服务器安全加固 - Linux

作者：高端章鱼哥

2023-07-05
福建
本文字数：2788 字
阅读完需：约 9 分钟

一、账号和口令

1.1 禁用或删除无用账号

查看 /etc/passwd 文件查看是否有无用的账号，如果存在则删除，降低安全风险。

操作步骤：

使用命令 userdel <用户名> 删除不必要的账号。
使用命令 passwd -l <用户名> 锁定不必要的账号。
使用命令 passwd -u <用户名> 解锁必要的账号。

1.2 检查特殊账号操作步骤：

操作步骤：

查看空口令和 root 权限账号，确认是否存在异常账号：

使用命令 awk -F: '($2=="")' /etc/shadow 查看空口令账号。
使用命令 awk -F: '($3==0)' /etc/passwd 查看 UID 为零的账号。

加固空口令账号：

使用命令 passwd <用户名> 为空口令账号设定密码。
确认 UID 为 0 的账号只有 root 账号。

1.3 添加口令策略操作步骤

操作步骤

使用命令 vim /etc/login.defs 修改配置文件。

PASS_MAX_DAYS 90 #新建用户的密码最长使用天数
PASS_MIN_DAYS 0 #新建用户的密码最短使用天数（两次修改口令的最小间隔时间）
PASS_MIN_LEN 8 #新建用户的密码最小长度
PASS_WARN_AGE 14 #新建用户的密码到期提前提醒天数

使用 chage 命令修改用户设置。

# 设置用户密码最短使用天数为7天，密码最长使用天数为30天，过期前14天警告用户sudo chage -m 7 -M 90 -W 14 root   sudo chage -m 7 -M 90 -W 14 admin# 密码过期时间查看方法：[admin@Centos7 ~]$ sudo chage -l rootLast password change                               : Sep 14, 2020【最近一次修改密码的时间】Password expires                                   : Dec 13, 2020【密码过期时间】Password inactive                                  : never【密码失效时间】Account expires                                    : never【账户过期时间】Minimum number of days between password change     : 7【两次改变密码之间相距最小天数】Maximum number of days between password change     : 90【两次密码改变密码相距最大天数】Number of days of warning before password expires  : 15【密码过期前开始警告的天数】

复制代码

密码锁定策略

# 设置连续输错五次密码，账号锁定五分钟。vim /etc/pam.d/system-authauth        required      pam_tally2.so onerr=fail deny=5 unlock_time=300 even_deny_root root_unlock_time=90

复制代码

说明：

deny：设置普通用户和 root 用户连续错误登陆的最大次数，超过最大次数，则锁定该用户
unlock_time：设定普通用户锁定后，多少时间后解锁，单位是秒
root_unlock_time：设定 root 用户锁定后，多少时间后解锁，单位是秒

密码复杂度

# 设置用户密码最小长度8位，必须包含大小写字母+数字+特殊字符（root用户同理）vim /etc/pam.d/system-authpassword    requisite     pam_pwquality.so try_first_pass local_users_only minlen=8 ucredit=-1 lcredit=-1 dcredit=-1password    required      pam_pwhistory.so use_authtok remember=5 enforce_for_rootvim /etc/pam.d/password-authpassword    requisite     pam_pwquality.so try_first_pass local_users_only minlen=8 ucredit=-1 lcredit=-1 dcredit=-1password    required      pam_pwhistory.so use_authtok remember=5 enforce_for_root

复制代码

说明：

minlen=8：将密码的最小长度设置为 8 个字符。
lcredit=-1 ：将密码应包含的小写字母的最小数目设置为至少一个
ucredit=-1：将密码上的大写字母的最小数目设置为至少一个。
dcredit=-1 ：将密码中包含的最小位数至少设置为一个
ocredit=-1：设置其他符号的最小数量，例如 @，＃、! $％等，至少要有一个密码
remember=5：口令不能修改为过去 5 次使用过的旧口令
enforce_for_root ：确保即使是 root 用户设置密码，也应强制执行复杂性策略。

1.4 限制用户 su

操作步骤

使用命令 vim /etc/pam.d/su 修改配置文件，在配置文件中添加行。

例如，只允许 admin 组用户 su 到 root，则添加 auth required pam_wheel.so group=admin。

【可选】为了方便操作，可配置 admin 支持免密 sudo：在 /etc/sudoers 文件中添加 admin ALL=(ALL) NOPASSWD:ALL

1.5 加固 su 命令

为了防止使用"su"命令将当前用户环境变量带入其它用户，修改/etc/login.defs 添加 ALWAYS_SET_PATH=yes 并保存。

1.6 禁止 root 用户直接登入

操作步骤

创建普通权限账号并配置密码，防止无法远程登录，如：

groupadd -g 1000 admin && useradd -g admin -c "Administrator" -u 1000 -n -s /bin/bash admin

复制代码

2. 使用命令 vi /etc/ssh/sshd_config 修改配置文件将 PermitRootLogin 的值改成 no，并重启 sshd 服务。

二、系统服务

2.1 关闭不必要的服务

操作步骤：

查看所有服务列表 systemctl list-units --type=service

关闭不必要的服务：systemctl stop <服务名>
设置开机不自启动：systemctl disable <服务名>

2.2 SSH 服务安全

操作步骤

使用命令 vim /etc/ssh/sshd_config 编辑配置文件。

PermitRootLogin no  # 不允许root账号直接登录系统Protocol 2          # 修改SSH使用的协议版本MaxAuthTries 3      # 修改允许密码错误次数（默认6次）ClientAliveInterval 60   # server每隔60秒给客户端发送一次保活信息包给客户端ClientAliveCountMax 30   # server端发出的请求客户端没有回应的次数达到30次的时候就断开连接。

复制代码

配置文件修改完成后，重启 sshd 服务生效（systemctl restart sshd）。

三、文件系统

3.1 设置 umask 值

操作步骤

修改/etc/profile 配置文件，添加行 umask 027，即新创建的文件属主拥有读写执行权限，同组用户拥有读和执行权限，其他用户无权限。

3.2 设置登入超时

操作步骤

修改/etc/profile 配置文件，设置为 TMOUT=600，表示超时 10 分钟无操作自动退出登录。

四、系统日志

4.1 syslogd 日志

操作步骤

Linux 系统默认启用以下类型日志，配置文件为 /etc/rsyslog.conf：

系统日志（默认）/var/log/messages
cron 日志（默认）/var/log/cron
安全日志（默认）/var/log/secure

4.2 记录所有用户的登入日志和操作日志

# 打开配置文件/etc/profile，在配置文件最后中输入以下内容：historyUSER=`whoami`USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`if [ "$USER_IP" = "" ]; then  USER_IP=`hostname`fiif [ ! -d /var/log/history ]; then  mkdir /var/log/history  chmod 777 /var/log/historyfiif [ ! -d /var/log/history/${LOGNAME} ]; then  mkdir /var/log/history/${LOGNAME}  chmod 300 /var/log/history/${LOGNAME}fiexport HISTSIZE=4096DT=`date +"%Y%m%d_%H:%M:%S"`export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null# 执行source使其生效source /etc/profile

复制代码

通过上述步骤，可以在 /var/log/history 目录下以每个用户为名新建一个文件夹，每次用户退出后都会产生以用户名、登录 IP、时间的日志文件，包含此用户本次的所有操作（root 用户除外）

发布于: 刚刚阅读数: 4

原文链接:【http://xie.infoq.cn/article/01a071a91af90cebb9a535378】。

高端章鱼哥

关注

还未添加个人签名 2023-06-19 加入

还未添加个人简介

发布

暂无评论

创作场景

服务器安全加固 - Linux

一、账号和口令

1.1 禁用或删除无用账号

操作步骤：

1.2 检查特殊账号操作步骤：

操作步骤：

1.3 添加口令策略操作步骤

操作步骤

1.4 限制用户 su

操作步骤

1.5 加固 su 命令

1.6 禁止 root 用户直接登入

操作步骤

二、系统服务

2.1 关闭不必要的服务

操作步骤：

2.2 SSH 服务安全

操作步骤

三、文件系统

3.1 设置 umask 值

操作步骤

3.2 设置登入超时

操作步骤

四、系统日志

4.1 syslogd 日志

操作步骤

4.2 记录所有用户的登入日志和操作日志

高端章鱼哥

评论