Linux安全配置基线_电脑基础知识_IT计算机_专业资料

《Linux安全配置基线_电脑基础知识_IT计算机_专业资料》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、Linux系统安全配置基线版本版本控制信息更新日期更新人审批人V1.0创建2009年1月V2.0更新2012年4月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。第1章概述41.1目的41.2适用范围41.3适用版本41.4实施41.5例外条款4第2章帐号管理、认证授权52.1帐号52.1.1用户口令设置52.7.2用户口令强度耍求52.1.3川户锁定策略62.1.4mol用户远程登录限制.62.1.5检查是否存在除root之外UID为0的用户72.1.6root用户环境变量的安全性72.2认证82.2.1远程连接的安全性配置82.2.2用户

2、的umask安全配置82.2.3重要目录和文件的权限设置82.2.4查找未授权的SUID/SGID文件丸92.2.5检查任何人都有写权限的口录探102.2.6查找任何人都有写权限的文件法102.2.7检查没有属.主的文件务112.2.8检查异常隐含文件深112.2.9登录超时设置722.2.10使用SSH远程野录122.2.11Root远程登录限制.132.2.12关闭不必要的服务甞13第3章日志审计153.1日志153.1.1syslog登录事件记录*153.2审计153.2.JSyslog.conf的配置审核汰15第4章系统文件174」系统状态174.1.1系统core

3、dump状态17第5章评审与修订18第1章概述1.1目的木文档旨在指导系统悸理人员或安全检查人员进行LINUX操作系统的安全合规性检查和配置。1.2适用范围本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。1.3适用版本LINUX系列服务器。1.4实施1.5例外条款第2章帐号管理、认证授权2.1帐号2丄1用户口令设置安全基线项目名称操作系统Linux用户口令设置安全基线耍求项安全基线编号SBL-Linux-02-01-01安全基线项说明对于采用静态口令认证技术的设备，帐户口令的生存期不长于90天。检测操作步骤1、询问管理员是否存在如下类似的简单用户密码配

4、置，比如：root/root,test/test,root/root!2342、执行：more/etc/login.defs,检查PASS_MAX_DAYS/PASS_MIN_DAYS/PASS_WARN_AGE参数3、执行：awk-F:*($2==',M){print$1『/ctc/shadow,检查是否存在空口令帐号基线符合性判定依据建议在/etc/login.defs文件中配置：PASS_MAX_DAYS90#新建用户的密码最长使用天数PASS_MIN_DAYS0#新建用户的密码最短使用犬数PASS_WARN_AGE7#新建用户的密码到期提前提醒天数不存在空口令帐号备

5、注2.1.2用户口令强度要求安全基线项目名称操作系统Linux用户口令强度安全基线要求项安全基线编号SBL-Linux-02-01-02安全基线项说明对于采用静态口令认证技术的设备，口令长度至少X位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。检测操作步骤/etc/pam.d/system-auth文件中是否对pam_cracklib.so的参数进行了正确设置。基线符合性判定依据建议在/etc/pam.d/system-auth文件中配置:passwordrequisitepam_cracklib.sodifok=3minlen=8ucredit=-llcred

6、it=-1dcredit=l至少8位，包含一位大写字母，一位小写字母和一位数字备注2.1.3用户锁定策略安全基线项目名称操作系统Linux用户口令锁定策略安全基线要求项安全基线编号SBL-Linux-02-01-03安全基线项说明对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过10次，锁定该用户使用的帐号。检测操作步骤/etc/pam.d/system-auth文件屮是否对pam_tally.so的参数进行了正确设置。基线符合性判定依据设置连续输错10次密码，帐号锁定5分钟，使用命令“vi/etc/pam.d/system-auth”修改配置文件，添加aut

7、hrequiredpam_tally.soonerr=faildeny=10unlock_time=300注：解锁用户faillog-uv用户名〉-r备注2.1.4root用户远程登录限制安全基线项目名称操作系统Linux远程登录安全基线要求项安全基线编号SBL-Linux-02-01-04安全基线项说明帐号与口令・root用户远程登录限制检测操作步骤执行：more/etc/securetty,检査Console参数基线符合性判定依据建议在/ctc/sccurctty文件中配置：CONSOLE=/dcv/ttyOl