系统安全性测试

系统安全性

1设置登录超时退出机制

/etc/profile 中加入：

TMOUT=180 ---3 分钟无操作，退出

source /etc/profile --即时生效

2历史记录

/etc/profile 中修改：

HISTSIZE=30 ---保留历史记录30条

source /etc/profile --即时生效

3登录策略

/etc/pam.d/system-auth中：

auth required pam_env.so 下面添加：

auth required pam_tally.so onerr=fail no_magic_root deny=3 unlock_time=300 ----账户连续3次输入密码错误，锁定5分钟

4账户策略

/etc/login.defs 中修改：

PASS_MAX_DAYS 90 #新建用户的密码最长使用天数

PASS_MIN_DAYS 0 #新建用户的密码最短使用天数

PASS_MIN_LEN 8 #密码最小长度

PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

/etc/pam.d/system-auth 中添加：

password requisite pam_cracklib.so try_first_pass retry=3 minlen=8 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1

---passwd最小长度为8--

password requisite pam_cracklib.so try_first_pass retry=3 minlen=8 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 difok=3

---新密码和旧密码不能有3个以上字符重复---

password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok remember=5

---以前的5次之内的密码不能使用---

此设置如果要生效还依赖于一个文件，/etc/security/opasswd，如果不存在，自己创建：

touch /etc/security/opasswd

chown root:root /etc/security/opasswd

chmod 600 /etc/security/opasswd

--------------------------------------------------

配置项说明：

lcredit=-1：小写字母最少1位

ucredit=-1：大写字母最少1位

dcredit=-1：数字最少1位

ocredit=-1：其他字符最少1位

difok=3 ：新旧密码不同的位数

minlen=8 :密码的最少位数

-------------------------------------------------------

禁止root登录：

/etc/ssh/sshd_config 中修改：

PermitRootLogin改成no 重启服务/etc/rc.d/sshd restart 禁止普通用户su root ：

/etc/pam.d/su 中添加：

auth sufficient /lib/security/pam_rootok.so debug

auth required /lib/security/pam_wheel.so group=pay

将auth required pam_wheel.so use_uid 注释# 去掉-----仅pay组的用户可以用su作为root---

如果你希望用户test 能够用su作为root，可以运行如下命令usermod -G10 test

5停止服务

chkconfig bluetooth off

chkconfig firstboot off

chkconfig isdn off

chkconfig pcscd off

chkconfig restorecond off

chkconfig cupsd off

chkconfig mcstrans off

chkconfig avahi-daemon off

锁定无用的用户：

usermod -L adm

usermod -L lp

usermod -L shutdown

usermod -L halt

usermod -L news

usermod -L uucp

usermod -L operator

usermod -L games

usermod -L gopher

6监控用户

建立专门的nagios用户：

useradd nagios

--nagios 用户只能启动nagios服务，不能登录—

7控制用户使用资源限制

/etc/pam.d/login中添加：

session required pam_limits.so

/etc/ security/limits.conf中添加相应的资源限制：

test - nofile 20 ##限制用户打开文件的最大数目为20## test - nproc 20 ##限制用户进程的最大数目为20##

test - maxlogins 5 ##限制单个用户登录后，打开窗口数## test - memlock 64000 #限制用户可使用最大内存空间64M#

8安装clamav防火墙

安装包放在工作机x盘保留1个月中：clamav-0.97.tar.gz

groupadd clamav

useradd -g clamav -s /bin/false -c "Clam AntiVirus" clamav

tar zxvf clamav-0.97.tar.gz

cd clamav-0.97

./configure --prefix=/usr/local/clamav

--with-dbdir=/usr/local/share/clamav

make

make install

创建日志目录：

mkdir clamv

touch freshclam.log

chown clamav freshclam.log

touch clamd.log

chown clamav clamd.log

配置文件修改：

vi /usr/local/clamav/etc/clamd.conf

# Comment or remove the line below.

#Example ---------------这条注释掉LocalSocket /tmp/clamd.socket ---注释去掉LogFile /log/clamav/clamd.log ---设置你的log路径

vi /usr/local/clamav/etc/freshclam.conf

#Example ---------------这条注释掉UpdateLogFile --------设置你的log路径

创建启动脚本：

将启动脚本上传至/etc/init.d 中

chmod 755 /etc/init.d/clamd

启动ClamAV

/etc/init.d/clamd start

--数据库不建议启动扫描---

/usr/local/clamav/bin 里面使用的命令： ./clamscan –help 查看命令的使用方法 ./freshclam 手动升级病毒库