Loading... <p>1. 锁定系统中多余的自建帐号</p> <p> 检查方法:</p> <p> 执行命令</p> <p>#cat /etc/passwd</p> <p>#cat /etc/shadow</p> <p> 查看账户、口令文件,与系统管理员确认不必要的账号。对于一些保留的系统伪帐户如:bin, sys,adm,uucp,lp, nuucp,hpdb, www, daemon等可根据需要锁定登陆。</p> <p> 备份方法:</p> <p>#cp -p /etc/passwd /etc/passwd_bak</p> <p>#cp -p /etc/shadow /etc/shadow_bak</p> <p> 加固方法:</p> <p> 使用命令passwd -l <用户名>锁定不必要的账号。</p> <p> 使用命令passwd -u <用户名>解锁需要恢复的账号。</p> <p> 风险:</p> <p> 需要与管理员确认此项操作不会影响到业务系统的登录</p> <p>2. 设置系统口令策略</p> <p> 检查方法:</p> <p> 使用命令</p> <p>#cat /etc/login.defs|grep PASS查看密码策略设置</p> <p> 备份方法:</p> <p>cp -p /etc/login.defs /etc/login.defs_bak</p> <p> 加固方法:</p> <p>#vi /etc/login.defs修改配置文件</p> <p>PASS_MAX_DAYS 90 #新建用户的密码最长使用天数</p> <p>PASS_MIN_DAYS 0 #新建用户的密码最短使用天数</p> <p>PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数</p> <p>PASS_MIN_LEN 8 #最小密码长度9</p> <p>注:如果需要单独对某个用户密码不限制最长时间,使用命令 </p> <p>passwd –x 99999 用户名;或者passwd –x -1 用户名 </p> <p> 风险:无可见风险</p> <p><b>3. </b><b>禁用root之外的超级用户</b></p> <p> 检查方法:</p> <p>#cat /etc/passwd 查看口令文件,口令文件格式如下:</p> <p>login_name:password:user_ID:group_ID:comment:home_dir:command</p> <p>login_name:用户名</p> <p>password:加密后的用户密码</p> <p>user_ID:用户ID,(1 ~ 6000) 若用户ID=0,则该用户拥有超级用户的权限。查看此处是否有多个ID=0。</p> <p>group_ID:用户组ID</p> <p>comment:用户全名或其它注释信息</p> <p>home_dir:用户根目录</p> <p>command:用户登录后的执行命令</p> <p> 备份方法:</p> <p>#cp -p /etc/passwd /etc/passwd_bak</p> <p> 加固方法:</p> <p> 使用命令passwd -l <用户名>锁定不必要的超级账户。</p> <p> 使用命令passwd -u <用户名>解锁需要恢复的超级账户。</p> <p> 风险:需要与管理员确认此超级用户的用途。</p> <p>4. 检查shadow中空口令帐号</p> <p> 检查方法:</p> <p># awk -F: '($2 == "") { print $1 }' /etc/shadow</p> <p> 备份方法:cp -p /etc/shadow /etc/shadow_bak</p> <p> 加固方法:对空口令账号进行锁定(passwd –l 用户名),或要求增加密码.</p> <p> 注:当新增加账号还没有设置密码的时候,该账号默认为锁定状态。</p> <p><a href="https://www.crazycen.com/usr/uploads/2012/06/clip_image001.jpg"><img style="background-image: none; border-bottom: 0px; border-left: 0px; padding-left: 0px; padding-right: 0px; display: inline; border-top: 0px; border-right: 0px; padding-top: 0px" title="clip_image001" border="0" alt="clip_image001" src="https://www.crazycen.com/usr/uploads/2012/06/clip_image001_thumb.jpg" width="525" height="41" /></a></p> <p> 风险:要确认空口令账户是否和应用关联,增加密码是否会引起应用无法连接。</p> <p>5. 设置合理的初始文件权限<b></b></p> <p> 检查方法:</p> <p>#cat /etc/profile 查看umask的值</p> <p> 备份方法:</p> <p>#cp -p /etc/profile /etc/profile_bak</p> <p> 加固方法:</p> <p>#vi /etc/profile</p> <p>umask 022</p> <p> 风险:会修改新建文件的默认权限为(644),如果该服务器是WEB应用,则此项谨慎修改。</p> <p>6. 设置访问控制策略限制能够管理本机的IP地址</p> <p> 检查方法:</p> <p>#cat /etc/ssh/sshd_config 查看有无AllowUsers的语句</p> <p> 备份方法:</p> <p>#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak</p> <p> 加固方法:</p> <p>#vi /etc/ssh/sshd_config,添加以下语句</p> <p>AllowUsers *@10.138.*.* 此句意为:仅允许10.138.0.0/16网段所有用户通过ssh访问</p> <p> 保存后重启ssh服务</p> <p>#service sshd restart</p> <p> 风险:需要和管理员确认能够管理的IP段</p> <p>7. 禁止root用户远程登陆</p> <p> 检查方法:</p> <p>#cat /etc/ssh/sshd_config 查看PermitRootLogin是否为no</p> <p> 备份方法:</p> <p>#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak</p> <p> 加固方法:</p> <p>#vi /etc/ssh/sshd_config</p> <p>PermitRootLogin no</p> <p> 保存后重启ssh服务</p> <p>service sshd restart</p> <p><a href="https://www.crazycen.com/usr/uploads/2012/06/clip_image002.jpg"><img style="background-image: none; border-bottom: 0px; border-left: 0px; padding-left: 0px; padding-right: 0px; display: inline; border-top: 0px; border-right: 0px; padding-top: 0px" title="clip_image002" border="0" alt="clip_image002" src="https://www.crazycen.com/usr/uploads/2012/06/clip_image002_thumb.jpg" width="204" height="80" /></a></p> <p> 风险:root用户无法直接远程登录,需要用普通账号登陆后su</p> <p>8. 限定信任主机</p> <p> 检查方法:</p> <p>#cat /etc/hosts.equiv 查看其中的主机</p> <p>#cat /$HOME/.rhosts 查看其中的主机</p> <p> 备份方法:</p> <p>#cp -p /etc/hosts.equiv /etc/hosts.equiv_bak</p> <p>#cp -p /$HOME/.rhosts /$HOME/.rhosts_bak</p> <p> 加固方法:</p> <p>#vi /etc/hosts.equiv 删除其中不必要的主机</p> <p>#vi /$HOME/.rhosts 删除其中不必要的主机</p> <p> 风险:在多机互备的环境中,需要保留其他主机的IP可信任。</p> <p>9. 屏蔽登录banner信息</p> <p> 检查方法:</p> <p>#cat /etc/ssh/sshd_config 查看文件中是否存在Banner字段,或banner字段为NONE</p> <p>#cat /etc/motd 查看文件内容,该处内容将作为banner信息显示给登录用户。</p> <p> 备份方法:</p> <p>#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak</p> <p>#cp -p /etc/motd /etc/motd_bak</p> <p> 加固方法:</p> <p>#vi /etc/ssh/sshd_config</p> <p>banner NONE</p> <p>#vi /etc/motd</p> <p> 删除全部内容或更新成自己想要添加的内容</p> <p> 风险:无可见风险</p> <p>10. 防止误使用Ctrl+Alt+Del重启系统</p> <p> 检查方法:</p> <p>#cat /etc/inittab|grep ctrlaltdel 查看输入行是否被注释</p> <p> 备份方法:</p> <p>#cp -p /etc/inittab /etc/inittab_bak</p> <p> 加固方法:</p> <p>#vi /etc/inittab</p> <p> 在行开头添加注释符号“#”</p> <p>#ca::ctrlaltdel:/sbin/shutdown -t3 -r now</p> <p><a href="https://www.crazycen.com/usr/uploads/2012/06/clip_image003.jpg"><img style="background-image: none; border-bottom: 0px; border-left: 0px; padding-left: 0px; padding-right: 0px; display: inline; border-top: 0px; border-right: 0px; padding-top: 0px" title="clip_image003" border="0" alt="clip_image003" src="https://www.crazycen.com/usr/uploads/2012/06/clip_image003_thumb.jpg" width="366" height="52" /></a></p> <p> 风险:无可见风险</p> <p>11. 禁止ping命令</p> <p>echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all ##注:如果是0的话是允许ping的。</p> <p>还有另外一种方法:</p> <p>修改/etc/sysconfig/iptables文件:</p> <p>-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j DROP</p> <p>12. 修改帐户TMOUT值,设置自动注销时间<b></b></p> <p> 检查方法:</p> <p>#cat /etc/profile 查看有无TMOUT的设置</p> <p> 备份方法:</p> <p>#cp -p /etc/profile /etc/profile_bak</p> <p> 加固方法:</p> <p>#vi /etc/profile</p> <p> 增加</p> <p>TMOUT=600 无操作600秒后自动退出</p> <p> 风险:无可见风险</p> <p>13. 设置Bash保留历史命令的条数</p> <p> 检查方法:</p> <p>#cat /etc/profile|grep HISTSIZE=</p> <p>#cat /etc/profile|grep HISTFILESIZE= 查看保留历史命令的条数</p> <p> 备份方法:</p> <p>#cp -p /etc/profile /etc/profile_bak</p> <p> 加固方法:</p> <p>#vi /etc/profile</p> <p> 修改HISTSIZE=20即保留最新执行的 20条命令</p> <p> 风险:无可见风险</p> Last modification:October 6, 2023 © Allow specification reprint Support Appreciate the author AliPayWeChat Like 如果觉得我的文章对你有用,请随意赞赏