Linux服务器安全运维(经验总结篇).pdf

《高性能Linux 服务器构建实战：系统安全、故障排查、自动化运维与集群架构》 第1 章 Linux 服务器安全运维 Chapter 0 1 1.1 账户和登录安全 安全是IT 行业一个老生常谈的话题了，从最近的“棱镜门”事件中折射出了很多安全 问题，处理好信息安全问题已变得刻不容缓。因此做为运维人员，就必须了解一些安全运维 准则，同时，要保护自己所负责的业务，首先要站在攻击者的角度思考问题，修补任何潜在 的威胁和漏洞。 账户安全是系统安全的第一道屏障，也是系统安全的核心，保障登录账户的安全，在一 定程度上可以提高服务器的安全级别，本节重点介绍下Linux 系统登录账户的安全设置方法。 1.1.1 删除特殊的账户和账户组 Linux 提供了各种不同角色的系统账号，在系统安装完成后，默认会安装很多不必要的 用户和用户组，如果不需要某些用户或者组，就要立即删除它，因为账户越多，系统就越不 安全，很可能被黑客利用，进而威胁到服务器的安全。 Linux 系统中可以删除的默认用户和组大致有如下这些：  可删除的用户，如adm,lp,sync,shutdown,halt,news,uucp,operator,games,gopher 等。  可删除的组，如adm,lp,news,uucp,games,dip,pppusers,popusers,slipusers 等。 删除的方法很简单，下面以删除games 用户和组为例介绍具体的操作。 删除系统不必要的用户使用下面命令： [root@localhost ~]# userdel games 删除系统不必要的组使用如下命令： [root@localhost ~]# groupdel games 1 机械工业出版社出版发行 《高性能Linux 服务器构建实战：系统安全、故障排查、自动化运维与集群架构》 有些时候，某些用户仅仅用做进程调用或者用户组调用，并不需要登录功能，此时可以 禁止这些用户登录系统的功能，例如要禁止nagios 用户的登录功能，可以执行如下命令： [root@localhost ~]# usermod -s /usr/sbin/nologin nagios 其实要删除哪些用户和用户组，不是固定的，要根据服务器的用途来决定，如果服务器 是用于Web 应用的，那么系统默认的apache 用户和组就无需删除；而如果服务器是用于数 据库应用的，那么默认apache 用户和组就建议要删除掉。 1.1.2 关闭系统不需要的服务 Linux 在安装完成后，绑定了很多没用的服务，这些服务默认都是自动启动的。对于服 务器来说，运行的服务越多，系统就越不安全，越少服务在运行，安全性就越好，因此关闭 一些不需要的服务，对系统安全有很大的帮助。 具体哪些服务可以关闭，要根据服务器的用途而定，一般情况下，只要系统本身用不到 的服务都认为是不必要的服务，例如某台Linux 服务器用于www 应用，那么除了httpd 服 务和系统运行是必须的服务外，其他服务都可以关闭。下面这些服务一般情况下是不需要的， 可以选择关闭： anacron、auditd、autofs、avahi-daemon、avahi-dnsconfd、bluetooth 、cpuspeed、firstboot、 gpm、haldaemon 、hidd 、ip6tables、ipsec、isdn、lpd、mcstrans 、messagebus 、netfs 、nfs 、nfslock 、 nscd 、pcscd portmap 、readahead_early、restorecond 、rpcgssd 、rpcidmapd 、rstatd 、sendmail、 setroubleshoot、yppasswdd ypserv 关闭服务自动启动的方法很简单，可以通