安装一台安全的Linux.ppt

《安装一台安全的Linux.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、安装一台安全的Linux何伟平hwtony@xmubbsLinux的优点Linux花费小，硬件要求低开放源码相对安全Linux的缺点学习成本高缺少技术支持特定服务无法满足要求选择依据根据应用选择操作系统利用linux为老机器延长寿命安全概述防范谁（天灾、病毒、人）需要什么样的措施授予最小的权限安装要点避免连接网络慎重规划文件系统仅安装必要程序规划文件系统选用日志文件系统独立/var、/home、/boot独立/usr、/tmp安装最小的操作系统安装时选择Minimal物理安全限制启动方式保护控制台限制启动方式更改启动顺序加上BIOS密码加上Loader密

2、码给GRUB加上密码获得加密串grub>md5cryptPassword:******Encrypted:$1$qW/qn0$LOnxgnJ2eyQupw2i7aTtS1编辑/boot/grub/grub.conf，加入password--md5$1$b.0qn0$X7vUSPBqlznCPHzQQJJQ51保护控制台–禁用ctrl+alt+del编辑/etc/inittab注释掉如下配置ca::ctrlaltdel:/sbin/shutdown-t3-rnow保护控制台–禁用程序执行以下命令rm–f/etc/security/console.apps/

3、haltrm–f/etc/security/console.apps/rebootrm–f/etc/security/console.apps/poweroffforiin/etc/pam.d/*do>sed‘/[^#].*pam_console.so/s/^/#/’<$i>temp&&mv–ftemp$i>done帐户安全删除不必要帐户限制帐户权限保护超级管理员帐户删除不必要的帐户用以下命令查看用户cat/etc/passwd

4、cut-f1-1-d:-删除adm、lp、sync、shutdown、halt、news、mail、uucp、operator

5、、games、gopher、ftp删除不必要的组用以下命令查看用户cat/etc/group

6、cut-f1-1-d:-删除adm、lp、news、mail、uucp、games、dip限制帐户权限允许登陆？usermod-s/sbin/nologinusername登陆方式，位置？避免创建默认组保护超级管理员帐户编辑/etc/profile，加入TMOUT=600编辑/etc/pam.d/su，去掉下面的注释#authrequired/lib/security/$ISA/pam_wheel.souse_uid文件安全避免不必要的文件权限保护重要文件注意S

7、UID程序避免不必要的文件权限修改fstab/var、/tmp加上noexec、nosuid、nodev/home加上nosuid、nodev保护重要的文件chattr–i/etc/services/etc/passwd/etc/shadow/etc/group/etc/gshadow……去掉不必要的SUID查找SUID程序find/-typef(-perm-04000-o-perm-02000)去掉权限chmoda-s/bin/mount……网络安全配置防火墙删除不必要的服务设置内核参数IPTABLES(1)#exportINET_IP=xxx.x

8、xx.xxx.xxx#iptables-Nbad_tcp_packets#iptables-Nallowed#iptables-Abad_tcp_packets-ptcp--tcp-flagsSYN,ACKSYN,ACK-mstate--stateNEW-jREJECT--reject-withtcp-reset#iptables-Abad_tcp_packets-ptcp!--syn-mstate--stateNEW-jDROP#iptables-Aallowed-pTCP--syn-jACCEPT#iptables-Aallowed-pTCP-ms

9、tate--stateESTABLISHED,RELATED-jACCEPT#iptables-Aallowed-pTCP-jDROPIPTABLES(2)#iptables-AINPUT-ptcp-jbad_tcp_packets#iptables-AINPUT-pALL-ilo-s127.0.0.1-jACCEPT#iptables-AINPUT-pALL-ilo-s$INET_IP-jACCEPT#iptables-AINPUT-pALL-d$INET_IP-mstate--stateESTABLISHED,RELATED-jACCEPT#ipt

10、ables-AOUTPUT-ptcp-jbad_tcp_packets#ipta