Linux 系统主机安全加固

《Linux 系统主机安全加固》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Linux主机安全加固V1.0hk有限公司二零一五年二月文件编号：DOC-2016当前版本：1.0保管：密级：秘密(HK有限公司)完成日期：2016-06一、修改密码策略1、cp/etc/login.defs/etc/login.defs.bak2、vi/etc/login.defsPASS_MAX_DAYS90（用户的密码不过期最多的天数）PASS_MIN_DAYS0（密码修改之间最小的天数）PASS_MIN_LEN8（密码最小长度）PASS_WARN_AGE7(口令失效前多少天开始通知用户更改密码)按要求修改这几个密码选项，修改完之后保存（：wq!

2、）退出即可。二、查看系统是否已设定了正确UMASK值（022）1、用命令umask查看umask值是否是022，如果不是用下面命令进行修改：cp/etc/profile/etc/profile.bakvi/etc/profile找到umask022，修改这个数值即可。三、锁定系统中不必要的系统用户和组1、cp/etc/passwd/etc/passwd.bakcp/etc/shadow/etc/shadow.bak锁定下列用户2、foriinadmlpsyncnewsuucpgamesftprpcrpcusernfsnobodymailnullgdmd

3、ousermod-L$idone3、检查是否锁定成功more/etc/shadow如：lp:!*:15980:0:99999:7:::lp帐户后面有！号为已锁定。4、禁用无关的组：备份：cp/etc/group/etc/group.bak5、编辑：vi/etc/group在组前面加#进行注释参考下面#lp:x:7:daemon,lp#uucp:x:14:uucp#games:x:20:#ftp:x:50:#rpc:x:32:#rpcuser:x:29:#nfsnobody:x:65534:#mailnull:x:47:#gdm:x:42:6、禁止roo

4、t用户远程登录cp/etc/ssh/sshd_config/etc/ssh/sshd_config.bakvi/etc/ssh/sshd_config文件，将其中的PermitRootLogin改成no，然后重新启动ssh服务/etc/init.d/sshdrestart四、linux中预防SYNflood1、备份cp/etc/sysctl.conf/etc/sysctl.conf.bak2、编辑vi/etc/sysctl.conf3、添加net.ipv4.tcp_syncookies=14、保存退出5、/sbin/sysctl-p命令使变更生效五、A

5、RP捆绑IP1、确认网关IP和mac地址是正确的2.查看arp-a3.echo'27.152.190.199b8:88:e3:fa:b9:8f'>/etc/ethers4.捆绑arp-f5、对比例子：（请参考系统运行的实际情况）捆绑前root@web1etc]#arp-a?(27.152.190.199)atb8:88:e3:fa:b9:8f[ether]onem1捆绑后?(27.152.190.199)atb8:88:e3:fa:b9:8f[ether]PERMonem16、设置开机捆绑MAC备份开机自启动服务文件cp/etc/rc.d/rc.loc

6、al/etc/rc.d/rc.local.bak编辑vi/etc/rc.d/rc.local添加arp–f六、停止无用服务注意：需要根据系统的实际情况和询问管理员哪些服务跟业务无关方可停用。foriinautofschargenchargen-udpgpmip6tablesisdnkudzuxinetdnfsnfslockpcmciarhnsddochkconfig--level2345$ioffservice$istopdone启动审计服务foriinauditdochkconfig--level2345$ionservice$istartdone七

7、、系统禁用X-Window系统1、编辑：cp/etc/inittab/etc/inittab.bakvi/etc/inittabid:5:initdefault：将数值5改为3即可。八、残留信息保护（使.bash_history值保存30个命令，用户退出是自动删除.bash_history文件）1、备份：cp/etc/profile/etc/profile.bak2、编辑vi/etc/profileHISTFILESIZE=30（如果没有请自行添加）修改保存值为30HISTSIZE=30修改保存值为303、退出后自动删除个用户的“.bash_histo

8、ry”文件备份：cp/etc/skel/.bash_logout/etc/skel/.bash