骰踩柚檬植Linux系统

《骰踩柚檬植Linux系统》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、1防止任何人使用su命令成为root（删除系统中多余的帐号，则不必做该项）如果不想任何人都可以用“su”命令成为root或只让某些用户有权使用“su”命令，须在“/etc/pam.d/su”文件的头部加入下面两行，确保只有“wheel”组的成员才能用su命令成为root：authsufficient/lib/security/pam_rootok.soauthrequired/lib/security/pam_wheel.souse_uid然后使用“usermod-a-G10用户名“命令将需要s

2、u成为root的用户添加到wheel用户组。2安装安全补丁及时获得最新的安全补丁，经测试不会对系统上所运行的应用造成不良影响后，及时安装补丁程序。保持系统始终处于安装了必要的最新安全补丁状况。3设置合适的口令策略文件编辑/etc/login.defs文件，设置合适的口令策略文件，包括最小口令长度、口令使用期限等，例如设置“PASS_MIN_LEN8“，即默认的最小口令长度为8。/etc/login.defs:#PASS_MAX_DAYSMaximumnumberofdaysapasswordma

3、ybeused.#PASS_MIN_DAYSMinimumnumberofdaysallowedbetweenpasswordchanges.#PASS_MIN_LENMinimumacceptablepasswordlength.#PASS_WARN_AGENumberofdayswarninggivenbeforeapasswordexpires.PASS_MAX_DAYS90PASS_MIN_LEN8启用口令策略以达到一定的复杂度：vi/etc//pam.d/passwd文件的头部加入pa

4、sswordrequiredpam_cracklib.soretry=3difok=8minlen=5限制最大同时登录的会话数/etc/security/limits.conf中加入*hardmaxlogins8/etc/pam.d/login中加入sessionrequired/lib64/security/pam_limits.so如是32位版的linux（uname–m检查操作系统版本），文件名应改为/lib/security/pam_limits.so需重启sshd服务（services

5、shdrestart）。1帐号锁定/etc/pam.d/system-auth:（下面两条放到sufficient条目之前）authrequired/lib64/security/pam_tally.soonerr=failaccountrequired/lib64/security/pam_tally.sodeny=30reset如是32位版的linux，文件名应改为/lib/security/pam_tally.so需重启sshd服务（servicesshdrestart）。2网络访问控制禁

6、止root远程登录/etc/ssh/sshd_config:（修改下面两条，需重启servicesshdrestart）PermitRootLoginnoMaxAuthTries6屏蔽banner信息/etc/ssh/sshd_config:注释掉banner的相关条目#Banner/some/path3设置初始文件权限~/.bash_profile :（针对每一用户，该配置文件中增加一行）umask077#适用root用户，其它用户不可读umask022#适用非root用户，其它用户可读不可写

7、1设置合适的历史命令数量编辑“/etc/profile”文件，确保HISTFILESIZE和HISTSIZE都设成了一个比较小的值。exportHISTSIZE=80exportHISTFILESIZE=802设置系统自动注销帐号功能编辑/etc/profile文件，确保其中TMOUT参数设置了合适的值，例如600（10分钟），即可设置自动注销帐号功能。exportTMOUT=6003关闭不必要的服务如果安装并运行了xinetd服务：（如果没有安装veritas备份软件客户端，建议关闭xinet

8、d服务）（1）确保/etc/xinetd.d/目录下的文件的存取权限值为600、拥有者为root。（2）确保/etc/services文件的存取权限值设定为644、拥有者为root。（3）编辑/etc/xinetd.d/目录下的文件，关闭所有不需要的服务，例如ftp、telnet、shell、login、exec、talk、ntalk、imap、pop-2、pop-3、finger、echo、chargen、tftp以及一系列“r”服务（rsh、rlogin）。Ø编辑各种服务所对应的文件，确保“