Linux安全配置

Linux做事器版本：RedHat Linux AS 2.1
对付 开放式的操纵 体系 ---Linux，体系 的安详设定包孕体系 做事最小化、限定 长途 存取、躲藏 重要 原料 、修补安详裂缝、采用 安详器材以及常常 性的安详反省 等。本文重要 从用户设置、怎样 开放做事、体系 优化等方面举办体系 的安详设置 ，以到达 使Linux做事器更安详、稳定。
2．用户管理
在Linux体系 中，用户帐号是用户的身份符号 ，它由用户名和用户口令构成 。体系 将输入的用户名寄放 在/etc/passwd文件中，而将输入的口令以加密的形式寄放 在/etc/shadow文件中。在正常情况下，这些口令和其他信息由操纵 体系 掩护 ，可以或许 对其举办拜访的只能是超等 用户(root)和操纵 体系 的一些操纵措施。但是假如 设置 欠妥 或在一些体系 运行堕落 的情况下，这些信息可以被平凡 用户得到。进而，不怀盛意 的用户就可以应用 一类被称为“口令破解”的器材去得到加密前的口令。
2．1 删除体系 出格的的用户帐号和组帐号：

#userdel username
userdel adm
userdel lp
userdel sync
userdel shutdown
userdel halt
userdel news
userdel uucp
userdel operator
userdel games
userdel gopher
以上所删除用户为体系 默认创建 ，但是在常用做事器中根本 不应用 的一些帐号，但是这些帐号常被黑客操作和进攻做事器。
#groupdel username
groupdel adm
groupdel lp
groupdel news
groupdel uucp
groupdel games
groupdel dip
同样，以裳?池 ?的是体系 安装是默认创建 的一些组帐号。如许 就镌汰 受进攻的机会。

2．2 用户暗码 设置：
安装linux时默认的暗码 最小长度是5个字节，但这并不足，要把它设为8个字节。批改最短暗码 长度必要 编辑 login.defs文件（vi /etc/login.defs）

PASS_MAX_DAYS   99999    ##暗码 设置最长有效 期（默认值）
PASS_MIN_DAYS   0        ##暗码 设置最短有效 期
PASS_MIN_LEN    5        ##设置暗码 最小长度
PASS_WARN_AGE   7        ##提前几何 天告诫 用户暗码 即将逾期 。

2．3 批改主动 注销帐号工夫：
主动 注销帐号的登录，在Linux体系 中root账户是具有最高特权的。假如 体系 管理 员在分开 体系 之前忘怀 注销root账户，那将会带来很大的安详隐患，应当 让体系 会主动 注销。通过批改账户中“TMOUT”参数，可以实现此功能。TMOUT按秒打定。编辑 你的profile文件（vi /etc/profile）,在"HISTSIZE="后头介入下面这行：
　　TMOUT=300
　　300，表示300秒，也就是表示5分钟。如许 ，假如 体系 中登岸 的用户在5分钟内都没有举措 ，那么体系 会主动 注销这个账户。

2．4 给体系 的用户名暗码 寄放 文件加锁：
chattr +i /etc/passwd
chattr +i /etc/shadow
chattr +i /etc/gshadow
chattr +i /etc/group

注：chattr是变化 文件属性的下令 ，参数i代表不得恣意 更动文件或目次 ,此处的i为不可批改位(immutable)。查见解 子 ：lsattr /etc/passwd
3．做事管理
在Linux体系 的做事管理 方面，假如 想做到做事的最好安详，此中 重要 的就是升级做事本身 的软件版本，其它一个就是封闭 体系 不应用 的做事，做到做事最小化。
3．1 封闭 体系 不应用 的做事：
cd /etc/init.d      ##进入到体系 init进程 启动目次
在这里有两个行动 ，可以封闭 init目次 下的做事，一、将init目次 下的文件名mv成*.old类的文件名，即批改文件名，作用就是在体系 启动的时间 找不到这个做事的启动文件。二、应用 chkconfig体系 下令 来封闭 体系 启动品级 的做事。

注：在应用 以下任何一种行动 时，请先反省 必要 封闭 的做事是否是本做事器出格 必要 启动支持 的做事，以防封闭 正常应用 的做事。

第一种：批改文件名的行动

Cd /etc/init.d/
mv apmd apmd.old   ##条记 本必要
mv netfs netfs.old   ## nfs客户端
mv yppasswdd yppasswdd.old ## NIS做事器，此做事裂缝很多       
mv ypserv ypserv.old   ## NIS做事器，此做事裂缝很多
mv dhcpd dhcpd.old   ## dhcp做事
mv portmap portmap.old   ##运行rpc(111端口)做事必需
mv lpd lpd.old    ##打印做事
mv nfs nfs.old    ## NFS做事器，裂缝极多
mv sendmail sendmail.old ##邮件做事, 裂缝极多
mv snmpd snmpd.old   ## SNMP，长途 用户能从中得到 很多 体系 信息
mv rstatd rstatd.old   ##停止运行r做事，长途 用户可以从中获取很多 信息
mv atd atd.old    ##和cron很雷同的定时运行措施的做事
第二种：应用 chkcofig下令 来封闭 不应用 的体系 做事
chkconfig –level 35 apmd off
chkconfig –level 35 netfs off
chkconfig –level 35 yppasswdd off
chkconfig –level 35 ypserv off
chkconfig –level 35 dhcpd off
chkconfig –level 35 portmap off
chkconfig –level 35 lpd off
chkconfig –level 35 nfs off
chkconfig –level 35 sendmail off
chkconfig –level 35 snmpd off
chkconfig –level 35 rstatd off
chkconfig –level 35 atd off

注：以上chkcofig 下令 中的3和5是体系 启动的范例 ，3代表体系 的多用启动行动 ，5代表体系 的X启动行动 。

3．2 给体系 做事端口列表文件加锁
重要 作用：预防未经答应的删除或添加做事
chattr +i /etc/services
3．3 批改ssh做事的root登录权限
批改ssh做事设置 文件，使的ssh做事不允许直策应 用 root用户来登录，如许 建树体系 被恶意登录进攻的机会。
vi /etct/ssh/sshd_config
PermitRootLogin yes
将这行前的＃去掉后，批改为：PermitRootLogin no

4．体系 文件权限
Linux文件体系 的安详重要 是通过设置文件的权限来实现的。每一个Linux的文件或目次 ，都有3组属性，判别 界说 文件或目次 的全部 者，用户组和其他人的应用 权限（只读、可写、可推行 、允许SUID、允许SGID等）。出格 留意 ，权限为SUID和SGID的可推行 文件，在措施运行过程中，会给进程 赋予全部 者的权限，假如 被黑客创造并操作就会给体系 造成毒害。

4．1 批改init目次 文件推行 权限：
chmod -R 700 /etc/init.d/*

4．2 批改部分 体系 文件的SUID和SGID的权限：
chmod a-s /usr/bin/chage
chmod a-s /usr/bin/gpasswd
chmod a-s /usr/bin/wall
chmod a-s /usr/bin/chfn
chmod a-s /usr/bin/chsh
chmod a-s /usr/bin/newgrp
chmod a-s /usr/bin/write
chmod a-s /usr/sbin/usernetctl
chmod a-s /usr/sbin/traceroute
chmod a-s /bin/mount
chmod a-s /bin/umount
chmod a-s /bin/ping
chmod a-s /sbin/netreport

4．3 批改体系 指示 文件
chmod 600 /etc/grub.conf
chattr +i /etc/grub.conf

5．体系 优化
5．1 假造 内存优化：
一样平常 来说，linux的物理内存险些 是完备 used。这个和windows非常大的不同，它的内存管理 机制将体系 内存充沛 操作，并非windows无论多大的内存都要去应用 一些假造 内存一样。

在/proc/sys/vm/freepages中三个数字是当前体系 的:最小内存空缺 页、最低内存空缺 页和最高内存空缺 。

留意 ，这里体系 应用 假造 内存的原则是:假如 空缺 页数量 低于最高空缺 页设置，则应用 磁盘交换空间。当到达 最低空缺 页设置时，应用 内存交换。内存一样平常 以每页4k字节分派 。最小内存空缺 页设置是体系 中内存数量 的2倍;最低内存空缺 页设置是内存数量 的4倍;最高内存空缺 页设置是体系 内存的6倍。

以下以1G内存为例批改体系 默认假造 内存参数巨细 ：
echo "2048 4096 6444" >/proc/sys/vm/freepages

6．日记 管理
6．1 体系 指示 日记 ：
dmesg
应用 dmesg 下令 可以快速查察 末了 一次体系 指示 的指示 日记 。通常它的内容会很多 ，以是 您每每 会渴望 将其通过管道传输到一个涉猎器。

6．2 体系 运行日记 ：
A、Linux 日记 存储在 /var/log 目次 中。这里有几个由体系 掩护的日记 文件，但其他做事和措施也也许会把它们的日记 放在这里。大多数日记 只有 root 才可以读，不外 只必要 批改文件的拜访权限就可以让其他人可读。

以下是常用的体系 日记 文件名称及其刻画 ：
lastlog 记实 用户末了 一次乐成 登录工夫
loginlog 不良的登岸 实行记实
messages 记实 输出到体系 主控台以及由syslog体系 做事措施发生 的动静
utmp 记实 当前登录的每个用户
utmpx 扩张的utmp
wtmp 记实 每一次用户登录和注销的汗青 信息 wtmpx 扩张的wtmp
vold.log 记实 应用 外部介质出现的过错
xferkig 记实 Ftp的存取情况 sulog 记实 su下令 的应用 情况
acct 记实 每个用户应用 过的下令
aculog 拨出主动 呼唤 记实
B、/var/log/messages
messages 日记 是核心 体系 日记 文件。它包孕 了体系 启动时的指示 动静 ，以及体系 运行时的其他状况 动静 。IO 过错 、网络过错 和其他体系 过错 都市 记实 到这个文件中。其他信息，比如 某小我私家 的身份切换为 root，也在这里列出。假如 做事正在运行，比如 DHCP 做事器，您可以在 messages 文件中观察 它的活动。通常，/var/log/messages 是您在做妨碍 诊断时起首 要查察 的文件。
C、/var/log/XFree86.0.log
这个日记 记实 的是 Xfree86 Xwindows 做事器末了 一次推行 的结果。假如 您在启动到图形模式时碰到 了题目 ，一样平常 情况从这个文件中会找到失败的缘故起因 。
D、在/var/log 目次 下有一些文件以一个数字最后 ，这些是已轮循的归档文件。日记 文件会变得出格 大，出格 粗笨 。Linux 供给 了一个下令 来轮循这些日记 ，以使您的当前日记 信息不会吞没 在旧的无关信息之中。 logrotate 通常是定时主动 运行的，但是也可以手工运行。当推行 后，logrotate 将取适合 前版本的日记 文件，然后在这个文件名末了 附加一个“.1”。其他更早轮循的文件为“.2”、“.3”，依次类推。文件名后的数字越大，日记 就越老。

可以通过编辑 /etc/logrotate.conf 文件来设置 logrotate 的主动 行径。通过 man logrotate 来学习 logrotate 的整个 细节。
此中 ：
# rotate log files weekly

weekly

这里代表每个日记 文件是每个星期循环一次，一个日记 文件生涯 一个星期的内容。
# keep 4 weeks worth of backlogs

rotate 4

这里代表日记 循环的次数是4次，即可以生涯 4个日记 文件。

E、定制日记

可以通过编辑 /et/syslog.conf 和 /etc/sysconfig/syslog 来设置 它们的行径，可以定制体系 日记 的寄放 路径和日记 发生 级别。

6．3 体系 各用户操纵 日记 ：
              last

单独推行 last指令，它会读取位于/var/log目次 下，名称为wtmp的文件，并把该给文件的内容记实 的登入体系 的用户名单整个 表现 出来。
       history

    history下令 可以或许 生涯 近来 所推行 的下令 。假如 是root下令 所生涯 的下令 内容在/root/.bash_history文件中，假如 是平凡 用户，操纵 所下令 生涯 在这个用户的所属目次 下，即一样平常 的/home/username/.bash_history。这个history的生涯 值可以设置，编辑 /etc/profile文件，此中 的HISTSIZE=1000的值就是history生涯 的值。

7．防火墙
7．1 iptables范例 防火墙：
7．1．1 iptables观念 ：
Iptalbes（IP包过滤器管理 ）是用来设置、掩护和反省 Linux内核的IP包过滤正直 的。

可以界说 差别 的表，每个表都包孕 几个内部的链，也能包孕 用户界说 的链。每个链都是一个正直 列表，对对应的包举办匹配：每条正直 指定应当 如那边 理 赏罚 与之相匹配的包。这被称作'target'（方针 ），也可以跳向同一个表内的用户界说 的链。

通过应用 用户空间，可以构建本身 的定制正直 ，这些正直 存储在内核空间的信息包过滤表中。这些正直 具有方针 ，它们见告 内查对 来自某些源、前去 某些方针地或具有某些协议 范例 的信息包做些什么。假如 某个信息包与正直 匹配，那么应用 方针 ACCEPT 允许该信息包通过。还可以应用 方针 DROP 或 REJECT 来壅闭 并杀逝世 信息包。对付 可对信息包推行 的其余操纵 ，尚有 很多 其余方针 。

按照 正直 所处理 赏罚 的信息包的范例 ，可以将正直 分组在链中。处理 赏罚 入站信息包的正直 被添加到 INPUT 链中。处理 赏罚 出站信息包的正直 被添加到 OUTPUT 链中。处理 赏罚 正在转发的信息包的正直 被添加到 FORWARD 链中。这三个链是根本 信息包过滤表中内置的缺省主链。其它，尚有 其余很多 可用的链的范例 （如 PREROUTING 和 POSTROUTING），以及供给 用户界说 的链。每个链都可以有一个计策，它界说 “缺省方针 ”，也就是要推行 的缺省操纵 ，当信息包与链中的任何正直 都不匹配时，推行 此操纵 。

成立 正直 并将链放在恰当 的职位 之后，就可以起头举办真正的信息包过滤事变 了。这时内核空间从用户空间吸取 事变 。当信息包到达 防火墙时，内核先反省 信息包的头信息，尤其是信息包的方针地。我们将这个过程称为路由。

假如 信息包源自外界并前去 体系 ，并且 防火墙是打开的，那么内核将它转达 到内核空间信息包过滤表的 INPUT 链。假如 信息包源自体系 内部或体系 所毗连 的内部网上的其余源，并且 此信息包要前去 另一个外部体系 ，那么信息包被转达 到 OUTPUT 链。类似的，源自外部体系 并前去 外部体系 的信息包被转达 到 FORWARD 链。
7．1．2 iptables实例1：
       #!/bin/sh

# 拦阻 体系 的转发包功能
echo 0 > /proc/sys/net/ipv4/ip_forward

# 明白 iptables原有正直 ，并设置iptables默认正直
iptables -t nat -F POSTROUTING
iptables -t nat -F PREROUTING
iptables -t nat -F OUTPUT
iptables -F
iptables -P INPUT DROP
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
# 在input正直 中必要 打开的tcp、upd端口
iptables -A INPUT -j ACCEPT -p tcp --dport 80
iptables -A INPUT -j ACCEPT -p tcp --dport 22
iptables -A INPUT -j ACCEPT -p tcp --dport 25
iptables -A INPUT -j ACCEPT -p tcp --dport 1352
iptables -A INPUT -p udp --destination-port 53 -j ACCEPT
# 在input正直 中状况 为：STATE RELATED 的包都经受
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 启用体系 ip转发功能
echo 1 > /proc/sys/net/ipv4/ip_forward
< --end-- >

7．1．3 iptables实例2：
       注：这个实例中，只必要 设置tcp、udp端口和做事器网络段ip范畴 即可，其他已经默认设置好。
#!/bin/sh
# make:yongzhang
# time:2004-06-18
# e-mail:
PATH=/sbin:/bin:/usr/sbin:/usr/bin
##tcp allow ports
TPORTS="80 22"
##udp allow ports
UPORTS="53"
##internal server_ip range
SERVER_IP="172.18.10.0/24"
##disable forwarding
echo 0 > /proc/sys/net/ipv4/ip_forward
##reset default policies
iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
##del all iptables rules
iptables -F INPUT
iptables -F FORWARD
iptables -F OUTPUT
##clean all non-default chains
iptables -X
iptables -t nat -X
##iptables default rules
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT
##allow ping packets
iptables -A INPUT -p ICMP -s 0/0 --icmp-type 0 -j ACCEPT
iptables -A INPUT -p ICMP -s 0/0 --icmp-type 3 -j ACCEPT
iptables -A INPUT -p ICMP -s 0/0 --icmp-type 5 -j ACCEPT
iptables -A INPUT -p ICMP -s 0/0 --icmp-type 8 -j ACCEPT
iptables -A INPUT -p ICMP -s 0/0 --icmp-type 11 -j ACCEPT
#iptables -A INPUT -p ICMP -s 0/0 --icmp-type 11 -m limit --limit 5/s -j ACCEPT
iptables -A FORWARD -p ICMP -j ACCEPT
##enable forwarding
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
##STATE RELATED for router
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
##accept internal packets on the internal i/f
iptables -A INPUT -s $SERVER_IP -p tcp -j ACCEPT
##open ports on router for server/services
##TCP PORTS
for ATP in $TPORTS
do
iptables -A INPUT ! -s $SERVER_IP -d $SERVER_IP -p tcp --destination-port $ATP -j ACCEPT
          iptables -A FORWARD -p tcp --destination-port $ATP -j ACCEPT
done
##UDP PORTS
for AUP in $UPORTS
do
          iptables -A INPUT -p udp --destination-port $AUP -j ACCEPT
          iptables -A FORWARD -p udp --destination-port $AUP -j ACCEPT
done
##bad_packets chain
##drop INVALID packets immediately
iptables -A INPUT -p ALL -m state --state INVALID -j DROP
##limit SYN flood
#iptables -A INPUT -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT
#iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT
##deny all ICMP packets,eth0 is external net_eth
#iptables -A INPUT -i eth0 -s 0.0.0.0/0 -p ICMP -j DROP
##allow loopback
iptables -A INPUT -i lo -p all -j ACCEPT
iptables -A OUTPUT -o lo -p all -j ACCEPT
##enable forwarding
echo 1 > /proc/sys/net/ipv4/ip_forward
< --end-- >
7．2 ipchains范例 防火墙：
7．2．1 ipchains观念 ：
Ipchains 被用来安装、掩护、反省 Linux内核的防火墙正直 。正直 可以分成四类：IP input链、IP output链、IP forward链、user defined 链。
一个防火墙正直 指定包的技俩和方针 。当一个包进来时, 核心 应用 input链来决议 它的运气 。 假如 它通过了, 那么核心 将决议 包下一步该发往那边 (这一步叫路由)。假如 它是送往另一台呆板 的, 核心 就运用 forward链。假如 不匹配，进入方针 值所指定的下一条链，那有也许是一条user defined链，可能是一个特定值: ACCEPT，DENY，REJECT，MASQ，REDIRECT，RETURN。
ACCEPT意味着允许包通过，DENY 扔偷换 就象没有受到过一样，REJECT也把包甩掉，但(假如 它不是 ICMP 包)发生 一个 ICMP 中兴来见告 发包者，方针所在无法到达 （请留意 DENY和REJECT对付 ICMP包是一样的）。
　　MASQ 见告 核心 装作此包，它只对forward 链和user defined链起作用，想让它起作用, 编译核心 时必需让 IP Masquerading 起作用。
　　REDIRECT只对input链和user defined链起作用。它见告 核心 把无论应送到那边 的包改送到一个内地 端口. 只有 TCP 和 UDP 协议 可以应用 此指定. 恣意 用 '-j REDIRECT' 指定一个端口(名字或编号)可以使送往此的包被重定向到某个出格的端口, 纵然 它被符号 为送到其余端口。想让它起作用，编译内核时，必需 让CONFIG_IP_TRANSPARENT_PROXY起作用。
　　末了 的一个方针 指定是 RETURN, 它跳过它下面的全部 正直 , 直到链的末端 。
　　任何其余的方针 指定表示一个用户自界说 的链。包将在谁人 链中通过. 假如 谁人 链没有决议 此包的运气 , 那么在谁人 链中的传输就完成了，包将通过当前链的下一个正直 。

7．2．2 ipchains实例：
    ##消除 input正直 的正直 ，并变化 input默认的正直 链计策为REJECT
-F input
-P input REJECT
##以下是允许input正直 链的tcp端口为：80 81 22 123
-A input -s 0/0 -d 0/0 80 -p tcp -y -j ACCEPT
-A input -s 0/0 -d 0/0 81 -p tcp -y -j ACCEPT
-A input -s 0/0 -d 0/0 22 -p tcp -y -j ACCEPT
-A input -s 0/0 -d 0/0 123 -p udp -j ACCEPT
        ##设置除了以上允许的input正直 链认为，推辞 0－1023、2049、6000－6009、7100的tcp和upd端口
-A input -p tcp -s 0/0 -d 0/0 0:1023 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 2049 -y -j REJECT
-A input -p udp -s 0/0 -d 0/0 0:1023 -j REJECT
-A input -p udp -s 0/0 -d 0/0 2049 -j REJECT
-A input -p tcp -s 0/0 -d 0/0 6000:6009 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 7100 -y -j REJECT
##允许系本身 统网卡上发生的全部 包通过
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
-A input -s 0/0 -d 0/0 -i eth0 -j ACCEPT
-A input -s 0/0 -d 0/0 -i eth1 -j ACCEPT
        ##消除 output正直 的正直 ，并变化 output默认的正直 链计策为ACCEPT
-F output
-P output ACCEPT
##消除 forward正直 的正直 ，并变化 forward默认的正直 链计策为DENY,设置了forward正直 链允许对10.10.11.0/24网段的包可以转发并且 做装作处理 赏罚 。
-F forward
-P forward DENY
-A forward -s 10.10.11.0/24 -j MASQ