Linux安全配置规范

# awk -F: '($2 == "") { print   $1 }' /etc/shadow 检查空口令帐号

#pwck     帐号检查

# cat /etc/passwd

# cat /etc/shadow 

# cat /etc/group

对照检查结果，询问管理员有效帐号有无异常，有无弱密码，建议删除不必要帐户并修改简单密码为复杂密码

# awk -F: '($3 == 0) { print $1 }'   /etc/passwd  检查UID为0的帐号

vi /etc/profile

增加

export TMOUT=600

# vi /etc/login.defs

建议设置参数如下：

PASS_MAX_DAYS        180  最大口令使用日期

PASS_MIN_LEN             8    最小口令长度

PASS_WARN_AGE          30    口令过期前警告天数

#vi  /etc/pam.d/system-auth

password required   /lib/security/pam_cracklib.so retry=3 type= minlen=8   difok=3 

最小口令长度设置为8

#cat /etc/pam.d/system-auth

使用命令“cat /etc/lilo.conf|grep   password”查看lilo是否设置密码

参考操作：vi /etc/grub.conf

default=1

timeout=10

splashimage=(hd0,7)/boot/grub/splash.xpm.gz

password=123456

title Fedora Core (2.4.22-1.2061.nptl)

lock

root (hd0,7)

# chkconfig --list  (debian不支持)

使用命令“chkconfig --level   <init级别> <服务名> on|off|reset”设置服务在个init级别下开机是否启动

查看是否有不需要的服务

# cat /etc/ssh/sshd_config

或

#cat /etc/ssh2/sshd2_config

Openssh应禁止使用协议1,禁止root直接登录等，编辑sshd_config文件，设置：

Protocol 2

StrictModes yes

PermitRootLogin no

PrintLastLog yes

PermitEmptyPasswords no

或

#cat /etc/ssh2/sshd2_config

是否符合以上设置

#cat /etc/snmp/snmpd.conf

应禁止使用public、private默认团体字，使用用户自定义的团体字

，例如将以下设置中的public替换为用户自定义的团体字：

com2sec notConfigUser  default       public

如无必要，管理员应禁止使用snmp服务

# vi /etc/inittab

# grep –i ctrlaltdel /etc/inittab

禁止ctrl+alt+del组合键，以root身份编辑/etc/inittab文件,注释如下一行后重起系统：

ca::ctrlaltdel:/sbin/shutdown -t3 -r now

# ca::ctrlaltdel:/sbin/shutdown -t3 -r   now （表示已经禁用）

(root为了方便使用在他的当前路径末尾加了个点"."，存在安全隐患)

以root身份执行如下命令：

# echo $PATH

/usr/local/sbin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin:.

检查rhosts文件内容，以root身份执行如下命令：

#find / -name .rhosts

# find / -name .hosts.equiv

#查看上述rhosts文件和/etc/hosts.equiv内容

应禁止rhosts文件和/etc/hosts.equiv

使用命令“vi /etc/profile”修改配置文件，添加行“UMASK  027”，   即新创建的文件属主读写执行权限，同组用户读和执行权限，其他用户无权限，使用命令“umask   027”应用设置

至少设为027，最佳是077

# chattr +i /etc/shadow

# chattr +i /etc/gshadow

# chattr +i /etc/group

修改密码时，有时会提示：　"userdel:   unable to open password file"

或：　"userdel: unable   to open group "　等

这时，　可以先　

 chattr -i /etc/passwd

chattr -i /etc/group

 chattr -i /etc/shadow

然后再执行:

userdel -rf   UserName

执行完后，　最好再把文件还原回去：

 chattr +i /etc/passwd

 chattr +i /etc/group

 chattr +i /etc/shadow

# lsattr    /etc/shadow

# lsattr  /etc/gshadow

# lsattr  /etc/group

/etc/shadow 文件属性应为400

/etc/xinetd.conf  文件属性应为600

grub.conf或lilo.conf  文件属性应为600

chomd +600 /etc/xinetd.conf

chomd +600 /etc/grub.conf

ls –la /etc/xinetd.conf

ls –la /etc/grub.conf

# df –k

#vi /etc/syslog.conf

建议authpriv.*                            /var/log/secure

Checking for service syslog:                      running