linux系统安全配置手册

《linux系统安全配置手册》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、Linux安全配置手册目录服务安全配置21.1Apache服务器安全配置21.1.1勤打补丁21.1.2启动文件压缩41.1.3建立一个安全的目录结构61.1.4为Apache使用专门的用户和用户组71.1.5Web目录的访问策略71.1.6配置Apache服务器访问日志91.1.7Apache服务器的密码保护101.1.8减少CGI和SSI风险121.1.9使用SSL加固Apache131.1.10Apache服务器防范DoS攻击132.1Iptables的安全配置143.1MYSQL的安全配置154.1vsf

2、tpd的安全配置164.1.1创建guest用户164.1.2生成虚拟用户174.1.3修改vsftpd.conf文件174.1.4用户权限配置185.1SquidServer的安全配置195.1.1限制内网某些IP使用代理服务器.195.1.2限制内网某些MAC地址使用代理服务器.195.1.3限制内网用户访问某些网站205.1.4限制内网用户访问某些格式的文件205.1.5限制内网用户使用代理服务器的时间215.1.6控制内网用户使用代理服务器的并发连接数.216.1SSH的安全配置216.1.1限制ssh远

3、程登录的时候直接以root帐号登录：226.1.2更改SSH的默认端口，226.1.3只允许通过指定的网络接口来访问SSH服务226.1.4限制空密码登录226.1.5只允许某些用户通过ssh访问主机.236.1.6仅允许某个组的成员通过ssh访问主机.236.1.7禁用版本1协议,236.1.8为用户连接到ssh服务器增加一个标题(它将从文件读取),23系统安全配置241.删除系统特殊的的用户帐号：242.删除系统特殊的组帐号243.用户密码设置254.修改自动注销帐号时间255.限制Shell命令记录大小26

4、6.注销时删除命令记录267.用下面的命令加需要的用户组和用户帐号268.阻止任何人su作为root279.修改ssh服务的root登录权限2710.关闭系统不使用的服务：2811.阻止系统响应任何从外部/内部来的ping请求3212.修改“/etc/host.conf”文件3313.不允许从不同的控制台进行root登陆3314.禁止Control-Alt-Delete键盘关闭命令3415.用chattr命令给下面的文件加上不可更改属性。3416.给系统服务端口列表文件加锁3517.系统文件权限修改3618.增加

5、dns3719.hostname修改3720.selinux修改3721.关闭ipv63722.linux调整系统时区/时间的方法3823.设置语言3924.tmpwatch定时清除39服务安全配置1.1Apache服务器安全配置1.1.1勤打补丁在www.apache.org上的changelog中都写着bugfix、securitybug的字样。所以，Linux管理员要经常关注相关网站的缺陷，及时升级系统或者打补丁。使用最高的和最新的安全版本对于加强Apache服务器的安全是至关重要的。将你的openssl升

6、级打牌0.9.6e或更高的版本，伪造的密钥将起不了任何作用，也不能渗透到系统中。一些反病毒程序能够发现并杀死ssl病毒，但是蠕虫病毒可能产生变体，从而逃脱反病毒软件的追捕。重启Apache可以杀死这样的病毒，但是对于防止将来的感染没有什么积极的作用。隐藏和伪装Apache的版本通常，软件的漏洞和特定的版本是相关的，因此，版本号对黑客来说是最有价值的东西。默认情况下，系统会把Apache版本模块都显示出来（在HTTP返回头中）。如果列举目录的话，会显示域名信息（文件列表正文），去除Apache的版本号的方法是修改配

7、置文件http.conf。找打一下关键字：serversignature并将其设定为：ServersignatureoffServertokensprod然后重启服务器。通过分析web服务器的类型，可以大致推测出操作系统的类型，比如，windows使用IIS，而Linux下最常见的是Apache。默认的Apache配置里没有任何信息保护机制，并且允许目录浏览。通过目录浏览，通常可以获得类似“Apache/1.3.27serveratapache.linuxforum.netport80”或者“apache/2.0

8、.49(unix)PHP/4.38”这类的信息。通过修改配置文件的servertokens参数，可以将Apache的相关信息隐藏起来。但是，RedHatLinux运行的Apache是编译好的程序，提示信息被编译在程序里，要隐藏这些信息需要改动Apache的源代码，然后，重新编译安装程序，以替换里面的提示内容。以Apache2.0.50为例，编辑ap_release.h文件