linux系統(tǒng)安全加固示范

1、Linux主機(jī)操作系統(tǒng)加固規(guī)范目錄第1章概述 41.1 目的錯(cuò)誤！未定義書簽。1.2 適用范圍 錯(cuò)誤！未定義書簽。1.3 適用版本錯(cuò)誤！未定義書簽。1.4 實(shí)施錯(cuò)誤！未定義書簽。1.5 例外條款錯(cuò)誤!未定義書簽。第2章賬號(hào)管理、認(rèn)證授權(quán) 52.1 賬號(hào) 用戶口令設(shè)置52.1.2 root用戶遠(yuǎn)程登錄限制 檢查是否存在除 root之外UID為0的用戶 root用戶環(huán)境變量的安全性 7.2.2 認(rèn)證錯(cuò)誤!未定義書簽。2.2.1 遠(yuǎn)程連接的安全性配置 用戶的umask 安全配置 重要目錄和文件的權(quán)限設(shè)置 查

2、找未授權(quán)的SUID/SGID文件102.2.5 檢查任何人都有寫權(quán)限的目錄 112.2.6 查找任何人都有寫權(quán)限的文件 122.2.7 檢查沒有屬主的文件 132.2.8 檢查異常隱含文件 14第3章 日志審計(jì)163.1 日志163.1.1 syslog 登錄事件記錄 163.2 審計(jì)163.2.1 Syslog.conf 的配置審核16第4章系統(tǒng)文件184.1 系統(tǒng)狀態(tài)184.1.1 系統(tǒng) core dump狀態(tài)18第1章概述1.1 適用范圍本配置標(biāo)準(zhǔn)的使用者包括：服務(wù)器系統(tǒng)管理員、應(yīng)用管理員、網(wǎng)絡(luò)安全管理員。1.2 適用版本LINUX系列服務(wù)器；第2章賬號(hào)管理、認(rèn)證授權(quán)2.1賬號(hào)2.1.1

3、用戶口令設(shè)置安全基線操作系統(tǒng)Linux用戶口令安全基線要求項(xiàng)項(xiàng)目名稱安全基線SBL-Linux-02-01-01編號(hào)安全基線帳號(hào)與口令-用戶口令設(shè)置項(xiàng)說明檢測操作1、詢問管理員是否存在如下類似的簡單用戶密碼配置，比如：步驟root/root, test/test, root/root12342、執(zhí)行：more /etc/login ,檢查PASS_MAX_DAYS/PASS_MIN_LEN/PASS_MIN_DAYS/PASS_WARN_AGE 參數(shù)3、執(zhí)行：awk -F: '($2 = "") print $1 ' /etc/shadow,檢查是含存在空口

4、令賬號(hào)基線符合建議在 /etc/login 文件中配置：PASS_MIN_LEN=6性判定依不允許存在簡單密碼，密碼設(shè)置符合策略，如長度至少為 6據(jù)/、存在空口令賬號(hào)備注2.1.2 root用戶遠(yuǎn)程登錄限制安全基線項(xiàng)目名稱操作系統(tǒng)Linux遠(yuǎn)程登錄安全基線要求項(xiàng)安全基線SBL-Linux-02-01-02編號(hào)安全基線帳號(hào)與口令-root用戶遠(yuǎn)程登錄限制項(xiàng)說明檢測操作執(zhí)行：more /etc/securetty ,檢查 Console 參數(shù)步驟基線符合建議在 /etc/securetty 文件中配置：CONSOLE = /dev/tty01性判定依據(jù)備注2.1.3 檢查是否存在除root之外UI

5、D為0的用戶安全基線項(xiàng)目名稱操作系統(tǒng)Linux超級(jí)用戶策略安全基線要求項(xiàng)安全基線編號(hào)SBL-Linux-02-01-03安全基線項(xiàng)說明帳號(hào)與口令-檢查是否存在除root之外UID為0的用戶檢測操作步驟執(zhí)行：awk -F: '($3 = 0) print $1 ' /etc/passwd基線符合性判定依據(jù)返回值包括“ root ”以外的條目，則低于安全要求；備注補(bǔ)充操作說明UID為0的任何用戶都擁有系統(tǒng)的最高特權(quán)，保證只有 root用戶的UID為02.1.4 root用戶環(huán)境變量的安全性安全基線操作系統(tǒng)Linux超級(jí)用戶環(huán)境艾量安全基線要求項(xiàng)項(xiàng)目名稱安全基線SBL-Linux-0

6、2-01-04編號(hào)安全基線帳號(hào)與口令-root用戶環(huán)境變量的安全性項(xiàng)說明檢測操作執(zhí)行：echo $PATH | egrep '（A|：）（.|：|$）',檢查是否包含父目錄，步驟執(zhí)行：find 'echo $PATH | tr ':'''、-type d ( -perm -002 -o-perm -020 ） -Is ,檢查是否包含組目錄權(quán)限為777的目錄基線符合返回值包含以上條件，則低于安全要求；性判定依find 'echo $PATH | tr ':''''-type d ( -perm

7、 -777 -o -perm據(jù)-777 ) -Is注補(bǔ)充操作說明確保root用戶的系統(tǒng)路徑中不包含父目錄，在非必要的情況卜，不應(yīng)包含組權(quán)限為777的目錄2.1.5 遠(yuǎn)程連接的安全性配置安全基線項(xiàng)目名稱操作系統(tǒng)Linux遠(yuǎn)程連接安全基線要求項(xiàng)安全基線SBL-Linux-02-02-01編號(hào)安全基線帳號(hào)與口令-遠(yuǎn)程連接的安全性配置項(xiàng)說明檢測操作執(zhí)行：find / -name .netrc ,檢查系統(tǒng)中是否啟.netrc文件，步驟執(zhí)行：find / -name .rhosts ,檢查系統(tǒng)中是否啟.rhosts文件基線符合返回值包含以上條件，則低于安全要求；性判定依據(jù)備注補(bǔ)充操作說明如無必要，刪除這兩

8、個(gè)文件2.1.6 用戶的umask 安全配置安全基線項(xiàng)目名稱操作系統(tǒng)Linux用戶umask安全基線要求項(xiàng)安全基線項(xiàng)說明帳號(hào)與口令-用戶的umask安全配置檢測操作執(zhí)行： more /etc/profilemore /etc/csh.loginmore步驟/etc/csh.cshrc more /etc/bashrc檢查是否包含 umask 值基線符合umask值是默認(rèn)的，則低于安全要求性判定依據(jù)備注補(bǔ)充操作說明直接vi /etc/bashrc建議設(shè)置用戶的默認(rèn)umask=077數(shù)據(jù)庫機(jī)器不裝。2.1.7 重要目錄和文件的權(quán)限設(shè)置安全基線項(xiàng)目名稱操作系統(tǒng)Linux目錄文件權(quán)限安全基線要求項(xiàng)安全

9、基線編號(hào)SBL-Linux-02-02-03安全基線項(xiàng)說明文件系統(tǒng)-重要目錄和文件的權(quán)限設(shè)置檢測操作步驟執(zhí)行以下命令檢查目錄和文件的權(quán)限設(shè)置情況：lsT/etc/lsT/etc/rc.d/init.d/lsT/tmplsT/etc/inetd.conflsT/etc/passwdlsT/etc/shadowIsT/etc/groupIsT/etc/securityIsT/etc/servicesls -l /etc/rc*.d基線符合性判定依據(jù)若權(quán)限過低，則低于安全要求；備注補(bǔ)充操作說明對(duì)于重要目錄，建議執(zhí)行如下類似操作：# chmod -R 750 /etc/rc.d/init.d/*這樣只

10、有root可以讀、寫和執(zhí)行這個(gè)目錄下的腳本。2.1.8 查找未授權(quán)的SUID/SGID 文件安全基線項(xiàng)目名稱操作系統(tǒng)Linux SUID/SGID 文件安全基線要求項(xiàng)安全基線編號(hào)SBL-Linux-02-02-04安全基線項(xiàng)說明文件系統(tǒng)-查找未授權(quán)的SUID/SGID文件檢測操作用卜面的命令查找系統(tǒng)中所有的 SUID和SGID程序，執(zhí)行：步驟for PART in 'grep -v A# /etc/fstab | awk '($6 != "0") print$2 '' dofind / ( -perm -04000 -o -perm -020

11、00 ) -type f -xdev-printDone基線符合性判定依據(jù)若存在未授權(quán)的文件，則低于安全要求；備注補(bǔ)充操作說明建議經(jīng)常性的對(duì)比suid/sgid文件列表，以便能夠及時(shí)發(fā)現(xiàn)可疑的后門程序2.1.9 檢查任何人都有寫權(quán)限的目錄安全基線項(xiàng)目名稱操作系統(tǒng)Linux目錄寫權(quán)限安全基線要求項(xiàng)安全基線編號(hào)SBL-Linux-02-02-05安全基線項(xiàng)說明文件系統(tǒng)-檢查任何人都有寫權(quán)限的目錄檢測操作步驟在系統(tǒng)中定位任何人都有寫權(quán)限的目錄用卜面的命令：for PART in 'awk '($3 = "ext2" | $3 = "ext3")

12、 print $2 ' /etc/fstab' dofind / -xdev -type d ( -perm -0002 -a ! -perm -1000 ) -printDone基線符合性判定依據(jù)若返回值非空，則低于安全要求；備注2.1.10 查找任何人都有寫權(quán)限的文件安全基線項(xiàng)目名稱操作系統(tǒng)Linux文件寫權(quán)限安全基線要求項(xiàng)安全基線編號(hào)SBL-Linux-02-02-06安全基線項(xiàng)說明文件系統(tǒng)-查找任何人都有寫權(quán)限的文件檢測操作步驟在系統(tǒng)中定位任何人都有寫權(quán)限的文件用卜面的命令：for PART in 'grep -v A# /etc/fstab | awk 

13、9;($6 != "0") print$2 '' dofind $PART -xdev -type f ( -perm -0002 -a ! -perm -1000 )-printDone基線符合性判定依若返回值非空，則低于安全要求；據(jù)備注2.1.11 檢查沒有屬主的文件安全基線項(xiàng)目名稱操作系統(tǒng)Linux文件所有權(quán)安全基線要求項(xiàng)安全基線SBL-Linux-02-02-07編號(hào)安全基線文件系統(tǒng)-檢查沒有屬主的文件項(xiàng)說明檢測操作定位系統(tǒng)中沒有屬主的文件用卜間的命令：步驟for PART in 'grep -v A# /etc/fstab | awk &#

14、39;($6 != "0") print$2 '' dofind $PART -nouser -o -nogroup -printdone注意：不用管" /dev ”目錄下的那些文件?；€符合若返回值非空，則低于安全要求；性判定依據(jù)備注補(bǔ)充操作說明發(fā)現(xiàn)沒有屬主的文件往往就意味著有黑客入侵你的系統(tǒng)了。不能允許沒有主人的義件存在。如果在系統(tǒng)中發(fā)現(xiàn)了沒有主人的義件或目 錄，先查看它的完整性，如果一切正常，給它一個(gè)主人。有時(shí)候卸 載程序可能會(huì)出現(xiàn)一些沒有主人的義件或目錄，在這種情況卜.可以 把這些文件和目錄刪除掉。2.1.12 檢查異常隱含文件安全基線項(xiàng)目

15、名稱操作系統(tǒng)Linux隱含文件安全基線要求項(xiàng)安全基線編號(hào)SBL-Linux-02-02-08安全基線項(xiàng)說明文件系統(tǒng)-檢查異常隱含文件檢測操作步驟用“find ”程序可以查找到這些隱含文件。例如：# find / -name ".*" -printidev# find / -name " *" -print -xdev | cat -v同時(shí)也要注意象” .xx”和“.mail ”這樣的文件名的。（這些文件名看起來都很象正常的文件名）基線符合性判定依據(jù)若返回值非空，則低于安全要求；備注補(bǔ)充操作說明在系統(tǒng)的每個(gè)地方都要查一下有沒有異常隱含文件（點(diǎn)號(hào)是起始字符的

16、，用“l(fā)s”命令看/、到的文件），因?yàn)檫@些文件可能是隱藏的 黑客工具或者其它一些信息（口令破解程序、其它系統(tǒng)的口令文件， 等等）。在UNIX下，一個(gè)常用的技術(shù)就是用一些特殊的名，如：“”、”.”（點(diǎn)點(diǎn)空格）或“ .AG "（點(diǎn)點(diǎn)control-G ）,來隱含文件 或目錄。第3章 日志審計(jì)3.1 日志3.1.1 syslog 登錄事件記錄安全基線項(xiàng)目名稱操作系統(tǒng)Linux登錄審計(jì)安全基線要求項(xiàng)安全基線SBL-Linux-03-01-01編號(hào)安全基線日志審計(jì)-syslog登錄事件記錄項(xiàng)說明檢測操作執(zhí)行命令： more /etc/syslog.conf步驟查看參數(shù)authpriv 值基線符

17、合若未對(duì)所有登錄事件都記錄，則低于安全要求；性判定依據(jù)備注3.2 審計(jì)3.2.1 Syslog.conf的配置審核安全基線項(xiàng)目名稱操作系統(tǒng)Linux配置審計(jì)安全基線要求項(xiàng)安全基線SBL-Linux-03-02-01編號(hào)安全基線日志審計(jì)-Syslog.conf 的配置審核項(xiàng)說明檢測操作執(zhí)行：more /etc/syslog.conf ,查看是否設(shè)置了卜列項(xiàng)：步驟kern.warning;*.err;authpriv.nonetloghost*.info;mail.none;authpriv.none;cron.nonetloghost*.emergtloghostlocal7.*tloghost基線符合若未設(shè)置，則低于安全要求；性判定依據(jù)備注補(bǔ)充操作說明建議配置專門的日志服務(wù)器，