suse LINUX常用的安全加固措施

11 © 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.4 用户口令管理
– 从设置密码的长度、有效期、修改周期方面保证了密码的健壮性
– 编辑/etc/login.defs文件，修改口令策略：
– PASS_MIN_LEN 8 用户口令长度不少于8个字符 – PASS_MAX_DAYS 90 口令最多可以90天不用修改 – PASS_MIN_DAYS 0 用户修改了密码之后，如果还需要再次修改，可以 马上更改
12
© 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.5 文件和目录访问权限管理
– 2.5.1 最小授权原则
为了保护Linux文件和目录的安全，即使是对合法用户也必须按照最小权限原则， 仅授予每个用户完成特定任务所必需的文件、目录访问权限。这种授权方式下，即 使攻击者攻破了某一普通帐号，但由于权限较低，所能对系统造成的破坏也就受到 限制了。
13
© 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.5 文件和目录访问权限管理
– 2.5.3 去掉PATH变量中的“.”
PATH环境变量指定执行命令要搜索的目录。超级用户的PATH变量在/etc/profile 文件中，编辑该文件，如果PATH环境变量中包含“.”，则予以删除。 对于普通帐号，编辑其主目录下的.profile文件：$HOME/.profile，同样删除 PATH变量中的“.”，并取消普通用户对他们的.profile文件修改权限。 另外，PATH变量中也不能包括可疑或目的不清的目录。
15 © 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.5 文件和目录访问权限管理
– 2.5.5 设置关键系统文件的许可权限
设置系统文件的访问权限 加强常用系统配置文件的访问权限控制：
（接上） # chmod # chmod # chmod # chmod # chmod # chmod # chmod # chmod # chmod 600 600 600 600 600 600 600 600 600 /etc/login.defs /etc/hosts.allow /etc/hosts.deny /etc/securetty /etc/security /etc/ssh/ssh_host_key /etc/ssh/sshd_config /var/log/lastlog /var/log/messages
常用的安全加固措施
LINUX
Zhiwei Zhong — Technical Consultant zhiwei.zhong@
1 © 2009 HP Confidential
议题
– 1、Linux安全加固概述 – 2、Linux常用的安全加固措施（以SuSE Linux为例） – 3、Linux安全加固的后续检查
10
© 2009 HP Confiden全加固措施
– 2.3用户帐号和环境变量管理
– 2.3.7 除非必要，不使用.rhost文件 部分双机业务情况需要.rhost文件，才能正常工作。但使用该文件存在很 大的安全风险，如果某用户的主目录中有一个.rhosts文件，且内容如下： ++ 这个文件将允许来自任何主机的任何用户无须密码就可以使用rlogin登陆。 如果确认不需要，请删除。如果确实需要保留，应确认该文件内不存在"+" 符号，，更不能存在"++" 。 rhosts.equiv文件有与.rhosts具有类似的作用。因此，处理方式 与.rhosts文件相同。 – 注意：在.rhosts和rhosts.equiv文件中不要使用'!' 和'#'符号，因为此处 这些并不表示注释信息。
– 记录进出机房的人员名单，安全级别要求较高的主机所在机房，考虑安 装录像监视系统、身份识别门禁系统等。 主机及控制台应避免让非维护人员接触，如给机柜上锁。
– 系统安装完毕后在BIOS中设置不从软盘、CD-ROM启动，防止未经授 权的从这些设备引导，避开Linux口令认证直接访问文件系统；要求严 格的可以考虑移除软驱、CD-ROM。
– 2.5.2 umask设置
在一般安全要求的下，将umask设为022，更高的安全性要求则应将umask改为 027甚至077。 编辑/etc/profile，配置umask变量值为027或077。对于非root用户，其umask 变量则视该用户所用shell类型，在其主目录的.profile、.login 或.cshrc文件中定 义。
5
© 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.3用户帐号和环境变量管理
2.3.1 确认系统只存在一个超级用户： 检查/etc/passwd文件，确认只存在一个UID为0的账号。默认情况 下该账号名为root。 2.3.2 禁用或删除不必要的帐号、用户组： 删除系统中所有不用的缺省用户和组账户（比如adm, lp, sync, shutdown, halt, news, uucp, operator, games, ftp等）。 如果某些用户当前不需要使用，但未来可能需要用到，可以先将该帐 户进行禁用（将文件中该帐号的默认/bin/bash改为/bin/false）。
– 在BIOS中设置管理员口令、开机口令，并设置启动时需要进行口令认 证。以防止未经授权进入、更改BIOS配置。 – 主机的关闭应由维护人员登陆系统，执行正式关机操作方可。因此，应 屏蔽使用CTRL+ALT+DEL键的关机功能，具体方法为： 编辑/etc/inittab文件，将如下行 ca::ctrlaltdel:/sbin/shutdown -t3 -r now行首加“#”号进行注释， 即修改为 #ca::ctrlaltdel:/sbin/shutdown -t3 -r now
– 因此要求： 现场实施工程师必须清楚研究本主机业务系统要求，对安全加固措施进 行认真评估取舍；在加固前实施备份，在加固后全面测试，才能确保既 提高操作系统安全性，又使业务系统可靠运行。
3
© 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.1物理安全和BIOS安全设置
– 2.5.4 设置具有setuid和setgid属性的文件的权限
如果一个程序被设置成了S位标志，那么普通用户就可以以root身份来运行这个程 序。对系统安全性有较大不利影响，所以应禁止所有不必要的SUID/SGID程序。 执行如下命令，查找系统中使用'S'位的程序，并把结果导入到文本文件中： # find / -type f \( -perm -04000 -o -perm -02000 \) -exec ls -lg {} \; > suid-sgid-results.txt 将导出的文本文件与系统初始安装时导出的文件对比，看出现“S”位变动的程序是 否为预期的。否则，使用如下命令去除“S”位权限： # chmod a-s [program_name]
14 © 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.5 文件和目录访问权限管理
– 2.5.5 设置关键系统文件的许可权限
加强常用系统配置文件的访问权限控制：
#chmod 700 /bin/rpm //只有root用户可以使用rpm命令，安装软件包 # chmod 740 /usr/X11R6/bin/xhost # chmod 664 /etc/hosts # chmod 644 /etc/alias # chmod 644 /etc/passwd # chmod 644 /etc/exports # chmod 644 /etc/issue # chmod 664 /var/log/wtmp # chmod 664 /var/log/utmp # chmod 644 /etc/services # chmod 600 /etc/xinetd.conf # chmod 600 /etc/shadow # chmod 600 /etc/netgroup （接下）
6
© 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.3用户帐号和环境变量管理
– 2.3.3 限制root用户可以登陆系统的tty设备： 建议只允许root在一个tty设备上登陆，如果需要从其它tty设备上登陆， 可以先使用普通用户登陆，而后使用”su”命令把身份转换为”root”。 编辑/etc/securetty文件，将不希望以root登陆的TTY设备注释掉，如：
• • • • • • • •
tty1 #tty2 #tty3 #tty4 #tty5 #tty6 #tty7
#tty8
这意味着root用户只能从tty1设备上登陆系统。
7 © 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.3用户帐号和环境变量管理
– 2.3.4 禁止root用户通过SSH远程登陆SuSE Linux主机： 编辑/etc/ssh/sshd_config文件，将如下行
16
© 2009 HP Confidential
2、SuSE Linux常用的安全加固措施
– 2.5 文件和目录访问权限管理
– 2.5.6 设置关键系统文件为不可更改属性
Linux中一个有 “i” 属性的文件是不能被改动的：不能删除或重命名，不能创建这 个 文件的链接，不能往这个文件里写数据。只有系统管理员才能设置和清除这个 属性。 使用chattr命令给下面的文件加上不可更改属性，从而防止非授权用户获得权限。 # chattr +i /etc/passwd # chattr +i /etc/shadow # chattr +i /etc/group # chattr +i /etc/xinetd.conf # chattr +i /etc/services 如果需要改变该文件，必须先清除这个不允许改变的标志，使用如下命令： # chattr -i /etc/xinetd.conf