HP-UX系统基准安全配置标准.docVIP

HP-UX系统 基准安全配置标准 TMT中国业务中心 信息管理部 2006年12月5日 目的 通过建立系统的安全标准，规范网络环境HP-UX系统的安全配置，并提供相应的指导；降低系统存在的安全风险，确保系统安全可靠的运行。范围 适合网络环境的所有HP-UX系统。标准维护与解释 本标准由中心每年审视次，根据审视结果修订标准，并颁布执行； 本标准的解释权归中心； 本标准自签发之日起生效。 1. 优化网络服务 4 1.1. 禁用不必要的系统服务 4 1.2. 卸载或禁用网络服务 4 2. 核心参数调整 5 2.1. 堆栈保护 5 2.2. 网络参数调整 5 3. 文件和目录权限 6 3.1. 修改passwd和group文件权限 6 4. 系统访问，认证与授权 7 4.1. 只允许root使用at/cron 7 5. 日志审计 7 5.1. 启用inetd日志 7 6. 用户帐号和环境 7 6.1. 设定密码策略 7 6.2. 确保没有空口令（/薄弱口令）帐号 7 6.3. 确保除root以外没有其它UID为0的帐号存在 8 6.4. 删除 .netrc、.rhosts以及 .shosts文件 8 优化网络服务 禁用不必要的系统服务 配置/etc/inetd.conf文件，将所有不是必须的服务全部禁用掉。一般建议禁用下列服务： Echo、discard、daytime、chargen、dtspc、exec、ntalk、finger、uucp、ident、auth、instl_boots、registrar、recserv、rpc.rstatd、rpc.rusersd、rpc.rwalld、rpc.sprayd、rpc.cmsd、kcms_server、printer、shell、login、tftp、bootps、kshell、klogin、rpc.rquotad、rpc.ttdbserver 卸载或禁用网络服务 一般建议卸载或禁用下列服务： NIS/NIS+、NFS、GUI login（X-Windows）、SNMP 对于Web、Mail、FTP、DNS等通用服务，如果不是必需，也请卸载或禁用。如果是必需服务程序，请尽量保持升级到最新版本。常见网络应用服务的升级更新网址如下： BIND：/products/BIND SendMail：/security/ Apache： WU-FTP：/ 禁用SNMP服务： 编辑启动文件/etc/rc.config.d/SnmpHpunix SNMP_HPUNIX_START=0 /etc/rc.config.d/SnmpMaster SNMP_MASTER_START=0 /etc/rc.config.d/SnmpMib2 SNMP_MIB2_START=0 /etc/rc.config.d/SnmpTrpDst SNMP_TRAPDEST_START=0 禁用sendmail服务： 编辑/etc/rc.config.d/mailservs: export SENDMAIL_SERVER=0 堆栈保护 /usr/sbin/kmtune -s executable_stack=0 mk_kernel kmupdate 网络参数调整 cd /etc/rc.config.d cat EOF nddconf # Increase size of half-open connection queue TRANSPORT_NAME[0]=tcp NDD_NAME[0]=tcp_syn_rcvd_max NDD_VALUE[0]=4096 # Reduce timeouts on ARP cache TRANSPORT_NAME[1]=arp NDD_NAME[1]=arp_cleanup_interval NDD_VALUE[1]=60000 # Drop source-routed packets TRANSPORT_NAME[2]=ip NDD_NAME[2]=ip_forward_src_routed NDD_VALUE[2]=0 # Dont forward directed broadcasts TRANSPORT_NAME[3]=ip NDD_NAME[3]=ip_forward_directed_broadcasts NDD_VALUE[3]=0 # Dont respond to unicast ICMP timestamp requests TRANSPORT_NAME[4]=ip NDD_NAME[4]=ip_respond_to_timestamp NDD_VALUE[4]=0 # Dont respond to broadc