云操作系統(tǒng)2.0安全基線加固說明

1、云操作系統(tǒng) 2.0 安全基線加固說明誤報或者不能修改說明1.1 檢查是否設(shè)置口令生存周期已經(jīng)2.1 檢查用戶目錄缺省權(quán)限設(shè)置說明：會影響程序執(zhí)行，比如更新了 js 文件代碼后，執(zhí)行 collectsiccompress 后，新生成的文件沒有執(zhí)行權(quán)限，造成云2.2 檢查用戶 umask 設(shè)置管理頁面異常說明：會影響程序執(zhí)行，比如更新了 js 文件代碼后，執(zhí)行 collectsiccompress 后，新生成的文件沒有執(zhí)行權(quán)限，造成云管理頁面異常3.1 檢查是否用戶對設(shè)備的操作說明：是 psacct，不是 pacct,已經(jīng)配置4.1 檢查是否關(guān)閉不必要的服務(wù)和端口參考系統(tǒng)實際掃描結(jié)果如下：grep

2、 -Eks|time|ntalk|send|klogin|prer|nfslock|echo|discard|chargen|bootps|tftp|nfs|daytime|ypbind|identchkconfig -list |grep -Eks|time|ntalk|send|klogin|prer|nfslock|echo|discard|chargen|bootps|tftp|nfs|daytime|ypbind|ident除 tftp 服務(wù)開啟外，其他服務(wù)均未開啟。tftp 為云操作系統(tǒng)自身的一個功能，可以通過 pxe 對云操作系統(tǒng) 2.0 管理的物理服務(wù)器部署操作系統(tǒng)，不能禁用。

3、5.1 檢查系統(tǒng)內(nèi)核參數(shù)配置說明：云本身帶有虛擬機(jī)交換機(jī)，路由器，等功能，這些功能需要通過配置 icmp_echo_ignore_broadcasts,ip_forward,send_redirects, icmp重定向報文, icmp 源路由這些參數(shù)實現(xiàn)，因此不能修改。6.1 檢查是否設(shè)置系統(tǒng)引導(dǎo)管理器說明：centos 7.2 已經(jīng)不再使用 grub 了，目前使用 grub2，直接使用命令 grub2-setpassword 設(shè)置7.1 檢查是否設(shè)置 ssh 成功登錄后 Banner已經(jīng)8.1 檢查是否配置定時自動屏幕鎖定（適用于具備圖形界面的設(shè)備）說明：云操作系統(tǒng)中的物理機(jī)系統(tǒng)沒有安裝圖

4、形化界面，運行級別為 39.1 檢查 NFS（網(wǎng)絡(luò)文件系統(tǒng)）服務(wù)配置說明：通過檢查系統(tǒng) systemctl |grep -i進(jìn)程運行.nfs ;ps -ef|grepnfs 均沒有 nfs10.1 檢查是否使用 NTP（網(wǎng)絡(luò)時間協(xié)議）保持時間同步說明：檢查是否已經(jīng)設(shè)置為數(shù)據(jù)中心 ntp，各個節(jié)點是否已經(jīng)同步 ntpq-p11.1 *檢查是否關(guān)閉數(shù)據(jù)包轉(zhuǎn)發(fā)功能（適用于不做路由功能的系統(tǒng)）說明：云本身帶有虛擬機(jī)交換機(jī)，路由器，等功能，這些功能需要通過配置 ip_forward， send_redirects 這些參數(shù)實現(xiàn)，因此不能修改。12.1 檢查賬戶認(rèn)證失敗次數(shù)限制說明：檢查及建議中使用的是 pam_t