AIX操作系统安全系统配置要求规范.docx

1、AIX操作系统安全系统配置要求规范AIX安全配置程序1 账号认证编号： 安全要求-设备-通用-配置-1要求容应删除或锁定与设备运行、维护等工作无关的账号。系统存在不可删除的置账号，包括root,bin等。操作指南1、参考配置操作删除用户：#rmuser p username; 锁定用户：1)修改/etc/shadow文件，用户名后加*LK*2)将/etc/passwd文件中的shell域设置成/bin/false3)#chuser account_locked=TRUE username只有具备超级用户权限的使用者方可使用，#chuser account_locked=TRUE usernam

2、e锁定用户,用#chuser account_locked=FALSE username解锁后原有密码失效，登录需输入新密码，修改/etc/shadow能保留原有密码。2、补充操作说明需要锁定的用户：deamon,bin,sys,adm,uucp,nuucp,printq,guest,nobody,lpd,sshd检测方法1、判定条件被删除或锁定的账号无法登录成功；2、检测操作使用删除或锁定的与工作无关的账号登录系统；3、补充说明需要锁定的用户：deamon,bin,sys,adm,uucp,nuucp,printq,guest,nobody,lpd,sshd 编号： 安全要求-设备-通用-配

3、置-2要求容限制具备超级管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限账号后执行相应操作。操作指南1、参考配置操作编辑/etc/security/user，加上：如果限制root从远程ssh登录，修改/etc/ssh/sshd_config文件，将PermitRootLogin yes改为PermitRootLogin no，重启sshd服务。2、补充操作说明检测方法1、判定条件root远程登录不成功，提示“Not on system console”；普通用户可以登录成功，而且可以切换到root用户；2、检测操作root从远程使用tel

4、net登录；普通用户从远程使用telnet登录；root从远程使用ssh登录；普通用户从远程使用ssh登录；3、补充说明限制root从远程ssh登录，修改/etc/ssh/sshd_config文件，将PermitRootLogin yes改为PermitRootLogin no，重启sshd服务。2密码策略编号： 安全要求-设备-通用-配置-3要求容对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。操作指南1、参考配置操作chsec -f /etc/security/user -s default -a minlen=8chsec -f

5、 /etc/security/user -s default -a minalpha=1chsec -f /etc/security/user -s default -a mindiff=1chsec -f /etc/security/user -s default -a minother=1chsec f /etc/security/user s default -a pwdwarntime=5minlen=8 #密码长度最少8位minalpha=1 #包含的字母最少1个mindiff=1 #包含的唯一字符最少1个minother=1#包含的非字母最少1个pwdwarntime=5 #系统在

6、密码过期前5天发出修改密码的警告信息给用户2、补充操作说明 检测方法1、判定条件不符合密码强度的时候，系统对口令强度要求进行提示；符合密码强度的时候，可以成功设置；2、检测操作1、检查口令强度配置选项是否可以进行如下配置：i.配置口令的最小长度；ii.将口令配置为强口令。2、创建一个普通账号，为用户配置与用户名相同的口令、只包含字符或数字的简单口令以及长度短于8位的口令，查看系统是否对口令强度要求进行提示；输入带有特殊符号的复杂口令、普通复杂口令，查看系统是否可以成功设置。编号： 安全要求-设备-通用-配置-4要求容对于采用静态口令认证技术的设备，口令的生存期不长于12周（84天）。操作指南1

7、、参考配置操作方法一：chsec -f /etc/security/user -s default -a histexpire=12方法二：用vi或其他文本编辑工具修改chsec -f /etc/security/user文件如下值：histexpire=13histexpire=13 #密码可重复使用的星期为12周（84天）2、补充操作说明检测方法1、判定条件密码过期后登录不成功；2、检测操作使用超过84天的口令登录会提示密码过期；编号： 安全要求-设备-通用-配置-5要求容对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近3次（含3次）已使用的口令。操作指南1、参考配置操作

8、方法一：chsec -f /etc/security/user -s default -a histsize=3方法二：用vi或其他文本编辑工具修改chsec -f /etc/security/user文件如下值：histsize=3histexpire=3 #可允许的密码重复次数检测方法1、判定条件设置密码不成功2、检测操作cat /etc/security/user，设置如下histsize=33、补充说明默认没有histsize的标记，即不记录以前的密码。编号： 安全要求-设备-通用-配置-6要求容对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过5次（不含5次），锁定该用

9、户使用的账号。操作指南1、参考配置操作指定当本地用户登陆失败次数等于或者大于允许的重试次数则账号被锁定：chsec -f /etc/security/user -s default -a loginretries=52、补充操作说明检测方法1、判定条件被锁定，不再提示让再次登录；2、检测操作创建一个普通账号，为其配置相应的口令；并用新建的账号通过错误的口令进行系统登录5次以上（不含5次）；3审核授权策略编号： 安全要求-设备-通用-配置-7(1)设置全局审核事件配置/etc/security/audit/config文件，审核特权和应用管理员登录、注销，用户增删，密码修改，执行任务更改，组更改

10、，文件属主、模式更改，TCP连接等事件。classes: custom = USER_Login,USER_Logout,USER_SU,PASSWORD_Change,USER_Create, USER_Change,USER_Remove,USER_Chpass,GROUP_Create,GROUP_Change,GROUP_Remove,CRON_JobAdd,CRON_JobRemove,TCPIP_config,TCPIP_host_id,TCPIP_connect,TCPIP_access,TCPIP_route,USER_Reboot,USER_SetGroups,INSTALL

11、P_Inst,INSTALLP_Exec,FS_Rmdir,FS_Chroot,PORT_Locked,PORT_Change,PROC_kill,PROC_Reboot,FS_Mount,FS_Umount,PROC_Settimer,PROC_Adjtime(2)审核系统安全文件修改配置/etc/security/audit/objects文件，审核如下系统安全相关文件的修改。/etc/security/environ: w = S_ENVIRON_WRITE/etc/security/group: w = S_GROUP_WRITE/etc/security/limits: w = S_

12、LIMITS_WRITE/etc/security/login.cfg: w = S_LOGIN_WRITE/etc/security/passwd: r = S_PASSWD_READ w = S_PASSWD_WRITE/etc/security/user: w = S_USER_WRITE/etc/security/audit/config: w = AUD_CONFIG_WR编号： 安全要求-设备-通用-配置-8要求容在设备权限配置能力，根据用户的业务需要，配置其所需的最小权限。操作指南1、参考配置操作通过chmod命令对目录的权限进行实际设置。2、补充操作说明chmod 644 /e

13、tc/passwd /etc/group chmod 750 /etc/security chmod -R go-w,o-r /etc/security/etc/passwd 所有用户都可读，root用户可写 rw-rr /etc/shadow 只有root可读 r- /etc/group 必须所有用户都可读，root用户可写 rw-rr使用如下命令设置：chmod 644 /etc/passwdchmod 644 /etc/group如果是有写权限，就需移去组及其它用户对/etc的写权限（特殊情况除外）执行命令#chmod -R go-w,o-r /etc检测方法1、判定条件1、设备系统能够

14、提供用户权限的配置选项，并记录对用户进行权限配置是否必须在用户创建时进行；2、记录能够配置的权限选项容；3、所配置的权限规则应能够正确应用，即用户无法访问授权围之外的系统资源，而可以访问授权围之的系统资源。2、检测操作1、利用管理员账号登录系统，并创建2个不同的用户；2、创建用户时查看系统是否提供了用户权限级别以及可访问系统资源和命令的选项；3、为两个用户分别配置不同的权限，2个用户的权限差异应能够分别在用户权限级别、可访问系统资源以及可用命令等方面予以体现；4、分别利用2个新建的账号访问设备系统，并分别尝试访问允许访问的容和不允许访问的容，查看权限配置策略是否生效。3、补充说明编号： 安全要

15、求-设备-AIX-配置-9要求容控制用户缺省访问权限，当在创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高限制。操作指南1、参考配置操作A.设置所有存在账户的权限：lsuser -a home ALL | awk print $1 | while read user; do chuser umask=027 $userdonevi /etc/default/login在末尾增加umask 027B.设置默认的profile，用编辑器打开文件/etc/security/user，找到umask这行，修改如下：Umask=02

16、72、补充操作说明如果用户需要使用一个不同于默认全局系统设置的umask，可以在需要的时候通过命令行设置，或者在用户的shell启动文件中配置。检测方法1、判定条件权限设置符合实际需要；不应有的访问允许权限被屏蔽掉；2、检测操作查看新建的文件或目录的权限，操作举例如下：#ls -l dir ; #查看目录dir的权限#cat /etc/default/login 查看是否有umask 027容3、补充说明umask的默认设置一般为022，这给新创建的文件默认权限755（777-022=755），这会给文件所有者读、写权限，但只给组成员和其他用户读权限。umask的计算：umask是使用八进制数

17、据代码设置的，对于目录，该值等于八进制数据代码777减去需要的默认权限对应的八进制数据代码值；对于文件，该值等于八进制数据代码666减去需要的默认权限对应的八进制数据代码值。4日志配置策略本部分对AIX操作系统设备的日志功能提出要求，主要考察设备所具备的日志功能，确保发生安全事件后，设备日志能提供充足的信息进行安全事件定位。根据这些要求，设备日志应能支持记录与设备相关的重要事件，包括违反安全策略的事件、设备部件发生故障或其存在环境异常等，以便通过审计分析工具，发现安全隐患。如出现大量违反ACL规则的事件时，通过对日志的审计分析，能发现隐患，提高设备维护人员的警惕性，防止恶化。编号： 安全要求-

18、设备-通用-配置-10要求容设备应配置日志功能，对用户登录进行记录，记录容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。操作指南1、参考配置操作修改配置文件vi /etc/syslog.conf，加上这几行：auth.infott/var/adm/authlog*.info;auth.nonett/var/adm/syslogn 建立日志文件，如下命令： touch /var/adm/authlog /var/adm/syslog chown root:system /var/adm/authlog 配置日志文件权限，如下命令：chmod 600 /var

19、/adm/authlog chmod 640 /var/adm/syslog 重新启动syslog服务，依次执行下列命令：stopsrc -s syslogd startsrc -s syslogdAIX系统默认不捕获登录信息到syslogd，以上配置增加了验证信息发送到/var/adm/authlog和/var/adm/syslog，并设置了权限为其他用户和组禁止读写日志文件。2、补充操作说明检测方法1、判定条件列出用户账号、登录是否成功、登录时间、远程登录时的IP地址。2、检测操作cat /var/adm/authlogcat /var/adm/syslog3、补充说明编号： 安全要求-设

20、备-通用-配置-11要求容设备应配置日志功能，记录对与设备相关的安全事件。操作指南1、参考配置操作修改配置文件vi /etc/syslog.conf，配置如下类似语句：*.err;kern.debug;daemon.notice; /var/adm/messages定义为需要保存的设备相关安全事件。2、补充操作说明编号： 安全要求-设备-AIX-配置-12要求容启用核级审核操作指南1、参考配置操作开始审计用如下命令：#audit on 下一次系统启动自动执行审计用如下命令：mkitab -i cron audit:2:once:/usr/sbin/audit start 2&1 /dev/co

21、nsole telinit q echo audit shutdown /usr/sbin/shutdown 2、补充操作说明审计能跟踪和记录系统发生的活动，一个组或一个用户的行为。详细请参考如下文件的第二个章节.redbooks.ibm./redbooks/pdfs/sg246020.pdf 检测方法1、判定条件能设定审核的容并分析查看2、检测操作设定审核条件后用命令可查看：audit start3、补充说明5.5 IP协议安全策略编号： 安全要求-设备-通用-配置-13要求容对于使用IP协议进行远程维护的设备，设备应配置使用SSH等加密协议，并安全配置SSHD的设置。操作指南1、参考配置操

22、作把如下shell保存后，运行，会修改ssh的安全设置项：unalias cp rm mv case find /usr /etc -type f | grep -c ssh_config$ in 0) echo Cannot find ssh_config ; 1) DIR=find /usr /etc -type f 2/dev/null | grep ssh_config$ | sed -e s:/ssh_config: cd $DIR cp ssh_config ssh_config.tmp awk /#? *Protocol/ print Protocol 2; next ; pri

23、nt ssh_config.tmp ssh_config if grep -El Protocol ssh_config = ; then echo Protocol 2 ssh_config fi rm ssh_config.tmp chmod 600 ssh_config ; *) echo You have multiple sshd_config files. Resolve echo before continuing. ; esac #也可以手动编辑 ssh_config，在 Host *后输入 Protocol 2，cd $DIR cp sshd_config sshd_conf

24、ig.tmp awk /#? *Protocol/ print Protocol 2; next ; /#? *X11Forwarding/ print X11Forwarding yes; next ; /#? *IgnoreRhosts/ print IgnoreRhosts yes; next ; /#? *RhostsAuthentication/ print RhostsAuthentication no; next ; /#? *RhostsRSAAuthentication/ print RhostsRSAAuthentication no; next ; /#? *Hostba

25、sedAuthentication/ print HostbasedAuthentication no; next ; /#? *PermitRootLogin/ print PermitRootLogin no; next ; /#? *PermitEmptyPasswords/ print PermitEmptyPasswords no; next ; /#? *Banner/ print Banner /etc/motd; next ; print sshd_config.tmp sshd_config rm sshd_config.tmp chmod 600 sshd_config P

26、rotocol 2 #使用ssh2版本X11Forwarding yes #允许窗口图形传输使用ssh加密IgnoreRhosts yes#完全禁止SSHD使用.rhosts文件RhostsAuthentication no #不设置使用基于rhosts的安全验证RhostsRSAAuthentication no #不设置使用RSA算法的基于rhosts的安全验证HostbasedAuthentication no #不允许基于主机白方式认证PermitRootLogin no #不允许root登录PermitEmptyPasswords no #不允许空密码Banner /etc/motd

27、 #设置ssh登录时显示的banner2、补充操作说明查看SSH服务状态：# ps elf|grep ssh检测方法1、判定条件# ps elf|grep ssh是否有ssh进程存在 2、检测操作查看SSH服务状态：# lssrc s sshd查看telnet服务状态：# lssrc t telnet6路由协议安全策略编号： 安全要求-设备-AIX-配置-14要求容主机系统应该禁止ICMP重定向，采用静态路由。操作指南1、参考配置操作A.把以下网络参数保持到一个文本里：cat /etc/-tune #!/bin/ksh # 优化参数，抵制 SYN-flood 攻击/usr/sbin/no -o

28、 clean_partial_conns=1 # 不允许被SMURF广播攻击 /usr/sbin/no -o directed_broadcast=0 # 不允许其他机器重新设置此机网络掩码 /usr/sbin/no -o icmpaddressmask=0 # 忽略ICMP重定向报文并不发送它们. /usr/sbin/no -o ipignoreredirects=1 /usr/sbin/no -o ipsendredirects=0 # 拒绝任何源路由报文 /usr/sbin/no -o ipsrcrouteforward=0 /usr/sbin/no -o ipsrcrouterecv=

29、0 /usr/sbin/no -o ipsrcroutesend=0 /usr/sbin/no -o nonlocsrcroute=0 EOF B.赋予执行权限chmod +x /etc/-tune C.将新的记录添加到/etc/inittab中，并告知init命令在启动rctcpip之后执行/etc/-tunemkitab -i rctcpip rcnettune:2:wait:/etc/-tune /dev/console 2&12、补充操作说明/usr/sbin/no命令是管理网络调整参数的mkitab命令是在/etc/inittab添加启动记录的检测方法1、判定条件在/etc/rc2.d/S?inet搜索看是否有ndd -set /dev/ip ip_send_redirects=0容/etc/rc2.d/S69inet中包含的是ndd -set /dev/ip ip6_send_redirects=02、检测操作查看当前的路由信息：#netstat -rn3、补充说明编号： 安全要求-设备-AIX-配置-15要求容对于不做路由功能的系统，应该关闭数据包转发功能。操作指南1、参考配置操作恶意用户可以使用IP重定向来修改远程主机中的路由表，因