主机安全设置手册-Linux系统.docVIP

防止任何人使用su命令成为root 如果不想任何人都可以用“su”命令成为root 或 只让某些用户有权使用“su”命令，须在“/etc/pam.d/su”文件的头部加入下面两行，确保只有“wheel”组的成员才能用su 命令成为root： auth sufficient /lib/security/pam_rootok.soauth required /lib/security/pam_wheel.so use_uid 然后使用“usermod - -G10 用户名“命令将需要su成为root的用户添加到wheel用户组。安装安全补丁 及时获得最新的安全补丁，经测试不会对系统上所运行的应用造成不良影响后，及时安装补丁程序。保持系统始终处于安装了必要的最新安全补丁状况。 设置合适的口令策略文件 编辑/etc/login.defs文件，设置合适的口令策略文件，包括最小口令长度、口令使用期限等，例如设置“PASS_MIN_LEN 8“，即默认的最小口令长度为8。/etc/login.defs : # PASS_MAX_DAYS Maximum number of days a password may be used. # PASS_MIN_DAYS Minimum number of days allowed between password changes. # PASS_MIN_LEN Minimum acceptable password length. # PASS_WARN_AGE Number of days warning given before a password expires. PASS_MAX_DAYS 90 PASS_MIN_LEN 8 启用口令策略以达到一定的复杂度： vi /etc//pam.d/passwd 文件的头部加入 /etc/security/limits.conf 中加入 * hard maxlogins 8/etc/pam.d/login 中加入 session required /lib64/security/pam_limits.so 如是32位版的linux（uname –m 检查操作系统版本），文件名应改为/lib/security/pam_limits.so 需重启sshd服务（service sshd restart）。 帐号锁定 /etc/pam.d/system-auth :（下面两条放到sufficient条目之前） auth required /lib64/security/pam_tally.so onerr=fail account required /lib64/security/pam_tally.so deny=30 reset 如是32位版的linux，文件名应改为/lib/security/pam_tally.so 需重启sshd服务（service sshd restart）。 网络访问控制 禁止root远程登录 /etc/ssh/sshd_config : （修改下面两条，需重启service sshd restart） PermitRootLogin no MaxAuthTries 6 屏蔽banner信息 /etc/ssh/sshd_config : 注释掉banner的相关条目 #Banner /some/path 设置初始文件权限 ~/.bash_profile?: （针对每一用户，该配置文件中增加一行） umask 077 #适用root用户，其它用户不可读 umask 022 #适用非root用户，其它用户可读不可写 设置合适的历史命令数量 编辑“/etc/profile”文件，确保HISTFILESIZE和HISTSIZE都设成了一个比较小的值。export HISTSIZE=80 export HISTFILESIZE=80 设置系统自动注销帐号功能 编辑/etc/profile文件，确保其中TMOUT参数设置了合适的值，例如600（10分钟），即可设置自动注销帐号功能。export TMOUT=600 关闭不必要的服务 确保/etc/xinetd.d/目录下的文件的存取权限值为600、拥有者为root。 确保/etc/services文件的存取权限值设定为644、拥有者为root。 编辑/etc/xinetd.d/目录下的文件，关闭所有不需要的服务，例如ftp、telnet、shell、login、exec、talk