1、linux安全配置规范Linux 安全配置规范2011年3月第一章 概述1.1 适用范围适用于中国电信使用Linux操作系统的设备。本规范明确了安全配置的基本要求,适用于所有的安全等级,可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。由于版本不同,配置操作有所不同,本规范以内核版本2.6及以上为例,给出参考配置操作。第二章 安全配置要求2.1账号编号: 1要求内容应按照不同的用户分配不同的账号。避免不同用户间共享账号。避免用户账号和设备间通信使用的账号共享。操作指南1、参考配置操作为用户创建账号:#useradd username #创建账号#passwd username #设置
2、密码修改权限:#chmod 750 directory #其中750为设置的权限,可根据实际情况设置相应的权限,directory是要更改权限的目录)使用该命令为不同的用户分配不同的账号,设置不同的口令及权限信息等。2、补充操作说明检测方法1、判定条件能够登录成功并且可以进行常用操作;2、检测操作使用不同的账号进行登录并进行一些常用操作;3、补充说明编号: 2要求内容应删除或锁定与设备运行、维护等工作无关的账号。操作指南1、参考配置操作删除用户:#userdel username; 锁定用户:1)修改/etc/shadow文件,用户名后加*LK*2)将/etc/passwd文件中的shell域
3、设置成/bin/false3)#passwd -l username只有具备超级用户权限的使用者方可使用,#passwd -l username锁定用户,用#passwd d username解锁后原有密码失效,登录需输入新密码,修改/etc/shadow能保留原有密码。2、补充操作说明需要锁定的用户:listen,gdm,webservd,nobody,nobody4、noaccess。注:无关的账号主要指测试帐户、共享帐号、长期不用账号(半年以上未用)等检测方法1、判定条件被删除或锁定的账号无法登录成功;2、检测操作使用删除或锁定的与工作无关的账号登录系统;3、补充说明需要锁定的用户:li
4、sten,gdm,webservd,nobody,nobody4、noaccess。编号: 3 要求内容根据系统要求及用户的业务需求,建立多帐户组,将用户账号分配到相应的帐户组。操作指南1、参考配置操作Cat /etc/passwdCat /etc/group2、补充操作说明检测方法1、判定条件人工分析判断2、检测操作编号:4要求内容使用PAM禁止任何人su为root操作指南参考操作:编辑su文件(vi /etc/pam.d/su),在开头添加下面两行: auth sufficient /lib/security/pam_rootok.so auth required /lib/securit
5、y/pam_wheel.so group=wheel 这表明只有wheel组的成员可以使用su命令成为root用户。你可以把用户添加到wheel组,以使它可以使用su命令成为root用户。添加方法为: # chmod G10 username检测方法1、判定条件2、检测操作Cat /etc/pam.d/su 2.2口令编号:1要求内容对于采用静态口令认证技术的设备,口令长度至少8位,并包括数字、小写字母、大写字母和特殊符号4类中至少3类。操作指南1、参考配置操作vi /etc/login.defs ,修改设置如下PASS_MIN_LEN=8 #设定最小用户密码长度为8位Linux用户密码的复杂
6、度可以通过pam_cracklib module或pam_passwdqc module进行设置检测方法1、判定条件不符合密码强度的时候,系统对口令强度要求进行提示;符合密码强度的时候,可以成功设置;2、检测操作1、检查口令强度配置选项是否可以进行如下配置:i. 配置口令的最小长度;ii. 将口令配置为强口令。2、创建一个普通账号,为用户配置与用户名相同的口令、只包含字符或数字的简单口令以及长度短于8的口令,查看系统是否对口令强度要求进行提示;输入带有特殊符号的复杂口令、普通复杂口令,查看系统是否可以成功设置。3、补充说明pam_cracklib主要参数说明: tretry=N:重试多少次后返
7、回密码修改错误 difok=N:新密码必需与旧密码不同的位数 dcredit=N: N = 0:密码中最多有多少个数字;N /etc/issue #echo $R /etc/issue #echo Kernel $(uname -r) on $a $(uname -m) /etc/issue #cp -f /etc/issue /etc/ #echo /etc/issue 其次删除/etc目录下的和issue文件: # mv /etc/issue /etc/issue.bak # mv /etc/ /etc/.bak 检测方法查看Cat /etc/rc.d/rc.local 注释住处信息2.9
8、登录超时时间设置要求内容对于具备字符交互界面的设备,配置定时帐户自动登出操作指南1、 参考配置操作通过修改账户中“TMOUT”参数,可以实现此功能。TMOUT按秒计算。编辑profile文件(vi /etc/profile),在“HISTFILESIZE=”后面加入下面这行: 建议TMOUT=300(可根据情况设定)2、补充操作说明改变这项设置后,必须先注销用户,再用该用户登录才能激活这个功能检测方法1、判定条件查看TMOUT=3002.10删除潜在危险文件要求内容.rhosts,.netrc,hosts.equiv等文件都具有潜在的危险,如果没有应用,应该删除操作指南1、参考配置操作执行:f
9、ind / -name .netrc,检查系统中是否有.netrc 文件,执行:find / -name .rhosts ,检查系统中是否有.rhosts 文件如无应用,删除以上文件:Mv .rhost .rhost.bak Mv .netr .netr.bak 2、补充操作说明注意系统版本,用相应的方法执行检测方法1、判定条件2、检测操作2.11 FTP设置编号1:要求内容禁止root登陆FTP操作指南1、参考配置操作在ftpaccess文件中加入下列行root检测方法使用root帐号登录ftp会被拒绝编号2:要求内容禁止匿名ftp操作指南1、参考配置操作以vsftpd为例:打开vsftd.
10、conf文件,修改下列行为:anonymous_enable=NO检测方法匿名账户不能登录编号3:要求内容修改FTP banner 信息操作指南1、参考配置操作使用vsftpd,则修改下列文件的内容:/etc/vsftpd.d/vsftpd.conf使用wu-ftpd,则需要修改文件/etc/ftpaccess,在其中添加:banner /path/to/ftpbanner在指定目录下创建包含ftp的banner信息的文件检测方法1、 判断依据通过外部ftp客户端登录,banner按照预先设定的显示2、 检查操作附表:端口及服务服务名称端口应用说明关闭方法处置建议daytime13/tcpRF
11、C867 白天协议chkconfig daytime off 建议关闭13/udpRFC867 白天协议chkconfig daytime off time37/tcp时间协议chkconfig time off 37/udp时间协议chkconfig time-udp off echo7/tcpRFC862_回声协议chkconfig echo off 7/udpRFC862_回声协议chkconfig echo-udp off discard9/tcpRFC863 废除协议chkconfig discard off 9/udpchkconfig discard-udp offchargen
12、19/tcpRFC864 字符产生协议chkconfig chargen off 19/udpchkconfig chargen-udp off ftp21/tcp文件传输协议(控制)chkconfig gssftp off 根据情况选择开放telnet23/tcp虚拟终端协议chkconfig krb5-telnet off 根据情况选择开放sendmail25/tcp简单邮件发送协议chkconfig sendmail off建议关闭nameserver53/udp域名服务chkconfig named off 根据情况选择开放53/tcp域名服务chkconfig named off 根据情况选择开放apache80/tc
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1