(xiàng)目：帳號(hào)與口令-用戶口令設(shè)置
#合格：Y;不合格：N
#不合格地方

passmax=cat /etc/login.defs | grep PASS_MAX_DAYS | grep -v ^# | awk '{print $2}'
passmin=cat /etc/login.defs | grep PASS_MIN_DAYS | grep -v ^# | awk '{print $2}'
passlen=cat /etc/login.defs | grep PASS_MIN_LEN | grep -v ^# | awk '{print $2}'
passage=cat /etc/login.defs | grep PASS_WARN_AGE | grep -v ^# | awk '{print $2}'

echo "GOOANN-Linux-02-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
if [ $passmax -le 90 -a $passmax -gt 0 ];then
echo "Y:口令生存周期為${passmax}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令生存周期為${passmax}天，不符合要求,建議設(shè)置不大于90天" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passmin -ge 6 ];then
echo "Y:口令更改最小時(shí)間間隔為${passmin}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令更改最小時(shí)間間隔為${passmin}天，不符合要求，建議設(shè)置大于等于6天" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passlen -ge 8 ];then
echo "Y:口令最小長(zhǎng)度為${passlen},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令最小長(zhǎng)度為${passlen},不符合要求，建議設(shè)置最小長(zhǎng)度大于等于8" >> "/tmp/${ipadd}_checkResult.txt"
fi

if [ $passage -ge 30 -a $passage -lt $passmax ];then
echo "Y:口令過(guò)期警告時(shí)間天數(shù)為${passage},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:口令過(guò)期警告時(shí)間天數(shù)為${passage},不符合要求，建議設(shè)置大于等于30并小于口令生存周期" >> /"/tmp/${ipadd}_checkResult.txt"
fi

echo ""
echo "賬號(hào)是否會(huì)主動(dòng)注銷檢查中..."
echo ""
checkTimeout=$(cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}')
if [ $? -eq 0 ];then
TMOUT=cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}'
if [ $TMOUT -le 600 -a $TMOUT -ge 10 ];then
echo "Y:賬號(hào)超時(shí)時(shí)間${TMOUT}秒,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:賬號(hào)超時(shí)時(shí)間${TMOUT}秒,不符合要求，建議設(shè)置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
fi
else
echo "N:賬號(hào)超時(shí)不存在自動(dòng)注銷,不符合要求，建議設(shè)置小于600秒" >> "/tmp/${ipadd}_checkResult.txt"
fi

#編號(hào)：GOOANN-Linux-02-01-02
#項(xiàng)目：帳號(hào)與口令-root用戶遠(yuǎn)程登錄限制
#合格：Y;不合格：N
#不合格地方

echo ""
echo "檢查root用戶是否能遠(yuǎn)程登錄限制..."
echo ""

echo "GOOANN-Linux-02-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
remoteLogin=$(cat /etc/ssh/sshd_config | grep -v ^# |grep "PermitRootLogin no")
if [ $? -eq 0 ];then
echo "Y:已經(jīng)設(shè)置遠(yuǎn)程root不能登陸，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:已經(jīng)設(shè)置遠(yuǎn)程root能登陸，不符合要求，建議/etc/ssh/sshd_config添加PermitRootLogin no" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-03
#項(xiàng)目：帳號(hào)與口令-檢查是否存在除root之外UID為0的用戶
#合格：Y;不合格：N
#不合格地方
#查找非root賬號(hào)UID為0的賬號(hào)
echo "GOOANN-Linux-02-01-03:" >> "/tmp/${ipadd}_checkResult.txt"
UIDS=awk -F[:] 'NR!=1{print $3}' /etc/passwd
flag=0
for i in $UIDS
do
if [ $i = 0 ];then
echo "N:存在非root賬號(hào)的賬號(hào)UID為0，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
flag=1
fi
done
if [ $flag = 1 ];then
echo "Y:不存在非root賬號(hào)的賬號(hào)UID為0，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-04
#項(xiàng)目：帳號(hào)與口令-檢查telnet服務(wù)是否開啟
#合格：Y;不合格：N
#不合格地方
#檢查telnet是否開啟
echo "GOOANN-Linux-02-01-04:" >> "/tmp/${ipadd}_checkResult.txt"
telnetd=cat /etc/xinetd.d/telnet | grep disable | awk '{print $3}'
if [ "$telnetd"x = "yes"x ]; then
echo "N:檢測(cè)到telnet服務(wù)開啟，不符合要求，建議關(guān)閉telnet" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-05
#項(xiàng)目：帳號(hào)與口令-root用戶環(huán)境變量的安全性
#合格：Y;不合格：N
#不合格地方
#檢查目錄權(quán)限是否為777
echo "GOOANN-Linux-02-01-05:" >> "/tmp/${ipadd}_checkResult.txt"
dirPri=$(find $(echo $PATH | tr ':' ' ') -type d ( -perm -0777 ) 2> /dev/null)
if [ -z "$dirPri" ]
then
echo "Y:目錄權(quán)限無(wú)777的,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:文件${dirPri}目錄權(quán)限為777的，不符合要求。" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-06
#項(xiàng)目：帳號(hào)與口令-遠(yuǎn)程連接的安全性配置
#合格：Y;不合格：N
#不合格地方
echo "GOOANN-Linux-02-01-06:" >> "/tmp/${ipadd}_checkResult.txt"
fileNetrc=find / -xdev -mount -name .netrc -print 2> /dev/null
if [ -z "${fileNetrc}" ];then
echo "Y:不存在.netrc文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:存在.netrc文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
fileRhosts=find / -xdev -mount -name .rhosts -print 2> /dev/null
if [ -z "$fileRhosts" ];then
echo "Y:不存在.rhosts文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:存在.rhosts文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-07
#項(xiàng)目：帳號(hào)與口令-用戶的umask安全配置
#合格：Y;不合格：N
#不合格地方
#檢查umask設(shè)置
echo "GOOANN-Linux-02-01-07:" >> "/tmp/${ipadd}_checkResult.txt"
umask1=cat /etc/profile | grep umask | grep -v ^# | awk '{print $2}'
umask2=cat /etc/csh.cshrc | grep umask | grep -v ^# | awk '{print $2}'
umask3=cat /etc/bashrc | grep umask | grep -v ^# | awk 'NR!=1{print $2}'
flags=0
for i in $umask1
do
if [ $i != "027" ];then
echo "N:/etc/profile文件中所所設(shè)置的umask為${i},不符合要求，建議設(shè)置為027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/profile文件中所設(shè)置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
flags=0
for i in $umask2
do
if [ $i != "027" ];then
echo "N:/etc/csh.cshrc文件中所所設(shè)置的umask為${i},不符合要求，建議設(shè)置為027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/csh.cshrc文件中所設(shè)置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
flags=0
for i in $umask3
do
if [ $i != "027" ];then
echo "N:/etc/bashrc文件中所設(shè)置的umask為${i},不符合要求，建議設(shè)置為027" >> "/tmp/${ipadd}_checkResult.txt"
flags=1
break
fi
done
if [ $flags == 0 ];then
echo "Y:/etc/bashrc文件中所設(shè)置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-01-08
#項(xiàng)目：帳號(hào)與口令-grub和lilo密碼是否設(shè)置檢查
#合格：Y;不合格：N
#不合格地方
#grub和lilo密碼是否設(shè)置檢查
echo "GOOANN-Linux-02-01-08:" >> "/tmp/${ipadd}_checkResult.txt"
grubfile=$(cat /etc/grub.conf | grep password)
if [ $? -eq 0 ];then
echo "Y:已設(shè)置grub密碼,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:沒(méi)有設(shè)置grub密碼，不符合要求,建議設(shè)置grub密碼" >> "/tmp/${ipadd}_checkResult.txt"
fi
lilo=$(cat /etc/lilo.conf | grep password)
if [ $? -eq 0 ];then
echo "Y:已設(shè)置lilo密碼,符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:沒(méi)有設(shè)置lilo密碼，不符合要求,建議設(shè)置lilo密碼" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-01
#項(xiàng)目：文件系統(tǒng)-重要目錄和文件的權(quán)限設(shè)置
#合格：Y;不合格：N
#不合格地方
echo "GOOANN-Linux-02-02-01:" >> "/tmp/${ipadd}_checkResult.txt"
echo ""
echo "檢查重要文件權(quán)限中..."
echo ""
file1=ls -l /etc/passwd | awk '{print $1}'
file2=ls -l /etc/shadow | awk '{print $1}'
file3=ls -l /etc/group | awk '{print $1}'
file4=ls -l /etc/securetty | awk '{print $1}'
file5=ls -l /etc/services | awk '{print $1}'
file6=ls -l /etc/xinetd.conf | awk '{print $1}'
file7=ls -l /etc/grub.conf | awk '{print $1}'
file8=ls -l /etc/lilo.conf | awk '{print $1}'
#檢測(cè)文件權(quán)限為400的文件
if [ $file2 = "-r--------" ];then
echo "Y:/etc/shadow文件權(quán)限為400，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/shadow文件權(quán)限不為400，不符合要求，建議設(shè)置權(quán)限為400" >> "/tmp/${ipadd}_checkResult.txt"
fi
#檢測(cè)文件權(quán)限為600的文件
if [ $file4 = "-rw-------" ];then
echo "Y:/etc/security文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/security文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file6 = "-rw-------" ];then
echo "Y:/etc/xinetd.conf文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/xinetd.conf文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file7 = "-rw-------" ];then
echo "Y:/etc/grub.conf文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/grub.conf文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ -f /etc/lilo.conf ];then
if [ $file8 = "-rw-------" ];then
echo "Y:/etc/lilo.conf文件權(quán)限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/lilo.conf文件權(quán)限不為600，不符合要求，建議設(shè)置權(quán)限為600" >> "/tmp/${ipadd}_checkResult.txt"
fi

else
echo "N:/etc/lilo.conf文件夾不存在"
fi
#檢測(cè)文件權(quán)限為644的文件
if [ $file1 = "-rw-r--r--" ];then
echo "Y:/etc/passwd文件權(quán)限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/passwd文件權(quán)限不為644，不符合要求，建議設(shè)置權(quán)限為644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file5 = "-rw-r--r--" ];then
echo "Y:/etc/services文件權(quán)限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/services文件權(quán)限不為644，不符合要求，建議設(shè)置權(quán)限為644" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $file3 = "-rw-r--r--" ];then
echo "Y:/etc/group文件權(quán)限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:/etc/group文件權(quán)限不為644，不符合要求，建議設(shè)置權(quán)限為644" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-02
#項(xiàng)目：文件系統(tǒng)-查找未授權(quán)的SUID/SGID文件
#合格：Y;不合格：N
#不合格地方
echo "GOOANN-Linux-02-02-02:" >> "/tmp/${ipadd}_checkResult.txt"
unauthorizedfile=find / \( -perm -04000 -o -perm -02000 \) -type f
echo "C:文件${unauthorizedfile}設(shè)置了SUID/SGID，請(qǐng)檢查是否授權(quán)" >> "/tmp/${ipadd}_checkResult.txt"
#編號(hào)：GOOANN-Linux-02-02-03
#項(xiàng)目：文件系統(tǒng)-檢查任何人都有寫權(quán)限的目錄
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-02-02-03:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteDre=$(find / -xdev -mount -type d ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null)
if [ -z "${checkWriteDre}" ];then
echo "Y:不存在任何人都有寫權(quán)限的目錄，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${checkWriteDre}目錄任何人都可以寫，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-04
#項(xiàng)目：文件系統(tǒng)-檢查任何人都有寫權(quán)限的文件
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-02-02-04:" >> "/tmp/${ipadd}_checkResult.txt"
checkWriteFile=$(find / -xdev -mount -type f ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null)
if [ -z "${checkWriteFile}" ];then
echo "Y:不存在任何人都有寫權(quán)限的目錄，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${checkWriteFile}目錄任何人都可以寫，不符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-02-02-05
#項(xiàng)目：文件系統(tǒng)-檢查異常隱含文件
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-02-02-05:" >> "/tmp/${ipadd}_checkResult.txt"
hideFile=$(find / -xdev -mount ( -name ".." -o -name "..." ) 2> /dev/null)
if [ -z "${hideFile}" ];then
echo "Y:不存在隱藏文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:${hideFile}是隱藏文件，建議審視" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-03-01-01
#項(xiàng)目：日志審計(jì)-syslog登錄事件記錄
#合格：Y;不合格：N;檢查：C
#不合格地方
echo "GOOANN-Linux-03-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
recodeFile=$(cat /etc/syslog.conf)
if [ ! -z "${recodeFile}" ];then
logFile=$(cat /etc/syslog.conf | grep -V ^# | grep authpriv.)
if [ ! -z "${logFile}" ];then
echo "Y:存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
else
echo "N:不存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt"
fi
else
echo "N:不存在／etc/syslog.conf文件，建議對(duì)所有登錄事件都記錄" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-03-01-02
#項(xiàng)目：系統(tǒng)文件-檢查日志審核功能是否開啟
#合格：Y;不合格：N;檢查：C
echo "GOOANN-Linux-03-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
auditdStatus=$(service auditd status 2> /dev/null)
if [ $? = 0 ];then
echo "Y:系統(tǒng)日志審核功能已開啟，符合要求" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ $? = 3 ];then
echo "N:系統(tǒng)日志審核功能已關(guān)閉，不符合要求，建議service auditd start開啟" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-04-01-01
#項(xiàng)目：系統(tǒng)文件-系統(tǒng)core dump狀態(tài)
#合格：Y;不合格：N;檢查：C
echo "GOOANN-Linux-04-01-01:" >> "/tmp/${ipadd}_checkResult.txt"
limitsFile=$(cat /etc/security/limits.conf | grep -V ^# | grep core)
if [ $? -eq 0 ];then
soft=cat /etc/security/limits.conf | grep -V ^# | grep core | awk {print $2}
for i in $soft
do
if [ "$i"x = "soft"x ];then
echo "Y: soft core 0 已經(jīng)設(shè)置" >> "/tmp/${ipadd}_checkResult.txt"
fi
if [ "$i"x = "hard"x ];then
echo "Y: hard core 0 已經(jīng)設(shè)置" >> "/tmp/${ipadd}_checkResult.txt"
fi
done
else
echo "N:沒(méi)有設(shè)置core，建議在/etc/security/limits.conf中添加 soft core 0和* hard core 0" >> "/tmp/${ipadd}_checkResult.txt"
fi
#編號(hào)：GOOANN-Linux-04-01-02
#項(xiàng)目：系統(tǒng)文件-檢查磁盤動(dòng)態(tài)空間，是否大于等于80%
#合格：Y;不合格：N;檢查：C
#
echo "GOOANN-Linux-04-01-02:" >> "/tmp/${ipadd}_checkResult.txt"
space=$(df -h | awk -F "[ %]+" 'NR!=1{print $5}')
for i in $space
do
if [ $i -ge 80 ];then
echo "C:警告！磁盤存儲(chǔ)容量大于80%,建議擴(kuò)充磁盤容量或者刪除垃圾文件" >> "/tmp/${ipadd}_checkResult.txt"
fi

Ansible/Saltstack(master->minion)

Ansible軟件特點(diǎn)
1.ansible不需要單獨(dú)安裝客戶端，SSH相當(dāng)于ansible客戶端。
2.ansible不需要啟動(dòng)任何服務(wù)，僅需安裝對(duì)應(yīng)工具即可。
3.ansible依賴大量的python模塊來(lái)實(shí)現(xiàn)批量管理。
4.ansible配置文件/etc/ansible/ansible.cfg

實(shí)現(xiàn)從管理機(jī)man01到其他機(jī)器的密鑰認(rèn)證

0.ansible借助公鑰批量管理
#利用非交換式工具實(shí)現(xiàn)批量分發(fā)公鑰與批量管理服務(wù)器
[root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.31
[root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.41
[root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.7

1.安裝ansible
[root@man01 ~]# yum install ansible -y

2.配置ansible
[root@man01 ~]# vim /etc/ansible/hosts
[jxwpx]
192.168.1.31
192.168.1.41

3.驗(yàn)證ansible

ansible是通過(guò)ssh端口探測(cè)通信

[root@man01 ~]# ansible jxwpx -m ping
192.168.1.7 | SUCCESS => {
"changed": false,
"ping": "pong"
}
192.168.1.31 | SUCCESS => {
"changed": false,
"ping": "pong"
}
192.168.1.41 | SUCCESS => {
"changed": false,
"ping": "pong"
}

#批量執(zhí)行命令
[root@man01 ~]# ansible jxwpx -m command -a "df -h"

#2.如果沒(méi)有給對(duì)應(yīng)的主機(jī)下發(fā)公鑰，可以使用密碼的方式進(jìn)行添加
192.168.1.41 ansible_ssh_user='root' ansible_ssh_pass='1' ansible_ssh_port='22'

3.定義主機(jī)清單
[web]
192.168.1.7

[nfs]
192.168.1.31

[backup]
192.168.1.41

[jxwpx:children]
web
nfs
backup

[root@man01 ~]# ansible web --list-hosts #web
hosts (1):
192.168.1.7
[root@man01 ~]# ansible nfs --list-hosts #nfs
hosts (1):
192.168.1.31
[root@man01 ~]# ansible backup --list-hosts #rsync
hosts (1):
192.168.1.41
[root@man01 ~]# ansible jxwpx --list-hosts #集中所有的小組，用于執(zhí)行一些基礎(chǔ)的配置
hosts (3):
192.168.1.31
192.168.1.41
192.168.1.7

1、命令 -> 文件 = 腳本
2、模塊 -> 文件 = 劇本
安裝 配置 啟動(dòng)

1.command 執(zhí)行命令
2.shell 執(zhí)行命令
3.yum 安裝軟件模塊
4.copy 配置模塊
5.service 啟動(dòng)服務(wù)模塊
6.user 用戶管理
7.file 創(chuàng)建目錄，創(chuàng)建文件，往文件寫內(nèi)容
8.cron 定時(shí)任務(wù)
9.mount 掛載

1.command命令模塊

默認(rèn)模塊, 執(zhí)行命令

[root@man01 ~]# ansible jxwpx -a "hostname"

如果需要一些管道操作，則使用shell

[root@man01 ~]# ansible jxwpx -m shell -a "ifconfig|grep eth0" -f 50

-f =forks /etc/ansible/ansible.cfg #結(jié)果返回的數(shù)量

2.yum安裝模塊
#推送腳本文件至遠(yuǎn)程，遠(yuǎn)程執(zhí)行腳本文件

[root@man01 ~]# ansible jxwpx -m yum -a "name=httpd state=installed"
name ---指定要安裝的軟件包名稱
state ---指定使用yum的方法
installed，present ---安裝軟件包
removed，absent ---移除軟件包
latest ---安裝最新軟件包

3.copy模塊

推送文件模塊

[root@man01 ~]# ansible jxwpx -m copy -a "src=/etc/hosts dest=/tmp/test.txt owner=www group=www mode=0600"

在推送覆蓋遠(yuǎn)程端文件前，對(duì)遠(yuǎn)端已有文件進(jìn)行備份，按照時(shí)間信息備份

[root@man01 ~]# ansible jxwpx -m copy -a "src=/etc/hosts dest=/tmp/test.txt backup=yes"

直接向遠(yuǎn)端文件內(nèi)寫入數(shù)據(jù)信息，并且會(huì)覆蓋遠(yuǎn)端文件內(nèi)原有數(shù)據(jù)信息

[root@man01 ~]# ansible jxwpx -m copy -a "content='bgx' dest=/tmp/jxwpx"

src --- 推送數(shù)據(jù)的源文件信息
dest --- 推送數(shù)據(jù)的目標(biāo)路徑
backup --- 對(duì)推送傳輸過(guò)去的文件，進(jìn)行備份
content --- 直接批量在被管理端文件中添加內(nèi)容
group --- 將本地文件推送到遠(yuǎn)端，指定文件屬組信息
owner --- 將本地文件推送到遠(yuǎn)端，指定文件屬主信息
mode --- 將本地文件推送到遠(yuǎn)端，指定文件權(quán)限信息

4.service服務(wù)模塊
[root@man01 ~]# ansible jxwpx -m service -a "name=crond state=stopped enabled=yes"
name --- 定義要啟動(dòng)服務(wù)的名稱
state --- 指定服務(wù)狀態(tài)是停止或是運(yùn)行
started --- 啟動(dòng)
stopped --- 停止
restarted --- 重啟
reloaded --- 重載
enabled --- 是否讓服務(wù)開啟自啟動(dòng)

1.安裝
[root@man01 ~]# ansible web -m yum -a "name=httpd state=installed"
2.配置
[root@man01 ~]# ansible web -m copy -a "content='This is Ansible' dest=/var/www/html/index.html"
3.啟動(dòng)
[root@man01 ~]# ansible web -m service -a "name=httpd state=started"

yum copy service mount cron user file
1.機(jī)器還原快照（firewalld、selinux、配置好倉(cāng)庫(kù)）
2.推送你的公鑰
3.指定backup安裝rsync、配置、啟動(dòng)、創(chuàng)建目錄、創(chuàng)建用戶、準(zhǔn)備密碼文件、權(quán)限
4.指定nfs安裝nfs、配置、啟動(dòng)
5.web掛載nfs
6.web執(zhí)行腳本推送數(shù)據(jù)至bakcup，加入定時(shí)任務(wù)


本文標(biāo)題：SECURITY-上課記錄6.3
文章源于：http://weahome.cn/article/jgoghe.html

其他資訊

在線咨詢

微信咨詢

電話咨詢

028-86922220（工作日）

18980820575（7×24）

提交需求

返回頂部