Unix Checklist(中文)

《Unix Checklist(中文)》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、Unix计算机安全Checklist目录1物理安全11.1控制台安全11.2数据安全11.3用户安全措施12网络安全22.1过滤22.2阻止spoofing22.3FTP安全22.4Modem安全22.5SATAN能够发现这些问题33账号安全33.1密码安全33.2root账号33.3Guest账号43.4用户帐号44文件系统安全44.1NFS安全44.2设备安全54.3脚本安全54.4安全测试54.5安全书籍64.6安全站点64.7厂商链接7Unix计算机安全Checklist该文档为系统管理

2、员提供如何更好地提供系统安全，该文档不保证覆盖全部系统安全，对于任何人误用这些信息，本文档以及作者不承担任何责任。本文档以HP-UX为例讲解如需了解更多内容，请参考http://www.unixtools.com/security.html。1物理安全1.1控制台安全1)房间上锁(限制钥匙数量)2)没有其它途径可以进入房间(包括地板和天花板)1.2数据安全3)Backup存储在安全的地方&制定合理的数据恢复计划4)UPS确保电源稳定供应5)保护网络线缆以防暴露6)敏感信息文件柜上锁7)销毁敏感的

3、打印输出介质/磁带1.3用户安全措施8)当离开桌面时锁屏9)不要在桌面上记录密码暗示10)小心使用xauth/xhost使得其他人不能读取屏幕11)站点不提供欢迎标语（只有授权访问允许看到欢迎标语）1网络安全1.1过滤1)关闭不使用的服务（inetd.conf）2)产生访问控制列表/var/adm/inetd.sec表示那些主机可以建立连接3)在路由器上过滤所有不必要的服务，只有必要的服务能够通过4)需要TCPwrapper用于日志审计5)如果网络连接Internet，使用防火墙1.2阻止spo

4、ofing6)路由模式a)关闭sourceroutingb)阻止外部网络使用内部地址发起队内网的连接和访问7)NFS,hosts.equiv....这些系统文件中描述有资格访问的主机名8)如果可能，不使用hosts.equiv或.rhosts（cron）9).rhost和.netrc文件的permission设置为6001.3FTP安全10)确保/etc/ftpusersw/所有系统账号(uucp,bin.root..)11)设定最小permission和最小account12)使用FTP日志，

5、并查看日志13)如果可能设定目录不可写入1.4Modem安全14)所有的modems都应该有额外的密码c)确保/etc/d_passwd的口令不能使用CRACK工具猜测出来d)每个用户一个口令，确保口令不能使用CRACK工具猜测出来1)所有的拨号modem都应记录断开连接(/etc/gettydefs的hupcl)1.1SATAN能够发现这些问题2账号安全2.1密码安全2)所有账号都必须拥有口令3)只有rootUID是04)密码不可猜测（基于规则的crack）5)不记录密码6)办公桌上不存在密码

6、描述7)密码过期8)一次性使用的密码9)如果不使用NIS或NIS+，HP能够使用信任的系统软件包（SAM）10)不存在.netrc文件11)当存在不符合要求的登录请求时，关闭该帐号2.2root账号12)root仅仅可以在控制台登录（/etc/securetty）13)检查root.文件，不能在path中应用.14)限制用户数量15)使用高强度口令16)经常等出rootshell；不要在不注意的情况下留下rootshell17)每隔3个月修改一次root口令&只要某些人离开公司18)使用普通用户

7、登录&使用su19)20)umasks如果可能设置为07721)不在控制台操作时应使用全部路经。1)不允许非root写入访问任何root路径的目录2)在公共可写入目录中不存在tmp文件1.1Guest账号3)必要情况下，限制时间4)使用非标准名字-而不是guest5)使用高强度口令6)使用受限制shell7)umasks如果可能设置为0771.2用户帐号8)在中止该用户帐号后删除该帐号9)账号不能共享10)关闭不必要的账号，bin、sys、uucp11)umasks如果可能设置为07712)如果

8、可能使用受限制shell2文件系统安全2.1NFS安全13)只有需要才运行NFS，应用最新的patch14)小心使用/etc/exports(SUN：/etc/dfs/dfstab)15)如果可能设置为只读16)如果可能不设置suid17)hostname使用全名2.2设备安全18)s/dev/null,/dev/tty&/dev/console设备文件可以由world写入，但不能执行1)其他设备文件不可被常规用户读取和写入。1.1脚本安全2)不要对setuid/setgid脚本执行写入操作；而