系统安全加固手册.doc

H:精品资料建筑精品网原稿ok（删除公文）建筑精品网5未上传百度Linux系统安全加固手册1.安装最新安全补丁:项目:注释:1安装操作系统提供商发布的最新的安全补丁各常见的Linux发布安全信息的web地址:RedHat Linux: Caldera OpenLinux: Conectiva Linux: .br/atualizacoes/Debian GNU/Linux: http:/www.debian.org/security/Mandrake Linux: http:/www.linux-LinuxPPC: S.u.S.E. : http:/www.suse.de/security/index.htmlYellow Dog Linux : 2.网络和系统服务:inetd/xinetd网络服务:设置项注释:1确保只有确实需要的服务在运行:先把所有经过ineted/xineted运行的网络服务关闭,再打开确实需要的服务绝大多数经过inetd/xinetd运行的网络服务都能够被禁止,比如echo, exec, login, shell,who,finger等.对于telnet, r系列服务, ftp等, 强烈建议使用SSH来代替.2设置xinetd访问控制在/etc/xinetd.conf文件的”default ”块中加入如下行:only_from=/ / 每个/(比如192.168.1.0/24)对表示允许的源地址启动服务:设置项注释:1关闭NFS服务器进程:运行 chkconfig nfs offNFS一般存在漏洞会导致未授权的文件和系统访问.2关闭NFS客户端进程:运行 chkconfig nfslock offchkconfig autofs off3关闭NIS客户端进程:chkconfig ypbind offNIS系统在设计时就存在安全隐患4关闭NIS服务器进程:运行 chkconfig ypserv offchkconfig yppasswd off5关闭其它基于RPC的服务:运行 chkconfig portmap off基于RPC的服务一般非常脆弱或者缺少安全的认证,可是还可能共享敏感信息.除非确实必须,否则应该完全禁止基于RPC的服务.6关闭SMB服务运行 chkconfig smb off除非确实需要和Windows系统共享文件,否则应该禁止该服务.7禁止Netfs脚本chkconfig netfs off如果不需要文件共享可禁止该脚本8关闭打印机守护进程chkconfig lpd off如果用户从来不经过该机器打印文件则应该禁止该服务.Unix的打印服务有糟糕的安全记录.9关闭启动时运行的 X Serversed s/id:5:initdefault:/id:3:initdefault:/ /etc/inittab.newmv /etc/inittab.new /etc/inittabchown root:root /etc/inittabchmod 0600 /etc/inittab对于专门的服务器没有理由要运行X Server, 比如专门的Web服务器10关闭Mail Serverchkconfig postfix off多数Unix/Linux系统运行Sendmail作为邮件服务器, 而该软件历史上出现过较多安全漏洞,如无必要,禁止该服务11关闭Web Serverchkconfig httpd off可能的话,禁止该服务.12关闭SNMPchkconfig snmpd off如果必须运行SNMP的话,应该更改缺省的community string13关闭DNS Serverchkconfig named off可能的话,禁止该服务14关闭 Database Serverchkconfig postgresql offLinux下常见的数据库服务器有Mysql, Postgre, Oracle等, 没有必要的话,应该禁止这些服务15关闭路由守护进程chkconfig routed offchkconfig gated off组织里仅有极少数的机器才需要作为路由器来运行.大多数机器都使用简单的”静态路由”, 而且它不需要运行特殊的守护进程16关闭Webmin远程管理工具chkconfig webmin offWebmin是一个远程管理工具,它有糟糕的认证和会话管理历史, 因此应该谨慎使用17关闭Squid Web Cachechkconfig squid off如果必须使用, 应该谨慎配置18可能的话禁止inetd/xinetdchkconfig inetd off 或chkconfig xinetd off如果没有网络服务经过inetd/xinetd运行则能够禁止它们19设置守护进程掩码cd /etc/rc.d/init.dif grep -l umask functions = ; thenecho umask 022 functionsfi系统缺省的umask 值应该设定为022以避免守护进程创立所有用户可写的文件3.核心调整:设置项注释:1禁止core dump:cat /etc/security/limits.conf* soft core 0* hard core 0END_ENTRIES允许core dump会耗费大量的磁盘空间.2限制NFS客户端使用特权端口:perl -i.orig -pe next if (/s*#/ | /s*$/);($res, hst) = split( );foreach $ent (hst) undef(%set);($optlist) = $ent = /(.*?)/;foreach $opt (split(/,/, $optlist) $set$opt = 1;delete($setinsecure);$setsecure = 1;$ent = s/(.*?)/;$ent .= ( . join(, keys(%set) . );$hst0 = (secure) unless (hst);$_ = $rest . join( , hst) . n; /etc/exports能够防止非特权用户发起的automouted NFS攻击.3网络参数调整:cat /etc/sysctl.confnet.ipv4.ip_forward = 0net.ipv4.conf.all.accept_source_route = 0net.ipv4.tcp_max_syn_backlog = 4096net.ipv4.conf.all.rp_filter = 1END_SCRIPTcat /etc/sysctl.confnet.ipv4.conf.all.send_redirects = 0net.ipv4.conf.all.accept_redirects = 0net.ipv4.conf.default.accept_redirects = 0END_SCRIPTchown root:root /etc/sysctl.confchmod 0600 /etc/sysctl.conf详见: 或4.日志系统:设置项注释:1捕捉发送给AUTH 和AUTHPRIV facility的消息到日志文件/var/log/secure:if grep -c auth. /etc/syslog.conf -eq 0 thenecho -e auth.*tttt/var/log/secure /etc/syslog.conffiif grep -c authpriv. /etc/syslog.conf eq 0 thenecho -e authpriv.*tttt/var/log/secure /etc/syslog.conffitouch /var/log/securechown root:root /var/log/securechmod 600 /var/log/secure.syslog中的AUTH 和AUTHPRIV facility包含了大量安全相关的信息, 不是所有Linux发布都记录这些日志信息.应该把这些信息记录到/var/log/secure文件中(该文件仅超级用户可读)5.文件/目录访问许可权限:检查项注释:1对/etc/fstab中的可移动介质增加”nosuid”选项:awk ($2 /m.*/(floppy|cdrom)$/ & $3 != supermount) $4 = sprintf(%s,nosuid, $4) ; print /etc/fstab /etc/fstab.newmv /etc/fstab.new /etc/fstabchown root:root /etc/fstabchmod 0644 /etc/fstab能够移动介质是引入恶意代码的一个重要途径.该设置能够防止普通用户经过CDROM或软盘引入SUID程序2禁止普通用户来mount可移动文件系统:cd /etc/securityegrep -v (floppy|cdrom) console.perms console.perms.newmv console.perms.new console.permsgrep -v supermount /etc/fstab /etc/fstab.newmv /etc/fstab.new /etc/fstabchown root:root console.perms /etc/fstabchmod 0600 console.permschmod 0644 /etc/fstab在基于Linux的发布中普通用户在控制台上有更大的权限, 能够使用CD-ROM和软盘驱动器.甚至在一些发布,比如Mandrake Linux上当在机器上插入软盘或光碟时系统会经过supermount来自动mount这些驱动器.3对passwd, shadow, 和group文件设置正确的许可权限:cd /etcchown root:root passwd shadow groupchmod 644 passwd groupchmod 400 shadow这些文件的属主和组应该为root, passwd和group文件的许可权限应该为644,shadow文件的许可权限应该为4004对临时目录设置粘着位:chmod +t /tmpfind /var -type d -perm -0222 -xdev -exec chmod +t ;临时目录不设置粘着位会导致普通用户能够任意删除其它用户建立的临时文件5查找未认证的SUID/SGID可程序:for part in awk ($3 = ext2 | $3 = ”ext3”) print $2 /etc/fstabdofind $part ( -perm -04000 -o -perm -0 ) -type f -xdev -printdone6.系统访问, 认证和授权:检查项注释:1在PAM配置文件中删除.rhosts支持:for file in echo /etc/pam.d/* ; dogrep -v rhosts_auth $file $file.newmv $file.new $filechown root:root $filechmod 644 $filedone禁止.rhost支持有助于防止用户搞乱系统正常的访问控制机制2删除/etc/hosts.equiv文件:rm /etc/hosts.equiv/etc/hosts.equiv文件为系统上的所有用户设置全局信任关系,于.rhost的作用类似.3校验/etc/ftpusers文件的内容, 确认root和系统用户存在在该文件中/etc/ftpusers文件列出了所有禁止使用ftp的用户的名单,一般root和系统用户都应该禁止使用ftp4限制 at/cron给授权的用户:cd /etc/rm -f cron.deny at.denyecho root cron.allowecho root at.allowchown root:root cron.allow at.allowchmod 400 cron.allow at.allowCron.allow和at.allow文件列出了允许允许crontab和at命令的用户名单, 在多数系统上一般只有系统管理员才需要运行这些命令5Crontab文件限制访问权限:chown root:root /etc/crontabchmod 400 /etc/crontabchown -R root:root /var/spool/cronchmod -R go-rwx /var/spool/cronchown -R root:root /etc/cron.*chmod -R go-rwx /etc/cron.*系统的crontab文件应该只能被cron守护进程(它以超级用户身份运行)来访问,一个普通用户能够修改crontab文件会导致她能够以超级用户身份执行任意程序6建立恰当的警告banner:echo Authorized uses only. All activity may be monitored and reported. /etc/motdchown root:root /etc/motdchmod 644 /etc/motdcat /etc/rc.d/rc.localecho Authorized uses only. All activity may be monitored and reported. /etc/issueecho Authorized uses only. All activity may be monitored and reported. /etc/END改变登录banner能够隐藏操作系统类型和版本号和其它系统信息,这些信息能够会对攻击者有用.7限制root登录到系统控制台:cat /etc/securettytty1tty2tty3tty4tty5tty6END_FILEchown root:root /etc/securettychmod 400 /etc/securetty一般应该以普通用户身份访问系统,然后经过其它授权机制(比如su命令和sudo)来获得更高权限,这样做至少能够对登录事件进行跟踪8设置LILO/GRUB口令:在/etc/lilo.conf文件的开头加入如下行:restrictedpassword=以root身份执行如下命令:chown root:root /etc/lilo.confchmod 600 /etc/lilo.conflilo对于GRUB:加入本行到/etc/grub.conf:password 以root身份执行如下命令:chown root:root /etc/grub.confchmod 600 /etc/grub.conf能够有助于防止基于控制台的物理攻击7.用户账号和环境:检查项注释:1清除或锁定系统账号:for user in uucp operatordo/usr/sbin/userdel $userdonefor user in adm alias apache axfrdns bin daemon dhcpd dnscache dnslog ftp games gdm gopher halt htdig ident lp mail mailnull named news nobody nscd postfix postgres qmaild qmaill qmailp qmailq qmailr qmails rpc rpcuser squid sympa sync tinydns xfsdo/usr/sbin/usermod -L -s /dev/null $userdoneUucp和operator账号一般是不需要的,能够把它们从passwd和shadow文件中删除,其它账号视具体情况而定.要锁定一个账号,能够把该账号的shell改为一个无效的shell, 比如/dev/nullq验证没有遗留下来的+条目存在于passwd,shadow,group文件中:grep +: /etc/passwd /etc/shadow /etc/group这些条目可能会给攻击者提供一个途径来取得系统的访问权限,如果存在的化应该删除2验证是否有账号存在空口令的情况:awk -F: ($2 = ) print $1 /etc/shadow所有账号应该有一个强口令或者使用类似”NP”或”*LOCKED*”的口令字串来锁定账号3检查除了root以外是否还有其它账号的UID为0:awk -F: ($3 = 0) print $1 /etc/passwd任何UID为0的账号在系统上都具有超级用户权限.4检查root用户的$PATH中是否有.或者所有用户/组用户可写的目录超级用户的$PATH设置中如果存在这些目录可能会导致超级用户误执行一个特洛伊木马5删除属于root用户的具有潜在危险的文件:rm -f /.rshosts /.netrc /root/.rshosts /root/.netrc/.rhost, /.netrc 或 /root/.rhost , /root/.netrc文件都具有潜在的危险6用户的home目录许可权限是否为755或更严格的限制:for dir in awk -F: ($3 = 500) print $6 /etc/passwddochmod go-w $dirdone用户home目录的许可权限限制不严可能会导致恶意用户读/修改/删除其它用户的数据或取得其它用户的系统权限7是否有用户的点文件是所有用户可读的:for dir in awk -F: ($3 = 500) print $6 /etc/passwddofor file in $dir/.A-Za-z0-9*doif -f $file ; thenchmod o-w $filefidonedoneUnix/Linux下一般以”.”开头的文件是用户的配置文件,如果存在所有用户可读/写的配置文件可能会使恶意用户能读/写其它用户的数据或取得其它用户的系统权限8删除用户的.netrc文件:for dir in cut -f6 -d: /etc/passwddorm -f $dir/rc文件中可能会包含未加密的口令9为用户设置合适的缺省umask值:cd /etcfor file in profile csh.login csh.cshrc bashrcdoif grep -c umask $file -eq 0 ;thenecho umask 022 $filefichown root:root $filechmod 444 $filedone为用户设置缺省的umask值有助于防止用户建立所有用户可写的文件而危及用户的数据.8.关键安全工具的安装:检查项注释:1安装SSHSSH是一个使用加密连接的安全的远程管理/数据传输协议.它能够用来替代telnet, r命令,ftp等传统的不安全的协议/命令.SSH的最新实现软件能够在 ftp:/下载2安装NTPNTP(网络时间协议)用于使网络上的多个系统间的时间同步,精确的系统时间有利于保证系统日志的准确性.