linux运维技术.docx
《linux运维技术.docx》由会员分享，可在线阅读，更多相关《linux运维技术.docx（33页珍藏版）》请在冰豆网上搜索。
linux运维技术
CentOS服务器优化
时间:
2014-04-0522:
12来源:
作者:
Boo_st举报点击:
312次
序言：
服务器操作建议
1、严格按照目录规范操作服务器
2、远程服务器不允许关机
3、不要在服务器访问高峰运行高负载命令
4、远程配置防火墙时，不要把自己踢出服务器
一、禁用不必要的服务
ntsysv命令：
前面带*号的代表下次开机自启动！
一定要开启的基础服务：
network 网络服务
sshd ssh远程管理服务
syslog 系统日志服务
iptables 防火墙服务
crond 系统计划任务服务
xinetd 系统超级守护进程服务
二、关闭多余的控制台及禁止ctrl+alt+del
1、修改/etc/inittab文件
注释掉多余的控制台，保留2个就可以
如：
#3:
2345:
respawn:
/sbin/mingettytty3
2、禁止ctrl+alt+del快捷键【热启动快捷键】
如：
#ca:
:
ctrlaltdel:
/sbin/shutdown-t3-rnow
三、网络优化
1、禁止ping
echo1>/proc/sys/net/ipv4/icmp_echo_ignore_all
#原值为0
2、禁止源路由包（防止源欺骗）
echo1>/proc/sys/net/ipv4/conf/*/accept_source_route
3、打开SYNcookie选项，禁止SYN攻击
echo1>/proc/sys/net/ipv4/tcp_syncookies
【注意】因为这些数据是保存在/proc目录下的，所以，一旦服务器重启，这些数据就会归零！
所以，应该将这些命令写到开机自启动的目录下！
四、严格的安全策略
1、密码合理并定期跟换
密码三原则：
复杂性、易记忆性、时效性
2、合理分配权限
3、使用ssh远程管理，最好不要使用telnet，因为telnet是明文传输的！
4、保证/etc/shadow的安全，shadow文件保存了Linux中的真正的密码！
5、定期备份重要数据和日志
五、定时升级Linux系统
yum-yupdate#在线自动升级
附：
John暴力破解工具
1、下载
1）
2）下载字典
2、安装
1）安装gccyum-yinstallgcc
2）解压tar-zxvfjohn-1.7.9.tar.gz
3）cd解压目录/src/
4）make
makecleanlinux-x86-mmx
3、使用
cp/etc/shadow/root
chmod777/root/shadow
john目录/run/john/root/shadow
#如果需要使用字典，则需要在需破解的文件前加-w选项
4、查看
run/john--show/etc/shadow
catrun/john.pot
CentOS安全加固
时间:
2014-04-2300:
29来源:
作者:
xyz846举报点击:
373次
Redhat是目前企业中用的最多的一类Linux，而目前针对Redhat攻击的黑客也越来越多了。
我们要如何为这类服务器做好安全加固工作呢?
一.账户安全
1.1锁定系统中多余的自建帐号
检查方法:
执行命令
#cat/etc/passwd
#cat/etc/shadow
查看账户、口令文件，与系统管理员确认不必要的账号。
对于一些保留的系统伪帐户如：
bin,sys，adm，uucp，lp,nuucp，hpdb,www,daemon等可根据需要锁定登陆。
备份方法：
#cp-p/etc/passwd/etc/passwd_bak
#cp-p/etc/shadow/etc/shadow_bak
加固方法:
使用命令passwd-l<用户名>锁定不必要的账号。
使用命令passwd-u<用户名>解锁需要恢复的账号。
风险:
需要与管理员确认此项操作不会影响到业务系统的登录
1.2设置系统口令策略
检查方法：
使用命令
#cat/etc/login.defs|grepPASS查看密码策略设置
备份方法：
cp-p/etc/login.defs/etc/login.defs_bak
加固方法：
#vi/etc/login.defs修改配置文件
PASS_MAX_DAYS90#新建用户的密码最长使用天数
PASS_MIN_DAYS0#新建用户的密码最短使用天数
PASS_WARN_AGE7#新建用户的密码到期提前提醒天数
PASS_MIN_LEN9#最小密码长度9
风险：
无可见风险
1.3禁用root之外的超级用户
检查方法：
#cat/etc/passwd查看口令文件，口令文件格式如下：
login_name：
password：
user_ID：
group_ID：
comment：
home_dir：
command
login_name：
用户名
password：
加密后的用户密码
user_ID：
用户ID，（1~6000）若用户ID=0，则该用户拥有超级用户的权限。
查看此处是否有多个ID=0。
group_ID：
用户组ID
comment：
用户全名或其它注释信息
home_dir：
用户根目录
command：
用户登录后的执行命令
备份方法：
#cp-p/etc/passwd/etc/passwd_bak
加固方法：
使用命令passwd-l<用户名>锁定不必要的超级账户。
使用命令passwd-u<用户名>解锁需要恢复的超级账户。
风险：
需要与管理员确认此超级用户的用途。
1.4限制能够su为root的用户
检查方法：
#cat/etc/pam.d/su,查看是否有authrequired/lib/security/pam_wheel.so这样的配置条目
备份方法：
#cp-p/etc/pam.d/etc/pam.d_bak
加固方法：
#vi/etc/pam.d/su
在头部添加：
authrequired/lib/security/pam_wheel.sogroup=wheel
这样，只有wheel组的用户可以su到root
#usermod-G10test将test用户加入到wheel组
风险：
需要PAM包的支持;对pam文件的修改应仔细检查，一旦出现错误会导致无法登陆;和管理员确认哪些用户需要su。
当系统验证出现问题时，首先应当检查/var/log/messages或者/var/log/secure中的输出信息，根据这些信息判断用户账号的有效
性。
如果是因为PAM验证故障，而引起root也无法登录，只能使用singleuser或者rescue模式进行排错。
1.5检查shadow中空口令帐号
检查方法：
#awk-F:
'（==""）{print}'/etc/shadow
备份方法：
cp-p/etc/shadow/etc/shadow_bak
加固方法：
对空口令账号进行锁定，或要求增加密码
风险：
要确认空口令账户是否和应用关联，增加密码是否会引起应用无法连接。
二、最小化服务
2.1停止或禁用与承载业务无关的服务
检查方法：
#who–r或runlevel查看当前init级别
#chkconfig--list查看所有服务的状态
备份方法：
记录需要关闭服务的名称
加固方法：
#chkconfig--level<服务名>on|off|reset设置服务在个init级别下开机是否启动
风险：
某些应用需要特定服务，需要与管理员确认。
三、数据访问控制
3.1设置合理的初始文件权限
检查方法：
#cat/etc/profile查看umask的值
备份方法：
#cp-p/etc/profile/etc/profile_bak
加固方法：
#vi/etc/profile
umask=027
风险：
会修改新建文件的默认权限，如果该服务器是WEB应用，则此项谨慎修改。
四、网络访问控制
4.1使用SSH进行管理
检查方法：
#ps–aef|grepsshd查看有无此服务
备份方法：
加固方法：
使用命令开启ssh服务
#servicesshdstart
风险：
改变管理员的使用习惯
4.2设置访问控制策略限制能够管理本机的IP地址
检查方法：
#cat/etc/ssh/sshd_config查看有无AllowUsers的语句
备份方法：
#cp-p/etc/ssh/sshd_config/etc/ssh/sshd_config_bak
加固方法：
#vi/etc/ssh/sshd_config，添加以下语句
AllowUsers*@10.138.*.*此句意为：
仅允许10.138.0.0/16网段所有用户通过ssh访问
保存后重启ssh服务
#servicesshdrestart
风险：
需要和管理员确认能够管理的IP段
4.3禁止root用户远程登陆
检查方法：
#cat/etc/ssh/sshd_config查看PermitRootLogin是否为no
备份方法：
#cp-p/etc/ssh/sshd_config/etc/ssh/sshd_config_bak
加固方法：
#vi/etc/ssh/sshd_config
PermitRootLoginno
保存后重启ssh服务
servicesshdrestart
风险：
root用户无法直接远程登录，需要用普通账号登陆后su
4.4限定信任主机
检查方法：
#cat/etc/hosts.equiv查看其中的主机
#cat/$HOME/.rhosts查看其中的主机
备份方法：
#cp-p/etc/hosts.equiv/etc/hosts.equiv_bak
#cp-p/$HOME/.rhosts/$HOME/.rhosts_bak
加固方法：
#vi/etc/hosts.equiv删除其中不必要的主机
#vi/$HOME/.rhosts删除其中不必要的主机
风险：
在多机互备的环境中，需要保留其他主机的IP可信任。
4.5屏蔽登录banner信息
检查方法：
#cat/etc/ssh/sshd_config查看文件中是否存在Banner字段，或banner字段为NONE
#cat/etc/motd查看文件内容，该处内容将作为banner信息显示给登录用户。
备份方法：
#cp-p/etc/ssh/sshd_config/etc/ssh/sshd_config_bak
#cp-p/etc/motd/etc/motd_bak
加固方法：
#vi/etc/ssh/sshd_config
bannerNONE
#vi/etc/motd
删除全部内容或更新成自己想要添加的内容
风险：
无可见风险
4.6防止误使用Ctrl+Alt+Del重启系统
检查方法：
#cat/etc/inittab|grepctrlaltdel查看输入行是否被注释
备份方法：
#cp-p/etc/inittab/etc/inittab_bak
加固方法：
#vi/etc/inittab
在行开头添加注释符号“#”
#ca:
:
ctrlaltdel:
/sbin/shutdown-t3-rnow
风险：
无可见风险
五、用户鉴别
5.1设置帐户锁定登录失败锁定次数、锁定时间
检查方法：
#cat/etc/pam.d/system-auth查看有无authrequiredpam_tally.so条目的设置
备份方法：
#cp-p/etc/pam.d/system-auth/etc/pam.d/system-auth_bak
加固方法：
#vi/etc/pam.d/system-auth
authrequiredpam_tally.soonerr=faildeny=6unlock_time=300设置为密码连续错误6次锁定，锁定时间300秒
解锁用户faillog-u<用户名>-r
风险：
需要PAM包的支持;对pam文件的修改应仔细检查，一旦出现错误会导致无法登陆;
当系统验证出现问题时，首先应当检查/var/log/messages或者/var/log/secure中的输出信息，根据这些信息判断用户账号的有效
性。
5.2修改帐户TMOUT值，设置自动注销时间
检查方法：
#cat/etc/profile查看有无TMOUT的设置
备份方法：
#cp-p/etc/profile/etc/profile_bak
加固方法：
#vi/etc/profile
增加
TMOUT=600无操作600秒后自动退出
风险：
无可见风险
5.3Grub/Lilo密码
检查方法：
#cat/etc/grub.conf|greppassword查看grub是否设置密码
#cat/etc/lilo.conf|greppassword查看lilo是否设置密码
备份方法：
#cp-p/etc/grub.conf/etc/grub.conf_bak
#cp-p/etc/lilo.conf/etc/lilo.conf_bak
加固方法：
为grub或lilo设置密码
风险：
etc/grub.conf通常会链接到/boot/grub/grub.conf
5.4限制FTP登录
检查方法：
#cat/etc/ftpusers确认是否包含用户名，这些用户名不允许登录FTP服务
备份方法：
#cp-p/etc/ftpusers/etc/ftpusers_bak
加固方法：
#vi/etc/ftpusers添加行，每行包含一个用户名，添加的用户将被禁止登录FTP服务
风险：
无可见风险
5.5设置Bash保留历史命令的条数
检查方法：
#cat/etc/profile|grepHISTSIZE=
#cat/etc/profile|grepHISTFILESIZE=查看保留历史命令的条数
备份方法：
#cp-p/etc/profile/etc/profile_bak
加固方法：
#vi/etc/profile
修改HISTSIZE=5和HISTFILESIZE=5即保留最新执行的5条命令
风险：
无可见风险
六、审计策略
6.1配置系统日志策略配置文件
检查方法：
#ps–aef|grepsyslog确认syslog是否启用
#cat/etc/syslog.conf查看syslogd的配置，并确认日志文件是否存在
系统日志（默认）/var/log/messages
cron日志（默认）/var/log/cron
安全日志（默认）/var/log/secure
备份方法：
#cp-p/etc/syslog.conf
6.2为审计产生的数据分配合理的存储空间和存储时间
检查方法：
#cat/etc/logrotate.conf查看系统轮询配置，有无
#rotatelogfilesweekly
weekly
#keep4weeksworthofbacklogs
rotate4的配置
备份方法：
#cp-p/etc/logrotate.conf/etc/logrotate.conf_bak
加固方法：
#vi/etc/logrotate.d/syslog
增加
rotate4日志文件保存个数为4，当第5个产生后，删除最早的日志
size100k每个日志的大小
加固后应类似如下内容：
/var/log/syslog/*_log{
missingok
notifempty
size100k#logfileswillberotatedwhentheygrowbiggerthat100k.
rotate5#willkeepthelogsfor5weeks.
compress#logfileswillbecompressed.
sharedscripts
postrotate
/etc/init.d/syslogcondrestart>/dev/null2>1||true
endscript
}
linux系统安全日志分析
时间:
2014-03-1023:
45来源:
作者:
虎子举报点击:
348次
我们主要讲一下Linux环境中的系统记帐和系统日志管理以及怎么用一些工具更加方便有效的管理日志信息。
当我们用上面的方法进行了Linux服务器的安装和一些基本的设置后，我们的服务器应该说来是比较安全的。
但是总是还会有黑客可以通过各种方法利用系统管理员的疏忽侵入我们的系统。
他们的一举一动都会记录到系统的日志之中，尽管他们可能可以改变这些日志信息，甚至用自己的程序替换掉我们系统本身的命令程序，但是通过日志我们总还是能找到一些蛛丝马迹。
下面我们主要讲一下Linux环境中的系统记帐和系统日志管理以及怎么用一些工具更加方便有效的管理日志信息。
1系统记帐
最初开发的系统记帐用于跟踪用户资源消费情况，从用户帐号中提取费用为目地的。
现在我们可以把它用于安全目的，给我们提供有关在系统中发生的各种活动的有价值信息。
系统记帐主要非为两类:
1）连接记帐
连接记帐是跟踪当前用户当前对话、用户登录和退出的活动。
在Linux系统中使用utmp（动态用户对话）和wtmp（登录/退出日志记录）工具来完成这一记帐过程。
Wtmp工具同时维护重新引导和系统状态变化信息。
各种程序对这些工具进行刷新和维护，因此无须进行特殊的后台进程或程序。
然而，utmp和wtmp输出结果文件必须存在，如果这些文件不存在会关闭连接记帐。
与utmp和wtmp有关的所有数据将分别保存在/var/run/utmp和/var/log/wtmp中。
这些文件归根用户所有。
这些文件中的数据是用户不可读的，但也有工具可以转换成可读的形式。
dump-utmp可以转换连接记帐数据为可读的ASCII格式数据。
ac命令提供了有关用户连接的大概统计，我们可以使用带有标志d和p的ac命令。
标志d显示了一天的总连接统计，标志p显示了每一个用户的连接时间。
这种统计信息的方式对了解与探测入侵有关的用户情况及其他活动很有帮助。
Last和who是出于安全角度定期使用的最常用命令。
last命令提供每一个用户的登录时间，退出登录时间，登录位置，重新引导系统及运行级别变化的信息。
last-10表示last的最多输出结果为最近的10条信息。
缺省时last将列出在/var/log/wtmp中记录的每一连接和运行级别的变化。
从安全角度考虑，last命令提供了迅速查看特定系统连接活动的一种方式。
观察每天的输出结果是个好习惯，从中可以捕获异常输入项。
Last命令的-x选项可以通知系统运行级别的变化。
who命令主要作用是报告目前正在登录的用户、登录设备、远程登录主机名或使用的Xwindows的X显示值、会话闲置时间以及会话是否接受write或talk信息。
例如：
who-iwH的输出结果：
USERMESGLINELOGIN-TIMEIDLEFROM
Denny-tty1Feb1808:
42old
这就表示用户Denny不能接受write或talk信息，2月18日8:
42从tty1登录。
该命令的安全值提供了用户连接的大致情况，这也为监视可疑活动提供了条件。
其他的有关命令有lastlog命令，该命令报告了有关/var/log/lastlog中记录的最后一次登录的数据信息。
2）进程记帐
进程记帐是对进程活动的记录。
原数据保存在/var/log/pacct文件中，其许可权限为600。
该文件的存在是进程记帐有效的保障。
与连接记帐不同，进程记帐必须处于打开状态，使用下面的命令设置打开状态.
#accton/var/log/pacct
可以使用自选文件代替/var/log/pacct，但必须记住这一文件并且设置适当的许可权限。
必须在每次引导的时候执行该命令，可以在/etc/rc.d/rc.local中输入以下脚本：
#initiateprocessaccount
if[-x/sbin/accton]
then
/sbin/accton/var/log/pacct
echo"processaccountinginitiated"
fi
一旦在系统中配置进程记帐后，将使用3个命令解释在/var/log/pacct中的非用户可读的原数据。
这些命令分别为dump-acct，该命令与dump-utmp完全相似，sa命令用于统计系统进程记帐的大致情况，最后一个是lastcomm命令列出了系统执行的命令。
1sa命令
与ac命令一样，sa是一个统计命令。
该命令可以获得每个用户或每个命令的进程使用的大致情况，并且提供了系统资源的消费信息。
在很大程度上，sa又是一个记帐命令，对于识别特殊用户，特别是已知特殊用户使用的可疑命令十分有用。
另外，由于信息量很大,需要处理脚本或程序筛选这些信息。
可以用这样的命令单独限制用户：
#sa-u|gr
升级会员 