阿里云的安全部署方式1

阿里云的安全部署方式（一）目錄系統(tǒng)crontab權(quán)限設(shè)置禁止包含源路由的IP包2禁止主機(jī)進(jìn)行路由轉(zhuǎn)發(fā)禁止轉(zhuǎn)發(fā)ICMP重定向報(bào)文啟用反轉(zhuǎn)地址路徑過(guò)濾系統(tǒng)crontab權(quán)限設(shè)置3刪除系統(tǒng)計(jì)劃任務(wù)crontab、at的黑名單。創(chuàng)建計(jì)劃任務(wù)crontab、at白名單。設(shè)置白名單所屬用戶讀寫(xiě)權(quán)限，沒(méi)有執(zhí)行權(quán)限注意：因?yàn)榘酌麊蔚膬?yōu)先級(jí)比黑名單的優(yōu)先級(jí)高，所以不管黑名單，只要限定白名單，那么就只有白名單里的用戶才能使用crontab、at。系統(tǒng)crontab權(quán)限設(shè)置4[root@supermder~]#rm-f/etc/cron.deny[root@supermder~]#rm-f/etc/at.deny[root@supermder~]#touch/etc/cron.allow[root@supermder~]#touch/etc/at.allow[root@supermder~]#chmod0600/etc/cron.allow[root@supermder~]#chmod0600/etc/at.allow禁止主機(jī)進(jìn)行路由轉(zhuǎn)發(fā)5[root@supermder~]#vim/etc/sysctl.confnet.ipv4.ip_forward=0#添加這行內(nèi)容，關(guān)閉路由轉(zhuǎn)發(fā)[root@supermder~]#sysctl–p#立即生效禁止轉(zhuǎn)發(fā)ICMP重定向報(bào)文6[root@supermder~]#vim/etc/sysctl.confnet.ipv4.conf.all.send_redirects=0net.ipv4.conf.default.send_redirects=0net.ipv4.conf.all.secure_redirects=0net.ipv4.conf.default.secure_redirects=0[root@supermder~]#sysctl–p#立即生效禁止包含源路由的IP包7[root@supermder~]#vim/etc/sysctl.confnet.ipv4.conf.default.accept_redirects=0#添加這行內(nèi)容，禁止包含源路由的IP包[root@supermder~]#sysctl–p#立即生效啟用反轉(zhuǎn)地址路徑過(guò)濾8[root@supermder~]#vim/etc/sysctl.confnet.ipv4.conf.all.rp_filter=1net.ipv4.conf.default.rp_filter=1#添加這兩內(nèi)容，啟用反轉(zhuǎn)地址路徑過(guò)濾[root@supermder~]#sysctl–p#立即生效Thanks阿里云的安全部署方式（二）目錄禁止IPv6路由廣播rsyslog日志文件權(quán)限配置11禁止IPv6路由重定向密碼授權(quán)新密碼與老密碼不能重復(fù)sshd_config文件加固設(shè)置禁止IPv6路由廣播12[root@supermder~]#vim/etc/sysctl.confnet.ipv6.conf.all.accept_ra=0#添加這行內(nèi)容，禁止ipv6路由廣播[root@supermder~]#sysctl-pnet.ipv6.conf.all.accept_ra=0禁止IPv6路由重定向13[root@supermder~]#vim/etc/sysctl.confnet.ipv6.conf.all.accept_redirects=0#添加這行內(nèi)容，關(guān)閉ipv6路由重定向[root@supermder~]#sysctl–p密碼授權(quán)新密碼與老密碼不能重復(fù)14[root@supermder~]#vim/etc/pam.d/system-authpasswordsufficientpam_unix.sosha512shadownulloktry_first_passuse_authtokremember=3#添加remember=3表示此次設(shè)置密碼與過(guò)去3次不同rsyslog日志文件權(quán)限配置15檢查項(xiàng):rsyslog日志文件權(quán)限配置加固建議:在/etc/rsyslog.conf中添加：$FileCreateMode0640SSHD僅記錄ssh用戶登錄活動(dòng)16檢查項(xiàng):SSHD僅記錄ssh用戶登錄活動(dòng)。加固建議:在/etc/ssh/sshd_config中取消LogLevelINFO注釋符號(hào)#。清理主機(jī)遠(yuǎn)程登錄歷史主機(jī)記錄17檢查項(xiàng):清理主機(jī)遠(yuǎn)程登錄歷史主機(jī)記錄加固建議:在/etc/ssh/sshd_config中取消IgnoreRhostsyes注釋符號(hào)#禁止主機(jī)認(rèn)證登錄18檢查項(xiàng):禁止主機(jī)認(rèn)證登錄加固建議:在/etc/ssh/sshd_config中取消HostbasedAuthenticat