IBM p5 Server 安全设置检查

Rexd daemon必须禁止
Line Printer Daemon (lpd)设置
Lpd禁止
Post Office Protocol (POP)设置
POP服务禁止
□是□否
2.11 iFOR/LS系统设置
/var/ifor/i4ls.ini
/var/ifor/i4ls.ini需要做如下设置
DisableRemoteAdmin = yes
□是□否
Root的登录脚本中不能使用到非root帐户拥有的文件或拥有全局读写权限的文件。
□是□否
Root的cron jobs中不能使用到非root帐户拥有的文件或拥有全局读写权限的文件。
□是□否
对于root所运行的命令必须使用全路径. (例如. /bin/su)，或对于root的$PATH环境变量中不能含有相对当前目录(.),相对子目录(./)和相对父目录(..)定义；
□是□否
minlen密码最小长度8
(Minimum password length)
□是□否
histsize禁止重复使用密码次数2
(Number of previous password that can not be used)
□是□否
flags=NOCHECK参数在/etc/security/passwd。
□是□否
root帐号不允许进行远程登录操作，远程需要root的访问需求，必须要求使用普通个人用户帐号进行登录后通过SU命令切换到root帐号。
□是□否
#vi /etc/security/user
在/etc/security/user配置文件中的root帐号的配置段落必须存在rlogin = false的配置定义，以此来实现Root的物理终端console登录限制。
2.修改/etc/services在telnet前面加#注释
3.停inetd服务：stopsrc –s inetd
4.启动inetd服务：startsrc –s inetd
ssh如果需要远程登录，可使用ssh AIX为例，其它UNIX可参考相关资料
1.先从AIX安装介质的LUNIX盘中安装OPENSSL
□是□否
1.6限制登陆失败次数
/etc/security/user
loginretries帐号被锁住之前登陆失败的次数除root之外其他帐号的值设为5
□是□否
2．网络安全
2.1套接字队列长度定义用来防护SYN攻击
SYN洪水攻击，攻击者通过使用大量伪造的连接请求信息来填满被攻击服务器的套接字队列。
在/etc/文件中添加/usr/sbin/no -o clean_partial_conns=1定义，使得系统内核随机地删除在对了q0中的半打开套接字请求。
□是□否
2.从网上下载openssh-4.1p1_53.tar，并解压安装
□是□否
2.10“r”命令服务
如果应用没有要求，建议停用‘r’服务rsh，rlogin，rexec
.rhosts, .netrc，/etc/hosts.equiv不能存在
Remote Execution Daemon (rexd)设置
(Minimum number of alphabetic characters)
□是□否
mindiff与前一次密码的最少不同字符数1
(Number of characters not found in last password)
□是□否
minother最少的非字母数1
(Number of non-alphabetic characters)
含“allow”语句
□是□否
2.9远程登录的使用（telnet、ssh）
/etc/inetd.conf
/etc/services
telnet除特殊要求，一般禁止使用AIX为例，其它UNIX可参考相关资料
1.修改/etc/inetd.conf在telnet前面加#注释
□是□否
2.2重定向
/etc/rc.ne
IP重定向通常用来修改远程主机的路由表信息，必须禁止发送和接收重定向信息。
在/etc/添加如下配置定义：
/usr/sbin/no -o ipignoreredirects=1
/usr/sbin/no -o ipsendredirects=0
□是□否
snapp (no assigned GID)
□是□否
1.4
密码要求
/etc/security/user
maxage密码有效期限的最大周数13
(Maximum number of weeks that can pass before a password must be changed.)
□是□否
maxrepeats可重复的连续字符数2
□是□否
1.3默认系统帐户安全
安装过程会建立许多通常不需要使用的系统帐号。对于下列的系统用户帐号可以锁定或删除（如没有相关的使用需求）
Guest UUCP Nuucp Lpd Nobody
下列系统用户和组必须采用以下的UID和GIDs（Userids Groupids）
root:0 system:0 daemon:1 security:7
yppasswd daemon禁止
ypupdated daemon禁止
□是□否
2.14 /etc/hosts.deny和/etc/hosts.allow的配置规范
在/etc/hosts.deny文件的最后必须包含有如下配置行：ALL:ALL
或
在/etc/hosts.allow的最后包含有如下配置行：ALL:ALL:DENY
□是□否
2.8 FTP服务
Anonymous FTP
通常情况下，如果应用没有要求，应不允许Anonymous FTP访问etc/anonymousftp文件不存在。
对于root和默认系统帐号不能使用FTP服务。通过在/etc/ftpusers或/etc/vsftpd.ftpusers文件中列举相关的root和默认系统帐号名来实现。
(Number of repeating consecutive characters)
□是□否
minage密码有效期限的最少周数0
(Minimum number of weeks that must pass before a password can be changed)
□是□否
minalpha最少字母数1
lssrc –s sendmail
配置开机自动启动sendmail
编辑/etc/rc.tcpip，找到start /usr/lib/sendmail这一行，如果被注释掉了，取消注释，找到并设置qpi参数，缺省是30分钟，即qpi=30m(s代表秒，m代表分钟，h代表小时，d代表天，w代表星期)。m是缺省。
DisableRemoteNdlAdmin = yes
□是□否
2.12防止DoS攻击的系统设置
/var/ifor/i4ls.ini
防止DoS攻击的系统设置
如果没有要求，这些服务必须被禁止ECHO, CHARGEN, RSTAT, TFTP, RWALLD, RUSERSD, DISCARD, DAYTIME, BOOTPS, FINGER, SPRAYD, PCNFSD, REXD, SYSTAT, NETSTAT, RWHOD,UUCP
Trivial File Transfer Protocol (TFTP)系统设置
通常情况下，如果应用没有要求，TFTP应该禁止。禁止TFTP
如果一定要使用TFTP,应符合以下配置要求
TFTP访问控制通常情况下，如果应用没有要求，TFTP应该禁止。
当TFTP运行时，/etc/tftpaccess.ctl必须存在。
/usr/sbin/no -o ipsrcrouteforward=0
□是□否
2.4 ECHO回应广播
在/etc/文件中添加如下配置行：
/usr/sbin/no -o directed_broadcast=0
□是□否
2.5 hosts.equiv配置文件
/etc/hosts.equiv
/etc/hosts.equiv和/etc/hosts.lpd不能出现在任何一台UNIX服务器上，因为在这些文件中出现的服务器被认为是可以信任的，故此在从这些服务器通过Berkeley r系列命令进行登录操作是是不需要进行密码的。这要就导致了安全隐患。
Root帐户必须在每个系统本地有相关定义；
□是□否
#ls –l /root
Root帐户和目录下不能存在/root/.rhosts或/root/.netrc文件，如果存在也必须为空，而且文件所有者和所有组必须为root和root组。其相关权限为r-------；
□是□否
Root的登录脚本中不能使用到非root帐户拥有的文件或拥有全局读写权限的文件。
bin:2 bin:2 sys:3 sys:3
adm:4 adm:4 uucp:5 uucp:5
nuucp:6 mail:6 lpd:9 printq:9
imnadm (no assigned UID) cron:8
ipsec (no assigned UID) audit:10
ldap (no assigned UID) shutdown:21
□是□否
2.6 .rhosts配置文件
/etc/.rhosts
.rhosts不能出现在任何一台UNIX服务器上，因为此文件存在安全漏洞而且对于每个用户都可以单独进行修改；
□是□否
2.7 .netrc配置文件
/etc/.netrc
.netrc文件不能存在于任何一台UNIX服务器上，因为为了给多个网络应用如ftp，ncftp和curl提供服务可能会包含明码口令，从而造成一个安全漏洞。