linux系统安全加固规范

《linux系统安全加固规范》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Linux主机操作系统加固规范第2页共13页目录第1章概述11.1目的11.2适用范围11.3适用版本11.4实施11.5例外条款1第2章账号管理、认证授权22.1账号22.1.1用户口令设置22.1.2root用户远程登录限制22.1.3检查是否存在除root之外UID为0的用户32.1.4root用户环境变量的安全性32.2认证42.2.1远程连接的安全性配置42.2.2用户的umask安全配置42.2.3重要目录和文件的权限设置42.2.4查找未授权的SUID/SGID文件52.2.5检查任何人都有写权限的目录62.2.6查找任何人都有写权限的文件62.2.7

2、检查没有属主的文件72.2.8检查异常隐含文件7第3章日志审计93.1日志93.1.1syslog登录事件记录93.2审计93.2.1Syslog.conf的配置审核9第4章系统文件114.1系统状态114.1.1系统coredump状态11第2页共13页第1章概述1.1适用范围本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。1.2适用版本LINUX系列服务器；第13页共13页第1章账号管理、认证授权1.1账号1.1.1用户口令设置安全基线项目名称操作系统Linux用户口令安全基线要求项安全基线编号SBL-Linux-02-01-01安全基线项

3、说明帐号与口令-用户口令设置检测操作步骤1、询问管理员是否存在如下类似的简单用户密码配置，比如：root/root,test/test,root/root12342、执行：more/etc/login，检查PASS_MAX_DAYS/PASS_MIN_LEN/PASS_MIN_DAYS/PASS_WARN_AGE参数3、执行：awk-F:'($2==""){print$1}'/etc/shadow,检查是否存在空口令账号基线符合性判定依据建议在/etc/login文件中配置：PASS_MIN_LEN=6不允许存在简单密码，密码设置符合策略，如长度至少为6不存在空口令

4、账号备注1.1.2root用户远程登录限制安全基线项目名称操作系统Linux远程登录安全基线要求项安全基线编号SBL-Linux-02-01-02安全基线项说明帐号与口令-root用户远程登录限制检测操作步骤执行：more/etc/securetty，检查Console参数基线符合性判定依据建议在/etc/securetty文件中配置：CONSOLE=/dev/tty01第13页共13页备注1.1.1检查是否存在除root之外UID为0的用户安全基线项目名称操作系统Linux超级用户策略安全基线要求项安全基线编号SBL-Linux-02-01-03安全基线项说明帐号

5、与口令-检查是否存在除root之外UID为0的用户检测操作步骤执行：awk-F:'($3==0){print$1}'/etc/passwd基线符合性判定依据返回值包括“root”以外的条目，则低于安全要求；备注补充操作说明UID为0的任何用户都拥有系统的最高特权，保证只有root用户的UID为01.1.2root用户环境变量的安全性安全基线项目名称操作系统Linux超级用户环境变量安全基线要求项安全基线编号SBL-Linux-02-01-04安全基线项说明帐号与口令-root用户环境变量的安全性检测操作步骤执行：echo$PATH

6、egrep'(^

7、:)(.

8、:

9、

10、$)'，检查是否包含父目录，执行：find`echo$PATH

11、tr':'''`-typed(-perm-002-o-perm-020)-ls，检查是否包含组目录权限为777的目录基线符合性判定依据返回值包含以上条件，则低于安全要求；find`echo$PATH

12、tr':'''`-typed(-perm-777-o-perm-777)-ls注补充操作说明确保root用户的系统路径中不包含父目录，在非必要的情况下，不应包含组权限为777的目录第13页共13页1.1.1远程连接的安全性配置安全基线项目名称操作系统Linux远程连接安全基线要求项安全基线编号SBL

13、-Linux-02-02-01安全基线项说明帐号与口令-远程连接的安全性配置检测操作步骤执行：find/-name.netrc，检查系统中是否有.netrc文件，执行：find/-name.rhosts，检查系统中是否有.rhosts文件基线符合性判定依据返回值包含以上条件，则低于安全要求；备注补充操作说明如无必要，删除这两个文件1.1.2用户的umask安全配置安全基线项目名称操作系统Linux用户umask安全基线要求项安全基线项说明帐号与口令-用户的umask安全配置检测操作步骤执行：more/etc/profilemore/etc/csh.loginmo