HPUnix安全配置规范(论文资料).pdfVIP

HP-Unix 安全配置规范 HP-Unix安全配置规范 1. 概述 1.1. 目的 本规范明确了HP-UX主机安全配置方面的基本要求。为了提高HP-UX主机的安 全性而提出的。 1.2. 范围 如无特别说明，本规范适用于HP-UX 10.20 以及以上版本。 Page 1 of 10 HP-Unix安全配置规范 2. 配置规范 2.1. 用户账号和环境 2.1.1. 系统账户 UUCP 和 nuucp 账号通常是不需要的，可以把它们删除。其它账号视具体情况 而定，选择锁定或者删除。操作命令如下： for user in uucp nuucp adm daemon bin lp \ nobody noaccess hpdb useradm do /usr/lbin/modprpw -w * $user /usr/sbin/usermod –s /bin/false $user done 2.1.2. 删除属于root 用户存在潜在危险文件 /.rhost 、/.netrc 或/root/.rhosts 、/root/.netrc 文件都具有潜在的危险，应该使用如 下命令删除： rm /.[rs]hosts /.netrc ~root/.[rs]hosts ~root/.netrc 2.1.3. 用户home 权限限制 用户home 目录的许可权限限制不严可能会导致恶意用户读/修改/删除其它用户 的数据或取得其它用户的系统权限，因此需要使用以下命令严格限制用户 home 目 录的权限： logins -ox | cut -f6 -d: | while read home do chmod og-w $home done 2.1.4. UMASK 设置 为用户设置缺省的 umask 值有助于防止用户建立所有用户可写的文件而危及用 户的数据。设置命令如下： cd /etc umask 022 for file in profile csh.login file d.login do Page 2 of 10 HP-Unix安全配置规范 echo umask 022 $file done 2.2. 基线控制 基线控制是利用数据完整性检测工具对系统的变化进行监控。数据完整性检测 工具根据管理员设置的一个配置文件对指定要监控的文件进行读取，对每个文件生 成相应数字签名，并将这些结果保存在自己的数据库中。 当怀疑系统被入侵时，可由完整性检测工具根据先前生成的系统快照与当前系 统的文件特征进行对比，如果文件被替换，则特征不匹配，管理员就明白系统不 干净了。 HP-UX 系统上常用的基线控制工具是 Tripwire，有商业和免费两个版本，免费 版本通常需要使用源代码安装；相对来说，商业版本的管理能力、稳定性要好得 多。 2.3. 补丁管理（适用于HP-UX 11.x） 2.3.1. 获得补丁 HP-UX 系统的升级补丁可以从 HP-UX Support Plus 站点获得，URL 是 /SUPPORT_PLUS/ 对于 HP-UX 10.x 的版本，补丁叫做G