业务系统安全加固实施方案
安全加固实施方案
目录
1加固目的 (4)
2加固范围 (4)
3加固前准备工作 (4)
3.1加固前检查 (4)
3.2加固前备份 (5)
3.3影响分析 (6)
3.4加固操作流程 (7)
4加固实施 (7)
4.1账号管理、认证授权 (7)
4.1.1账号 (7)
4.1.2口令 (11)
4.1.3授权 (13)
4.2日志审计 (17)
4.2.1登录日志（必选） (17)
4.2.2操作审计 (18)
4.2.3本地记录系统日志 (18)
4.2.4远程记录日志 (19)
4.2.5SU操作日志 (20)
4.2.6应用日志 (20)
4.3IP协议安全 (21)
4.3.1使用SSH协议登录 (21)
4.3.2关闭不需要的IP服务端口 (22)
4.3.3鉴权远程登录的主机IP (23)
4.3.4禁止ICMP重定向 (24)
4.4屏幕保护 (25)
4.4.1超时退出登录界面 (25)
4.4.2定时锁屏 (26)
4.5文件系统及访问权限 (27)
4.5.1重要文件权限加固 (27)
4.5.2限制FTP等应用的访问目录 (27)
4.6补丁管理 (28)
4.6.1软件包裁减 (28)
4.6.2补丁包 (29)
4.7服务 (29)
4.7.1关闭不需要的服务 (29)
Email Server (31)
4.7.2NTP服务的安全配置 (31)
4.7.3NFS服务的安全配置 (32)
4.8内核调整 (33)
4.8.1防止堆栈缓冲溢出 (33)
4.9启动项 (34)
4.9.1启动项的安全配置 (34)
5加固后检查验证 (35)
5.1操作系统健康检查 (35)
5.2业务检查 (36)
6失败处理 (36)
6.1失败定义 (36)
6.2回退操作 (36)
1加固目的
随着电信业务不断发展，系统信息安全方面的投入的不断增多，在信息系统各个层面都
采取一些安全防护策略。而由于网络系统本身的复杂性，各种应用系统繁多，设备采用通用操作系统、数据库和IP协议，设备自身存在的安全问题日益突出。同时，一些现网设备不符合必要的安全要求，存在较大安全隐患。针对上述问题，中国移动集团根据设备的安全现状，制定了统一的《中国移动设备安全规范》，要求设备必须符合规范的相关要求。本次安全加固项目目的在于降低风险，提高系统的稳定性和安全性，符合中国移动通信集团与山东移动对业务系统设备的安全要求。
2加固范围
3加固前准备工作
3.1加固前检查
1）、检查需要加固的主机是否满足下列条件：
2）、检查需要加固的主机承载业务是否正常
3.2加固前备份
(时间点: 晚上10:00以后，具体时间点请和客户协商)
3.3影响分析
3.4加固操作流程
主机加固整体流程如下：
1）、检查当前需加固主机业务应用正常后，重启机器，再次确认业务状态正常。（对于双机类应用，检查主备机承担业务均正常后，重启备机，对备机执行加固）
2）、设备加固实施。
3）、加固后重启，业务验证。
提供相应的加固操作说明，脚本等等
4 加固实施
预计操作时间: 120分钟
操作人员:
操作影响：部分策略实施可能会造成业务中断, 在双机系统中，实施时需先实施备机，确保备机没问题后，再实施主机.
4.1 账号管理、认证授权
4.1.1账号
1.账号专人专用（必选）
编号：安全要求-设备-SOLARIS-ACCT-01
要求内容：
应按照不同的用户分配不同的账号，避免不同用户间共享账号，避免用户账号和设备间通信使用的账号共享。
操作方法：
为用户创建账号：
#useradd -m username #创建账号
#passwd username #设置密码
修改权限：
#chmod 750 user directory #其中755为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录)
操作验证:
1.验证方法：以新增的用户登录
2.预期结果：登录成功,并能进行常用操作
2. 删除无关用户（必选）
编号：安全要求-设备-SOLARIS-ACCT-02
要求内容：
应删除或锁定与设备运行、维护等工作无关的账号。系统内存在不
可删除的内置账号，包括root,bin等。
操作方法：
需要锁定的用户：daemon、bin、sys、adm、smmsp 、listen、gdm、webservd、nobody、、noaccess。
需要删除的用户：lp、uucp、nuucp、nobody4
删除用户：
#userdel username;
锁定用户：
1)修改/etc/shadow文件，用户名后加*LK*
2)将/etc/passwd文件中的shell域设置成/bin/false
#usermod -s /bin/false USERNAME
3)#passwd -l username
只有具备超级用户权限的使用者方可使用，#passwd -l username锁定用户,用
#passwd –d username解锁后原有密码失效，登录需输入新密码，修改/etc/shadow 能保留原有密码。
操作验证:
1.验证方法：使用删除或锁定的与工作无关的账号登录系统；
2.预期结果：被删除或锁定的账号无法登录成功；
3. root用户不能远程登录（必选）
编号：安全要求-设备-SOLARIS-ACCT-03
要求内容：
限制具备超级管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限账号后执行相应操作。
操作方法：
1、编辑/etc/default/login，加上：
CONSOLE=/dev/console # If CONSOLE is set, root can only login on that device.
此项只能限制root用户远程使用telnet登录。用ssh登录，修改此项不会看到效果的
2、如果限制root从远程ssh登录，修改/etc/ssh/sshd_config文件，将PermitRootLogin
yes改为PermitRootLogin no，重启sshd服务。
重启sshd服务：
Solaris10以前：
#/etc/init.d/sshd stop
#/etc/init.d/sshd start
Solaris10：
#svcadm disable ssh
#svcadm enable ssh
操作验证:
1.验证方法：
root从远程使用telnet登录；
普通用户从远程使用telnet登录；
root从远程使用ssh登录；
普通用户从远程使用ssh登录；
2.预期结果：
root远程登录不成功，提示“Not on system console”；
普通用户可以登录成功，而且可以切换到root用户；
4. 用户账号分组
编号：安全要求-设备-SOLARIS-ACCT-04
要求内容：
根据系统要求及用户的业务需求，建立多帐户组，将用户账号分配到相应的帐户组。
操作方法：
1、创建帐户组：
#groupadd –g GID groupname #创建一个组，并为其设置GID号，若不设GID，系统会自动为该组分配一个GID号；
#usermod –g group username #将用户username分配到group组中。
查询被分配到的组的GID：#id username
可以根据实际需求使用如上命令进行设置。
2、可以使用-g 选项设定新组的GID。0 到499 之间的值留给root、bin、mail 这
样的系统账号，因此最好指定该值大于499。如果新组名或者GID 已经存在，则返回错误信息。
当group_name字段长度大于八个字符，groupadd命令会执行失败；
当用户希望以其他用户组成员身份出现时，需要使用newgrp命令进行更改，如
#newgrp sys 即把当前用户以sys组身份运行；
操作验证:
1.验证方法：
查看组文件：cat /etc/group
2.预期结果：
可以查看到用户账号分配到相应的帐户组中；
或都通过命令检查账号是否属于应有的组：
#id username
4.1.2口令
1.口令加强（必选）
编号：安全要求-设备-SOLARIS-PWD-01
要求内容：
对于采用静态口令认证技术的设备，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。
操作方法：
2、Solaris10默认如下各行都被注释掉，并且数值设置和解释如下：
MINDIFF=3 # Minimum differences required between an old and a new
password.
MINALPHA=2 # Minimum number of alpha character required.
MINNONALPHA=1 # Minimum number of non-alpha (including numeric and special) required.
MINUPPER=0 # Minimum number of upper case letters required.
MINLOWER=0 # Minimum number of lower case letters required.
MAXREPEATS=0 # Maximum number of allowable consecutive repeating
characters.
MINSPECIAL=0 # Minimum number of special (non-alpha and non-digit)
characters required.
MINDIGIT=0 # Minimum number of digits required.
WHITESPACE=YES
操作验证:
验证方法：
1、检查口令强度配置选项是否可以进行如下配置：
i. 配置口令的最小长度；
ii. 将口令配置为强口令。
2、创建一个普通账号，为用户配置与用户名相同的口令、只包含字符或数字的简单
口令以及长度短于6位的口令，查看系统是否对口令强度要求进行提示；输入带有特殊符号的复杂口令、普通复杂口令，查看系统是否可以成功设置。
预期结果：
不符合密码强度的时候，系统对口令强度要求进行提示；
符合密码强度的时候，可以成功设置；
2.口令生存期为90天（必选）
编号：安全要求-设备-SOLARIS-PWD-02
要求内容：
对于采用静态口令认证技术的设备，帐户口令的生存期不长于90天。
操作方法：
#vi /etc/default/passwd文件：
MAXWEEKS=13密码的最大生存周期为13周；（Solaris 8&10）
PWMAX= 90 #密码的最大生存周期；（Solaris 其它版本）
操作验证:
1.验证方法：使用超过90天的帐户口令登录；
2.预期结果：登录不成功；
3.设置的密码在最近5次不能相同
编号：安全要求-设备-SOLARIS-PWD-03
要求内容：
对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近5次（含5次）内已使用的口令。
操作方法：
1、vi /etc/default/passwd ，修改设置如下
HISTORY＝5
2、
#HISTORY sets the number of prior password changes to keep and
# check for a user when changing passwords. Setting the HISTORY
# value to zero (0), or removing/commenting out the flag will
# cause all users' prior password history to be discarded at the
# next password change by any user. No password history will
# be checked if the flag is not present or has zero value.
# The maximum value of HISTORY is 26.
验证方法：
cat /etc/default/passwd ，设置如下
HISTORY＝5
预期结果：设置密码不成功
4.1.3授权
1.文件的权限（必选）
编号：安全要求-设备-SOLARIS-AUTH-01
要求内容：
在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。
操作方法：
重要系统文件权限清单如下或更小：
/etc/passwd root Sys-r--r--r--
/etc/shadow root Sys-r--------
/etc/default/login root Sys-r--r--r--
/etc/default/passwd root Sys-r--r--r--
/etc/system root Root-rw-r--r--
/etc/inittab root Sys-rw-r--r--
/etc/profile root Sys-rw-r--r--
/etc/vfstab root Root-rw-r--r--
1、通过chmod命令对目录的权限进行实际设置。
/etc/passwd 必须所有用户都可读，root用户可写–rw-r—r—
/etc/shadow 只有root可读–r--------
/etc/group 必须所有用户都可读，root用户可写–rw-r—r—
使用如下命令设置：
chmod 644 /etc/passwd
chmod 600 /etc/shadow
chmod 644 /etc/group
如果是有写权限，就需移去组及其它用户对/etc的写权限（特殊情况除外）
执行命令#chmod -R go-w /etc
操作验证:
1.验证方法：
1、利用管理员账号登录系统，并创建2个不同的用户；
2、创建用户时查看系统是否提供了用户权限级别以及可访问系统资源和命令的选项；
3、为两个用户分别配置不同的权限，2个用户的权限差异应能够分别在用户权限级别、
可访问系统资源以及可用命令等方面予以体现；
4、分别利用2个新建的账号访问设备系统，并分别尝试访问允许访问的内容和不允许
访问的内容，查看权限配置策略是否生效。
2.预期结果：
1、设备系统能够提供用户权限的配置选项，并记录对用户进行权限配置是否必须在用
户创建时进行；
2、记录能够配置的权限选项内容；
3、所配置的权限规则应能够正确应用，即用户无法访问授权范围之外的系统资源，而
可以访问授权范围之内的系统资源。
2.用户的缺省权限
编号：安全要求-设备-SOLARIS-AUTH-02
要求内容：
控制用户缺省访问权限，当在创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高限制。
操作方法：
1、设置默认权限：
vi /etc/default/login在末尾增加umask 027
2、更改应用用户主目录的权限：
修改目录及所有子目录的权限，操作举例如下：
Owner可读可写可执行、同组可读可执行、其他没有权限。
#chmod -R 750 /home/idea
3、如果用户需要使用一个不同于默认全局系统设置的umask，可以在需要的时候通
过命令行设置，或者在用户的shell启动文件中配置。
操作验证:
1.验证方法：
1、查看新建的文件或目录的权限，操作举例如下：
#ls –lR /home/idea ; #查看目录dir的权限
#cat /etc/default/login 查看是否有umask 027内容
2.预期结果：
权限设置符合实际需要；不应有的访问允许权限被屏蔽掉；
3.ftp权限控制
编号：安全要求-设备-SOLARIS-AUTH-03
要求内容：
控制FTP进程缺省访问权限，当通过FTP服务创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。
ftp话单时，需要在FTP服务器进行删除、移动、改名等权限。
操作方法：
a. 限制某些系统帐户不准ftp登录:
通过修改ftpusers文件，增加帐户
#vi /etc/ftpusers #Solaris 8
#vi /etc/ftpd/ftpusers #Solaris 10
b. 限制用户可使用FTP不能用Telnet，假如用户为ftpxll
创建一个/etc/shells文件, 添加一行/bin/true;
修改/etc/passwd文件，ftpxll:x:119:1::/home/ftpxll:/bin/true
注：还需要把真实存在的shell目录加入/etc/shells文件，否则没有用户能够登录ftp
c. 限制ftp用户登陆后在自己当前目录下活动
编辑ftpaccess，加入如下一行restricted-uid *(限制所有)，
restricted-uid username（特定用户）
ftpaccess文件与ftpusers文件在同一目录
d. 设置ftp用户登录后对文件目录的存取权限，可编辑/etc/ftpd/ftpaccess。
chmod no guest,anonymous
delete no guest,anonymous
overwrite no guest,anonymous
rename no guest,anonymous
umask no anonymous
说明：查看# cat ftpusers
说明: 在这个列表里边的用户名是不允许ftp登陆的。
root
daemon
bin
sys
adm
lp
uucp
nuucp
listen
nobody
noaccess
nobody4
操作验证:
1.验证方法：查看新建的文件或目录的权限，操作举例如下：
#more /etc/ftpusers #Solaris 8
#more /etc/ftpd/ftpusers #Solaris 10
#more /etc/passwd
#more /etc/ftpaccess #Solaris 8
#more /etc/ftpd/ftpaccess #Solaris 10
2.预期结果：权限设置符合实际需要；不应有的访问允许权限被屏蔽掉；
4.2 日志审计
本部分对SOLARIS操作系统设备的日志功能提出要求，主要考察设备所具备的日
志功能，确保发生安全事件后，设备日志能提供充足的信息进行安全事件定位。根据这些要求，设备日志应能支持记录与设备相关的重要事件，包括违反安全策略的事件、设备部件发生故障或其存在环境异常等，以便通过审计分析工具，发现安全隐患。如出现大量违反ACL规则的事件时，通过对日志的审计分析，能发现隐患，提高设备维护人员的警惕性，防止恶化。
4.2.1登录日志（必选）
编号：安全要求-设备-SOLARIS-LOG-01
要求内容：
设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。
操作方法：
修改文件：vi /etc/default/login ，设置SYSLOG=YES。,
SOLARIS10是wtmpx文件,Solaris8 是wtmp,wtmps,文件中记录着所有登录过主机的用户，时间，来源等内容，这两个文件不具可读性，可用last命令来看。
操作验证:
1.验证方法：
查看文件：more /etc/default/login 中的SYSLOG=YES
/var/adm/wtmpx或者wtmp,wtmps文件中记录着所有登录过主机的用户，时间，来源等内容，该文件不具可读性，可用last命令来看。
# last
2.预期结果：
列出用户账号、登录是否成功、登录时间、远程登录时的IP地址。
4.2.2 操作审计
编号：安全要求-设备-SOLARIS-LOG-02
要求内容：
设备应配置日志功能，记录用户对设备的操作，包括但不限于以下内容：账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的话费数据、身份
数据、涉及通信隐私数据。需记录要包含用户账号，操作时间，操作内容以及操作结果。
操作方法：
通过设置日志文件可以对每个用户的每一条命令进行纪录，这一功能默认是不开放的，为了打开它，需要执行/usr/lib/acct目录下的accton文件，格式如下
/usr/lib/acct/accton /var/adm/pacct，
执行读取命令lastcomm [user name]。
操作验证:
1.验证方法：# lastcomm [user name]
2.预期结果：能够显示出包含配置内容中所要求的全部内容。
4.2.3 本地记录系统日志
编号：安全要求-设备-SOLARIS-LOG-03
要求内容：
设备应配置日志功能，记录对与设备相关的安全事件。
操作方法：
修改配置文件vi /etc/syslog.conf，
配置如下类似语句：
*.err;kern.debug;daemon.notice; /var/adm/messages
定义为需要保存的设备相关安全事件。
操作验证:
1. 验证方法：
修改配置文件vi /etc/syslog.conf，
配置如下类似语句：
*.err;kern.debug;daemon.notice; /var/adm/messages
定义为需要保存的设备相关安全事件。
2. 预期结果：
查看/var/adm/messages，记录有需要的设备相关的安全事件。
4.2.4 远程记录日志
编号：安全要求-设备-SOLARIS-LOG-04
要求内容：
设备配置远程日志功能，将需要重点关注的日志内容传输到日志服务器。
操作方法：
修改配置文件vi /etc/syslog.conf，
加上这一行：
*.* @192.168.0.1
可以将"*.*"替换为你实际需要的日志信息。比如：kern.* / mail.* 等等。
可以将此处192.168.0.1替换为实际的IP或域名。
重新启动syslog服务，依次执行下列命令：
对solaris 10:
svcadm disable svc:/system/system-log
svcadm enable svc:/system/system-log
操作验证:
1.验证方法：查看日志服务器上的所收到的日志文件。
2.预期结果：设备配置远程日志功能，将需要重点关注的日志内容传输到日志服务器4.2.5 SU操作日志
编号：安全要求-设备-SOLARIS-LOG-05
要求内容：
设备应配置日志功能，记录用户使用SU命令的情况，记录不良的尝试记录。
操作方法：
修改文件：vi /etc/default/su 设置SYSLOG=YES.
使用以下方法使尝试登录失败记录有效：
touch /var/log/loginlog;
chmod 600 /var/log/loginlog;
chgrp sys /var/log/loginlog
查看sulog日志，记载着普通用户尝试su成为其它用户的纪录，
more /var/adm/sulog
操作验证:
1.验证方法：查看sulog日志，记载着普通用户尝试su成为其它用户的纪录
more /var/adm/sulog
2.预期结果：有类似如下格式记录：
SU 01/01 00:30 + console root-root
或
SU 08/20 13:44 + pts/2 xll-root
4.2.6 应用日志
编号：安全要求-设备-SOLARIS-LOG-06
要求内容：
系统上运行的应用/服务也应该配置相应日志选项，比如cron。
操作方法：
对所有的cron行为进行审计：
在/etc/default/cron里设置"CRONLOG=yes" 来记录corn的动作。
操作验证:
1.验证方法：查看日志存放文件，如cron的日志：more /var/cron/log
2.预期结果：日志中能够列出相应的应用/服务的详细日志信息；
4.3 IP协议安全
4.3.1使用SSH协议登录
编号：安全要求-设备-SOLARIS-IP-01
要求内容：
对于使用IP协议进行远程维护的设备，设备应配置使用SSH等加密协议。
操作方法：
1、Solaris 10以前的版本需另外安装，才能使用SSH。
Solaris 10启用SSH的命令：svcadm enable ssh