Linux服务器安全加固（三）

肥狮發表於 2020-9-8 09:06:00

一、检查密码重复使用次数限制
<div class="cnblogs_code">
<pre> 1 配置要求:
 2 对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近5次（含5次）内已使用的口令。
 3
 4 检查步骤
 5 查看文件/etc/pam.d/system-auth，是否有配置口令重复使用次数限
 6
 7 合规标准
 8 口令重复使用次数限制不小于5次则合规,否则不合规。
 9
10 加固方案
11 1、配置文件备份
12 cp -p /etc/pam.d/system-auth /etc/pam.d/system-auth.bak
13 2、创建文件/etc/security/opasswd用于存储旧密码，并设置权限。
14 touch /etc/security/opasswd
15 chown root:root /etc/security/opasswd
16 chmod 600 /etc/security/opasswd
17 3、编辑文件/etc/pam.d/system-auth，找到类似行passwordsufficient pam_unix.so，在行末尾增加remember=5，中间以空格隔开.如果没有则新增。
18 password sufficient pam_unix.so remember=5</pre>
</div>
<img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170220001-94686124.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170223359-321990465.png">
 二、检查是否设置SSH登录前警告Banner
<div class="cnblogs_code">
<pre> 1 理论依据:
 2 横幅被用来警告用户连接特定站点的策略。为你的网站提供适当的警告横幅。
 3 配置要求:
 4 SSH登录时显示警告信息，在登录成功前不泄漏服务器信息。
 5 检查步骤
 6 查看文件/etc/ssh/sshd_config，检查是否存在如下配置:banner <file_path>，且<file_path>内容不为空。
 7
 8 合规标准
 9 ssh服务器未启用或者服务启用但设置了ssh banner警示信息则合规,否则不合规。
10
11 加固方案
12 1、编辑文件/etc/ssh/sshd_config文件，修改Banner参数的值如下(如不存在则新增)：
13 Banner /etc/ssh_banner
14 2、执行如下命令创建ssh banner警示信息文件：
15 touch /etc/ssh_banner
16 chmod 644 /etc/ssh_banner
17 echo "Authorized only. All activity will be monitored and reported" > /etc/ssh_banner
18 可根据实际需要修改该文件的内容。
19 3、重启sshd服务:
20 systemctl restart sshd</pre>
</div>
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170226486-157026321.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170228975-329128167.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170231271-1641695112.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170233583-444157977.png">
登录测试
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170235985-1091976771.png">
 三、检查系统是否禁用Ctrl+Alt+Delete组合键
<div class="cnblogs_code">
<pre> 1 介绍：
 2 Linux默认允许任何人按下Ctrl+Alt+Del来重启系统。但是在生产环境中，应该停用按下Ctrl-Alt-Del 重启系统的功能。
 3 检查步骤
 4 查看文件找Ctrl+Alt+Del组合键配置：
 5 cat /etc/inittab //提示在/usr/lib/systemd/system/ctrl-alt-del.target中配置
 6 删除ctrl-alt-del.target文件
 7 rm /usr/lib/systemd/system/ctrl-alt-del.target
 8 执行init q
 9 合规标准
10 禁用了使用组合键Ctrl+Alt+Delete重启系统则合规,否则不合规。
11
12 加固方案 1.备份文件： cp /usr/lib/systemd/system/ctrl-alt-del.target /usr/lib/systemd/system/ctrl-alt-del.target.bat
13 2.删除文件： rm /usr/lib/systemd/system/ctrl-alt-del.target 3.执行命令 init q
14 注：如果要开启这个功能，方法就是ln -s把软链接创建回去（或将备份文件去掉.bat后缀），再init q 重新reload一下配置文件。 </pre>
<pre> ln -s /usr/lib/systemd/system/reboot.target /usr/lib/systemd/system/ctrl-alt-del.target</pre>
</div>
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170237633-62567690.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170258369-337496520.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170302763-709348157.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170308729-1393568449.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170325344-1257309865.png">
 四、检查是否按用户分配账号
<div class="cnblogs_code">
<pre> 1 配置要求:
 2 应按照不同的用户分配不同的账号，避免不同用户间共享账号，避免用户账号和设备间通信使用的账号共享。
 3 检查步骤
 4 1、使用如下命令查看文件/etc/login.defs，确认文件中变量UID_MIN和UID_MAX的值：
 5 #grep -v ^# /etc/login.defs |grep "^UID_MIN"|awk '($1="UID_MIN"){print $2}'
 6 #grep -v ^# /etc/login.defs |grep "^UID_MAX"|awk '($1="UID_MAX"){print $2}'
 7 2、使用以下命令查看系统中是否存在用户id>=UID_MIN且<=UID_MAX的用户：
 8 #up_uidmin=`(grep -v ^# /etc/login.defs |grep "^UID_MIN"|awk '($1="UID_MIN"){print $2}')`
 9 #up_uidmax=`(grep -v ^# /etc/login.defs |grep "^UID_MAX"|awk '($1="UID_MAX"){print $2}')`
10 #echo "users="`cat /etc/passwd|awk -F: '{if( $3>='$up_uidmin' && $3<='$up_uidmax' ) {print $1":"$3}}'`
11
12 合规标准
13 存在用户id>=UID_MIN且<=UID_MAX的用户则合规，否则不合规。
14
15 加固方案
16 创建用户
17 #useradd username #创建账号
18 #passwdusername #设置密码修改权限</pre>
</div>
<img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200908084601018-768236797.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170328695-1188353364.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170331940-698003714.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170334554-1806422648.png">
 五、检查重要目录或文件权限设置
<div class="cnblogs_code">
<pre> 1 配置要求:
 2 在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。
 3
 4 检查步骤
 5 使用以下命令查看如下文件的权限设置：
 6 #ls -lL /etc/passwd 2>/dev/null
 7 #ls -lL /etc/shadow 2>/dev/null
 8 #ls -lL /etc/group 2>/dev/null
 9
10 合规标准
11 1、/etc/passwd文件的权限小于等于644
12 2、/etc/shadow文件的权限小于等于400
13 3、/etc/group文件的权限小于等于644
14 以上条件同时满足则合规，否则不合规。
15
16 加固方案
17 1、赋予用户相关账号文件最小权限
18 #chmod 644 /etc/passwd
19 #chmod 400 /etc/shadow
20 #chmod 644 /etc/group</pre>
</div>
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170336961-183653029.png">
 六、检查是否修改SNMP默认团体字
<div class="cnblogs_code">
<pre> 1 配置要求:
如果该服务没有必要，需要停止SNMP服务，如果确实需要使用SNMP服务，需要修改SNMP Community。。 检查步骤
 2 1、查看snmpd进程是否存在。
 3 #ps -ef|grep "snmpd"|grep -v "grep"
 4 2、查看文件/etc/snmp/snmpd.conf,检查SNMP团体名配置。
 5
 6 合规标准
 7 SNMP服务未开启或者修改了默认的团体名则合规,否则不合规。
 8
 9 参考配置操作
10 1、修改snmp配置文件/etc/snmp/snmpd.conf找到类似如下配置,修改默认团体名public为其他用户自己可识别的字符串。
11 com2sec notConfigUserdefaultpublic //<notConfigUser>为连接snmp的用户名 <default>为可以连接snmp的地址范围 <public>为团体名
12 2、重启snmp服务
13 service snmpd restart</pre>
</div>
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170340256-1124834972.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170342951-1789397980.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170346171-550445133.png">
 <img src="https://img2020.cnblogs.com/blog/2023719/202009/2023719-20200906170348631-1206877776.png">
 <img src="data:image/png;base64,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"> 
来源：https://www.cnblogs.com/AdairHpn/p/13622196.html

頁: [1]

琼殿技术论坛's Archiver

Linux服务器安全加固（三）