Chinaunix首页 | 论坛 | 博客
  • 博客访问: 1027214
  • 博文数量: 361
  • 博客积分: 25
  • 博客等级: 民兵
  • 技术积分: 1759
  • 用 户 组: 普通用户
  • 注册时间: 2012-09-22 23:18
个人简介

学海无涯 个人blog lnmps.com 新站

文章分类

全部博文(361)

文章存档

2017年(1)

2015年(2)

2014年(55)

2013年(303)

分类: LINUX

2013-10-03 20:40:06

1、LILO安全设置

vi /etc/lilo.conf.anaconda      //修改LILO文件===============================================
……
restricted                  //加入这行
password=111111             //加入这行并设置密码为111111
……
================================================
600 /etc/lilo.conf.anaconda   //设置为ROOT权限读取
/sbin/lilo -v                       //更新系统,使上述操作生效
+i /etc/lilo.conf.anaconda   //设置LILO文件是不可写

2、设置默认口令和帐号长度与有效期

vi /etc/login.defs              //修改login.defs文件================================================
……
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_MIN_LEN   8                   //修改系统默认密码长度为8位
PASS_WARN_AGE 7                   //口令有效期为7天

3、清除不设口令的帐号

vi /etc/                      //修改文件 =================================================
……
kqzj::500:501:kqzj:/home/kqzj:/bin/bash
……
//帐号kqzj 没有设置口令。因为第二项为空,说明此帐号无密码,这是非常危险的,应该将此类帐号删除或给它设置口令。

4、特别的帐号处理

删除无用的用户和组用户
命令如下:
删除用户 :userdel username
删除组用户:groupdel groupname
删除下列的用户:
adm
lp
sync
shutdown
halt
mail
————–
news
uucp
operator
games                          //若没有MAIL服务器可删除
————–
gopher                          //若没有X Windows服务器可删除
ftp                             //若不允许匿名访问 FTP删除此帐号

5、权限与文件系统

lsattr                          //列出文件的属性
                          //改变文件的属性
a                        //只可添加属性
i                        //不可改变属性
修改系统中关键文件如下:
passwd
passwd._

n._
xinetd.conf
services
lilo.conf等
例: 600 /etc/xinetd.conf     //修改文件属主为root
+(-)i /etc/xinetd.conf      //设置为不能(取消)修改

6、限制系统使用资源

vi /etc/security/limits.conf
=================================================
……
加入或修改下面这几行:
*hard core 0                 //禁止创建core文件
*hard rss   5000              //除root外,其它用户内存使用为5M
*hard nproc 20                //限制最多进程为20

vi /etc/pam.d/login
=================================================
……
session required /lib/security/pam_limits.so
//在文件末尾加入上面这一行

7、设置自动注销帐号的登录

vi /etc/profile
===================================================
……
HOSTNAME=’/bin/hostname’
HISTSIZE=1000       //这是历史记录数,越小越好
tmout=300           //添加此行,表示系统在五分钟内没有任何操作,将自动这个帐号注销

8、/etc/securetty文件安全设置

vi /etc/securetty
====================================================
tty1
#tty2
……
#tty11              //在默认的内容中注释掉除tty1外的所有tty,表示root只能在tty1终端登录
9、禁止外来PING请求,防止补攻击

vi /etc/rc.d/rc.local
====================================================
echo 1>/proc/sys/net/ipv4/icmp_echo_ignore_all
//添加上面一行,可阻止系统响应任何外来的PING请求

10、限制显示出系统版本信息

当用户进入LINUX系统时系统将告诉用户LINUX版本号,内核版本号和服务器主机名。
vi /etc/rc.d/rc.local
=====================================================
在里面添加如下:
……
#This will overwrite /etc/issue at every boot.So,make any changesyou
#want to make to /etc/issue here oryou will lose them when you reboot.
#echo”"> /etc/issue
#echo”$R”>> /etc/issue
#echo”Kernel $(uname -r)on$a $(uname -m)”>>/etc/issue
#
#cp -f /etc/issue /etc/issue.net
#echo >>/etc/issue
……
然后,执行下面几行命令
#rm -f /etc/issue
#rm -f /etc/issue.net
#touch /etc/issue
#touch /etc/issue.net
也可以单独编辑一个命令(telnet),如修改/etc/inetd.conf
telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h
这样,用户TELNET服务器时,就不会显示出系统版本信息等了,只显示“login:”。

11、设置文件/etc/host.conf,防止IP欺骗

vi /etc/host.conf
===================================================
……
#Lookup names via DNS first then fall back to /etc/hosts.
order bind,hosts
#We don’t have machines with multipe IP addresses on the same card
(likevirtual server,IP Aliasing).
multi off
#Chesk for IP address spoofing.
nospoof on
IP Spoofing:IP-Spoofing is a security exploit that works by trichking
computers in a trust relationship that you are someone that you really aren.
//添加上面几行来防止IP欺骗攻击

12、禁止 su作为root

vi /etc/pam.d/su
======================================================
……
auth sufficient /lib/security/pam_rootok.so debug
auth required /lib/security/pam_wheel.so group=kqzj
在文件内添加如上两行,这表示只有用户组kqzj里的成员可以用su作为root
若希望用记admin能su作为root,可运行以下命令:
#usermod -G10 admin

13、禁止使用CTRL+ALT+DEL重启服务器

vi /etc/inittab
……
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now        //用“#”注释掉此行即可
然后运行:
#/sbin/init -q

14、注销时删除命令记录

vi /etc/skel/.bash_logout
============================================================
rm -f $HOME/.bash_history

15、确保开启的服务安全

常用服务方面的命令:
grep -v “#” /etc/services                        //显示没有被注释掉的服务
ps -eaf|wc -l                                    //统计当前系统打开服务的总数
netstat -na (远程后面可加ip)                     //查看当前运行的服务
netstat -an |grep LISTEN                         //查看是否有可疑端口打开
当然,也可以执行如下命令:
shattr +i /etc/services                          //设置为不可理性属性
Linux启动时先检测脚本文件,在REDHAT下,在/etc/rc.d/rc3.d(rc5.d)下(图形化),脚本名字为启动顺序。
K 表示杀死进程
S 表示启动的服务
如在启动时禁止一个服务,只需把该服务的脚本文件的大写“S”更改为小写“s”
注意,以下3个服务漏洞很多,强烈建议关闭
yppasswdd(NIS服务器)
ypserv(NIS服务器)
nfs(NFS服务器)

16、LINUX防火墙安全配置

system-config-securitylevel

17、LINUX系统安全工具

Sxid:检查系统中的suid,sgid以及没有主人的文件
Skey:一次性口令工具
Logrotate:日志循环工具
Logcheck:日志管理工具
Swatch:日志管理工具,比logcheck实时
Ssh(openssh):提供安全的连接认证
Portsentry:反扫描工具,监视自己的udp和tcp端口
Tripwire:提供系统完整性检查
Gnupg:对单个文件进行加密以及创建数字签名
Hostsentry:基于主机的入侵检测,将连接记入日志
ipchains Linux:发行版自带的包过滤形防火墙
Anti-sniff:反嗅探工具,检查网络中是否有嗅探器
Freeswan:在LINUX中实现 VPN的工具
Syslog-ng:替代syslog的日志文件系统
Scandns:进行DNS检查追踪工具
Whisker:CGI扫描器
Snoopy:通过跟踪execve系统调用记录文件的命令
Krnsniff:一个基于内核的监听模块
Iptable:用来替代ipchains包过滤防火墙
Imsafe:通过跟踪系统调用来检测缓冲溢出等问题
Iplog:对来往的包进行日志记录
Solaris designer:内核补丁,防止缓冲溢出等
Stackguard:作为补丁修补GCC,防止缓冲溢出
DTK:Honey port欺骗式防御
Antiroute:阻止和记录基于路由的跟踪===========================================================
注:以上资料均收集于网络,版权归原作者所有,本人只是在学习时总结规纳了一下,希望对LINUX安全爱好者有所帮助!

阅读(1211) | 评论(0) | 转发(0) |
给主人留下些什么吧!~~