来一发Linux经常使用宁静设置
欢迎大家来到仓酷云论坛！用户办理用户权限
1)限定root
1
2
echo"tty1">/etc/securetty
chmod700/root
2)暗码战略
1
2
3
4
echo"Passwordsexpireevery180days"
perl-npes/PASS_MAX_DAYSs+99999/PASS_MAX_DAYS180/-i/etc/login.defs
echo"Passwordsmayonlybechangedonceaday"
perl-npes/PASS_MIN_DAYSs+0/PASS_MIN_DAYS1/g-i/etc/login.defs
用sha512回护暗码而不必md5
1
authconfig--passalgo=sha512--update
3)umask限定
变动umask为077
1
2
perl-npes/umasks+0d2/umask077/g-i/etc/bashrc
perl-npes/umasks+0d2/umask077/g-i/etc/csh.cshrc
4)Pam修正
1
touch/var/log/tallylog
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
cat<<EOF>/etc/pam.d/system-auth
#%PAM-1.0
#Thisfileisauto-generated.
#Userchangeswillbedestroyedthenexttimeauthconfigisrun.
authrequiredpam_env.so
authsufficientpam_unix.sonulloktry_first_pass
authrequisitepam_succeed_if.souid>=500quiet
authrequiredpam_deny.so
authrequiredpam_tally2.sodeny=3onerr=failunlock_time=60
accountrequiredpam_unix.so
accountsufficientpam_succeed_if.souid<500quiet
accountrequiredpam_permit.so
accountrequiredpam_tally2.soper_user
passwordrequisitepam_cracklib.sotry_first_passretry=3minlen=9lcredit=-2ucredit=-2dcredit=-2ocredit=-2
passwordsufficientpam_unix.sosha512shadownulloktry_first_passuse_authtokremember=10
passwordrequiredpam_deny.so
sessionoptionalpam_keyinit.sorevoke
sessionrequiredpam_limits.so
sessionpam_succeed_if.soserviceincrondquietuse_uid
sessionrequiredpam_unix.so
EOF
/var/log/tallylog是二进制日记，纪录认证失利情形。可使用pam_tally2--reset-uusername解锁
5)接纳闲置用户
1
2
3
4
echo"Idleuserswillberemovedafter15minutes"
echo"readonlyTMOUT=900">>/etc/profile.d/os-security.sh
echo"readonlyHISTFILE">>/etc/profile.d/os-security.sh
chmod+x/etc/profile.d/os-security.sh
6)cron和at限定
1
2
3
4
5
6
7
8
echo"LockingdownCron"
touch/etc/cron.allow
chmod600/etc/cron.allow
awk-F:{print$1}/etc/passwd|grep-vroot>/etc/cron.deny
echo"LockingdownAT"
touch/etc/at.allow
chmod600/etc/at.allow
awk-F:{print$1}/etc/passwd|grep-vroot>/etc/at.deny
删除体系特别的的用户和组
1
2
3
4
5
6
7
8
9
10
11
userdelusername
userdeladm
userdellp
userdelsync
userdelshutdown
userdelhalt
userdelnews
userdeluucp
userdeloperator
userdelgames
userdelgopher
以上所删除用户为体系默许创立，可是在经常使用办事器中基础不利用的一些帐号，可是这些帐号常被黑客使用和打击办事器。
1
2
3
4
5
6
7
groupdelusername
groupdeladm
groupdellp
groupdelnews
groupdeluucp
groupdelgames
groupdeldip
一样，以上删除的是体系装置是默许创立的一些组帐号。如许就削减受打击的时机。
办事办理
封闭体系不利用的办事
1
2
3
4
5
6
7
8
9
10
11
12
chkconfiglevel35apmdoff
chkconfiglevel35netfsoff
chkconfiglevel35yppasswddoff
chkconfiglevel35ypservoff
chkconfiglevel35dhcpdoff?
chkconfiglevel35portmapoff
chkconfiglevel35lpdoff
chkconfiglevel35nfsoff
chkconfiglevel35sendmailoff
chkconfiglevel35snmpdoff
chkconfiglevel35rstatdoff
chkconfiglevel35atdoff??
按期更新体系
yum-yupdate，能够到场到cronjob。
ssh办事宁静
利用证书登录体系，详细不胪陈，请看这篇文章http://www.centos.bz/2012/02/strengthen-ssh-security-login-with-certificate/
LAMP宁静
体系文件权限
修正init目次文件实行权限
1
chmod-R700/etc/init.d/*
修正局部体系文件的SUID和SGID的权限
1
2
3
4
5
6
7
8
9
10
11
12
13
chmoda-s/usr/bin/chage
chmoda-s/usr/bin/gpasswd
chmoda-s/usr/bin/wall
chmoda-s/usr/bin/chfn
chmoda-s/usr/bin/chsh
chmoda-s/usr/bin/newgrp
chmoda-s/usr/bin/write
chmoda-s/usr/sbin/usernetctl
chmoda-s/usr/sbin/traceroute
chmoda-s/bin/mount
chmoda-s/bin/umount
chmoda-s/bin/ping
chmoda-s/sbin/netreport
修正体系引诱文件
1
2
chmod600/etc/grub.conf
chattr+i/etc/grub.conf
日记办理
1、体系引诱日记
dmesg
利用dmesg下令能够疾速检察最初一次体系引诱的引诱日记。一般它的内容会良多，以是您常常会但愿将其经由过程管道传输到一个浏览器。
2、体系运转日记
A、Linux日记存储在/var/log目次中。
这里有几个由体系保护的日记文件，但其他办事和步伐也大概会把它们的日记放在这里。年夜多半日记只要root才能够读，不外只必要修正文件的会见权限就能够让其别人可读。
以下是经常使用的体系日记文件称号及其形貌：
lastlog纪录用户最初一次乐成登录工夫
loginlog不良的上岸实验纪录?
messages纪录输入到体系主控台和由syslog体系办事步伐发生的动静
utmp纪录以后登录的每一个用户
utmpx扩大的utmp
wtmp纪录每次用户登录和刊出的汗青信息wtmpx扩大的wtmp
vold.log纪录利用内部介质呈现的毛病
xferkig纪录Ftp的存取情形sulog纪录su下令的利用情形
acct纪录每一个用户利用过的下令
aculog拨出主动呼唤纪录
B、/var/log/messages
messages日记是中心体系日记文件。它包括了体系启动时的引诱动静，和体系运转时的其他形态动静。IO毛病、收集毛病和其他体系毛病城市纪录到这个文件中。其他信息，好比某团体的身份切换为root，也在这里列出。假如办事正在运转，好比DHCP办事器，您能够在messages文件中察看它的举动。一般，/var/log/messages是您在做妨碍诊断时起首要检察的文件。
C、/var/log/XFree86.0.log
这个日记纪录的是Xfree86Xwindows办事器最初一次实行的了局。假如您在启动到图形形式时碰到了成绩，一样平常情形从这个文件中会找到失利的缘故原由。
收集宁静
利用TCP_WRAPPERS
利用TCP_WRAPPERS可使你的体系宁静面临内部进侵。最好的战略就是制止一切
的主机（在"/etc/hosts.deny"文件中到场"ALL:ALL@ALL,PARANOID"），然后再在"/etc/hosts.allow"文件中到场一切同意会见的主机列表。
第一步：
编纂hosts.deny文件（vi/etc/hosts.deny），到场上面这行
#Denyaccesstoeveryone.
ALL:ALL@ALL,PARANOID
这标明除非该地点包幸亏同意会见的主机列表中，不然堵塞一切的办事和地点。
第二步：
编纂hosts.allow文件（vi/etc/hosts.allow），到场同意会见的主机列表，比
如：
ftp:202.54.15.99foo.com
202.54.15.99和foo.com是同意会见ftp办事的ip地点和主机称号。
第三步：
tcpdchk步伐是tepdwrapper设置反省步伐。它用来反省你的tcpwrapper设置，并呈报发明的潜伏的和实在的成绩。设置完后，运转上面这个下令：
#tcpdchk
iptables防火墙利用
这里未几先容，请参考：http://www.centoscn.com/CentosSecurity/CentosSafe/2013/0801/854.html
欢迎大家来到仓酷云论坛！ 把这个问题放在其他Linux社区请求帮助也是一种选择。如果Linux得不到答案，请不要以为我们觉得无法帮助你。有时只是看到你问题的人不知道答案罢了。这时换一个社区是不错的选择。 期间我阅读了不少关于Linux的相关资料，其中也不乏一些有趣的小故事，这既丰富了我的课余生活，也让我加深了对一些术语的理解，比玩游戏强多了。? 熟读写基础知识，学得会不如学得牢。 Linux是参照Unix思想设计的，理解掌握Linux必须按照Unix思维来进行。思想性的转变比暂时性的技术提高更有用,因为他能帮助你加快学习速度。 Linux简单，占内存少，特别是对于程序开发人员来说很方便，如果说windows的成功在于其方便用户的窗口管理界面。 把这个问题放在其他Linux社区请求帮助也是一种选择。如果Linux得不到答案，请不要以为我们觉得无法帮助你。有时只是看到你问题的人不知道答案罢了。这时换一个社区是不错的选择。 即便是非英语国家的人发布技术文档,Linux也都首先翻译成英语在国际学术杂志和网络上发表。 编程学习及开发，Linux是免费，开源的操作系统，并且可开发工具相当多，如果您支持自由软件，一定要同广大热爱自由软件人士一同为其不懈努力。 期间我阅读了不少关于Linux的相关资料，其中也不乏一些有趣的小故事，这既丰富了我的课余生活，也让我加深了对一些术语的理解，比玩游戏强多了。?
页:
[1]