AIX主机加固方案1018Word格式文档下载.docx
《AIX主机加固方案1018Word格式文档下载.docx》由会员分享,可在线阅读,更多相关《AIX主机加固方案1018Word格式文档下载.docx(19页珍藏版)》请在冰豆网上搜索。
![AIX主机加固方案1018Word格式文档下载.docx](https://file1.bdocx.com/fileroot1/2022-11/22/19d5337e-b72c-4aa0-98b4-e813bedc9725/19d5337e-b72c-4aa0-98b4-e813bedc97251.gif)
10.105.4.34
AIX5.2
经营分析
H-YT-010
10.105.4.36
H-YT-011
10.105.4.60
H-YT-012
10.105.4.38
AIX5.1
H-YT-013
10.105.4.40
3加固方案
3.1XXX
基本信息
设备所在地
正式域名/主机名
外部IP地址
内部IP地址
网关
域名服务器
AIX
版本号
5.2
硬件信息
中央处理器
内存
外部存储设备
应用服务信息
名称
应用服务及版本情况
其他信息
安全补丁情况
其他情况
3.1.1补丁安装
名称:
补丁安装
系统当前状态:
实施方案
升级到最新补丁。
最新补丁可以在下面的URL里找到:
实施目的
保持系统文件为最新版本,消除程序本身的漏洞。
实施风险
可能会导致某些服务不可用,严重时可能导致机器崩溃。
建议根据服务运行运行的情况,有选择性的打一些补丁。
是否实施
(客户填写)
3.1.2帐号、口令策略修改
禁止所有的系统默认帐户的登录权限
gcc–onoshellnoshell.c (noshell.c源码附与文后)
cpnoshell/bin/noshell
chmod666/bin/noshell
修改/etc/passwd文件,使系统用户没有shell,例:
nobody:
!
:
4294967294:
/:
或
/bin/noshell
默认系统的帐户如下:
daemon;
bin;
sys;
adm;
uucp;
guest;
nobody;
lpd
防止某些恶意用户利用系统默认帐号用进行破坏。
可能会导致某些服务不可用。
Passwd设置参数
修改/etc/security/user文件
RecommendedValuesDefaultValuesMaximumValues
Minage0052
maxage12(5weeksforrootuser)052
必须更改密码前的最大星期数
maxexpired4-152
超过maxage后可由用户更改到期密码的最大星期数
minalpha408
密码必须包含字母字符的最小数目
minother108
密码必须包含肺字母数字的最小数目数目
minlen6(对root用户是8)08
密码长度的最小值
mindiff308
密码必须包含唯一字符的最小数目
maxrepeats388
在密码中可重复字符的最大数目
histexpire260260*
密码可以重新使用前的星期数
histsize8050
可允许的密码重复次数
pwdwarntime1400
系统发出要求更改密码警告前的天数
可以按上面的推荐值进行设置,也可以适当的进行调整。
增强系统默认密码设置
需要教育用户使用复杂的密码,并不要把密码以明文的形式保存在不安全的地方。
防止root从远程登录
增加或修改/etc/security/user文件中如下行
root:
admin=true
SYSTEM="
compat"
loginretries=0
account_locked=false
rlogin=false
禁止ROOT从远程登录;
此设置能减少一些风险,但不能从根本上杜绝Sniffer的侵害。
可能会影响某些用户的使用。
减少登录会话时间
增加或修改(/etc/profile,etc/environment,/etc/security/.profile)文件中如下行
TMOUT=120;
TIMEOUT=120;
exportreadonlyTMOUTTIMEOUT
当登录的系统用户空闲时间超过设定值后,系统将自动logout,以防止恶意人员进入进行非法操作。
无
是否所有用户都可以su
使用smit或
增加、修改/etc/security/user下各用户的设置
限制可以su的用户
可能会导致某些用户不能su,不能执行某些操作。
记住一定在设置生效前,Wheel组至少有一个有效的用户。
3.1.3网络与服务加固
TCP/UDP小服务
在/etc/inetd.conf文件里注释以下服务,如:
#echostreamtcpnowaitrootinternal
#echodgramudpwaitrootinternal
#discardstreamtcpnowaitrootinternal
#discarddgramudpwaitrootinternal
#daytimestreamtcpnowaitrootinternal
#daytimedgramudpwaitrootinternal
#chargenstreamtcpnowaitrootinternal
#chargendgramudpwaitrootinternal
这些服务可能存在被拒绝服务的风险。
小
fingerd,login(rlogin),shell(rsh),exec(rexec),kshell,klogin,comsat,uucp,bootps,systat,netstat,tftp,talk,ntalk,dtspc
在/etc/inetd.conf文件注释以上服务
减少无关服务带来的安全风险。
可能会导致某些不可用。
进行此设置前,需要管理员确认。
rquotad,rexd,rstatd,rusersd,rwalld,sprayd,pcnfsd,ttdbserver,cmsd
在/etc/inetd.conf文件里注释以上rpc服务。
在inetd.conf中启动的RPC服务,已经有多次极严重的安全漏洞记录
不同的版本的某些rpc小服务不一样,而且也因安装方式不同而有异。
对于少见的rpc服务,应该征求管理员的意见。
Rc.dt
注释/etc/inittab文件中的
dt:
2:
wait:
/etc/rc.dt
如果机器不是用作工作站,可以将关于图形的服务停止。
可能导致相关的服务异常。
R.serial
将/etc/.serial改名
.serial是UNIX早期使用拔号线路时用的服务,现在基本不用,将/etc/.serial改名可以确保系统不会启动这个服务。
rc.nfs
1.可以将/etc/inittab文件中
rcnfs:
/etc/rc.nfs>
/dev/console2>
&
1#StartNFSDaemons这行注释;
2.也可使用命令
rmitabnfs来删除这个服务
现在一般的网络环境都没有使用NFS,建议去掉此服务。
实施前确认网络中是否使用NFS,防止导致某些服务不可用。
rc.tcpip
修改/etc/rc.tcpip文件
这个程序用于启动一些关于tcpip的服务,可有选择的关闭某些不常用的服务。
中
.rhosts
echo“”>
/.rhosts
chmod000/.rhosts
.rhosts文件有一定的安全缺陷,当使用不正确时,可能会导致安全漏洞;
推荐禁止所有的.rhosts文件
某些使用R信任关系的服务器会使用到/.rhosts文件,请管理员确认后实施。
信任关系
/etc/hosts.equiv
chmod000/etc/hosts.equiv
主机之间的可信任问题,可能会导致安全问题
某些使用R信任关系的服务器会使用到/etc/hosts.equiv文件,请管理员确认后实施。
Createaftpuserfile
建立/etc/ftpusers文件
使之内容包括系统的默认帐号(不使用ftp服务的帐号都可以放在此文件中)
chmod644/etc/ftpusers
拒绝系统默认的帐号使用ftp服务
3.1.4文件系统加固
suid文件
找出所有的suid文件,输出到suid-files-before-change
建立一个备份的目录
拷贝所有的suid文件到备份目录
打包这个备份目录
删除这个备份目录
移去系统中所有文件的suid的属性
恢复部分文件的suid属性(passwd,su)
重新查找系统中的suid文件,输出到suid-files-after-change
重要的命令:
find/-typef\(-perm–4000\)|xargsls–la
find/-typef\(-perm–4000\)|xargschmod–s
大。
可能会导致某些程序无法正确执行
sgid文件
找出所有的sgid文件,输出到sgid-files-before-change
拷贝所有的sgid文件到备份目录
移去系统中所有文件的sgid的属性
恢复部分文件的sgid属性(passwd,su)
重新查找系统中的sgid文件,输出到sgid-files-after-change
find/-typef\(-perm–2000\)|xargsls–la
find/-typef\(-perm–2000\)|xargschmod–s
移去所有不需要sgid属性的文件
中。
可能会致某些程序无法正确执行
/etc目录下可写的文件
find/etc–typef\(-perm20\)|xargsls–las
find/etc/-typef\(-perm20\)|xargschmodg-w
find/etc–typef\(-perm2\)|xargsls–las
find/etc/-typef\(-perm2\)|xargschmodg-w
core
修改/etc/security/limits文件
或使用命令smit来进行设置
Core文件主要存储程序运行期间出错的信息,便于事后分析,如果用户没有这方面的需求,可以限制生成core文件,以减少系统开销,选择用户处理
小。
3.1.5日志审核增强
记录ftp日志
缺省情况下,系统不会记录使用FTP连接和传输文件的日志,这会对系统造成安全隐患,尤其在用户使用匿名ftp方式时。
为了避免这种情况发生,可用如下的步骤使系统记录FTP的日志:
1.修改/etc/syslog.conf文件,并加入一行:
daemon.infoFileName
其中FileName是日志文件的名字,它会跟踪FTP的活动,包括匿名和其他用户ID。
FileName文件必须在做下一步骤前创建。
2.运行"
refresh-ssyslogd"
命令刷新syslogd后台程序。
3.修改/etc/inetd.conf文件,修改下面的数据行:
ftpstreamtcp6nowaitroot/usr/sbin/ftpdftpd-l
4.运行“refresh-sinetd”命令刷新inetd后台程序。
3.1.6安全性增强
/etc/security/login.cfg
修改/etc/security/login.cfg
logintimes=1-5:
0730-1730
注释:
从星期一到星期五,上午7:
30到下午5:
30,允许连接。
只允许在指定的时间段内登录到服务器。
大,不在指定的时间段内发生意外时将不可登录。
UMASK
增加或修改/etc/profile文件中如下行
UMASK=027
并增加上行到如下的文件中:
$HOME/.profile(可选)
设置严格的UMASK值,增强文件的存取权限
3.1.7推荐安装安全工具
工具名称
ssh
工具用途
加密传输远程登录的数据
相关信息
tcpwrapper
包裹常用internet服务(如ftp,telnet等),只允许指定的IP地址可以访问。
3.2YYY
附录:
1.Noshell.c
#include<
syslog.h>
unistd.h>
signal.h>
#ifndeflint
staticcharsccsid[]="
@(#)noshell.cLenovo"
;
#endif/*notlint*/
#defineperrorexit(s){perror(s);
exit
(1);
}
main(intargc,char**argv)
{
externchar**environ;
inti;
/*
*Fixtheenvironment.
*/
if(environ!
=0)
environ[0]=0;
*Fixthesignals.
for(i=1;
i<
NSIG;
i++)
(void)signal(i,SIG_IGN);
*Logtheloginattempt.
openlog(argv[0],LOG_PID,LOG_AUTH);
syslog(LOG_AUTH,"
Lenovowarning:
user%dloginfromadisabledshell"
getuid());
exit(0);
}
4签字确认
双方认可加固方案,签字确认。
甲方:
乙方:
签字(签章):
签字(签章)
日期:
日期