Linux安全配置基线规范
【安全等保】Linux服务器基线安全--干货
【安全等保】Linux服务器基线安全--⼲货业务标签：医院信息集成平台、互联⽹医院、互联⽹护理、慢性病随访技术标签：ESB、ETL+CDC、NLP、FaaS、SaaS、Hadoop、MicroService技术微信群：加微信：wonter 发送：技术Q医疗微信群：加微信：wonter 发送：医疗Q关注公众号查看⼀、系统安全基线1.1 系统登录弱⼝令**描述**若系统使⽤弱⼝令，存在极⼤的被恶意猜解⼊侵风险，需⽴即修复。
**加固建议**执⾏命令 `passwd [<user>]`，然后根据提⽰输⼊新⼝令完成修改，其中 `<user>` 为⽤户名，如果不输⼊则修改的是当前⽤户的⼝令。
⼝令应符合复杂性要求：1、长度8位以上2、包含以下四类字符中的三类字符:英⽂⼤写字母(A 到 Z)英⽂⼩写字母(a 到 z)10 个基本数字(0 到 9)⾮字母字符(例如 !、$、#、%、@、^、&)3、避免使⽤已公开的弱⼝令，如：abcd.1234 、admin@123等1.2 确保root是唯⼀的UID为0的帐户**描述**除`root`以外其他`UID`为`0`的⽤户都应该删除，或者为其分配新的`UID`**加固建议**除`root`以外其他`UID`为`0`的⽤户，都应该删除，或者为其分配新的`UID`查看命令：cat/etc/passwd| awk-F: '($3 == 0) { print $1 }'|grep-v'^root$'1.3 开启地址空间布局随机化**描述**它将进程的内存空间地址随机化来增⼤⼊侵者预测⽬的地址难度，从⽽降低进程被成功⼊侵的风险**加固建议**在`/etc/sysctl.conf`或`/etc/sysctl.d/*`⽂件中设置以下参数：kernel.randomize_va_space = 2执⾏命令：sysctl -w kernel.randomize_va_space=21.4 设置⽤户权限配置⽂件的权限**描述**设置⽤户权限配置⽂件的权限**加固建议**执⾏以下5条命令chown root:root /etc/passwd/etc/shadow/etc/group/etc/gshadowchmod0644 /etc/groupchmod0644 /etc/passwdchmod0400 /etc/shadowchmod0400 /etc/gshadow1.5 访问控制配置⽂件的权限设置**描述**访问控制配置⽂件的权限设置**加固建议**运⾏以下4条命令：chown root:root /etc/hosts.allowchown root:root /etc/hosts.denychmod644 /etc/hosts.denychmod644 /etc/hosts.allow如果您是`redhat8`⽤户chown root:root /etc/ssh/sshd_configchmod600 /etc/ssh/sshd_config1.6 确保SSH LogLevel设置为INFO**描述**确保`SSH LogLevel`设置为`INFO`,记录登录和注销活动**加固建议**编辑 `/etc/ssh/sshd_config` ⽂件以按如下⽅式设置参数(取消注释):LogLevel INFO1.7 确保rsyslog服务已启⽤安全审计**描述**确保`rsyslog`服务已启⽤，记录⽇志⽤于审计**加固建议**运⾏以下命令启⽤`rsyslog`服务：systemctl enable rsyslogsystemctl start rsyslog1.8 确保SSH MaxAuthTries设置为3到6之间**描述**设置较低的`Max AuthTrimes`参数将降低`SSH`服务器被暴⼒攻击成功的风险。
Linux安全配置风险评估检查表
...................................................................1.1 目的 (1)1.2 合用范围 (1)1.3 合用版本 (1).....................................................2.1 账号 (2)2.1.1 用户口令设置 (2)2.1.2 root 用户远程登录限制 (2)2.1.3 检查是否存在除root 之外UID 为0 的用户 (3)2.1.4 root 用户环境变量的安全性 (3)2.2 认证 (4)2.2.1 远程连接的安全性配置 (4)2.2.2 用户的umask 安全配置 (4)2.2.3 重要目录和文件的权限设置 (4)2.2.4 查找未授权的SUID/SGID 文件 (5)2.2.5 检查任何人都有写权限的目录 (6)2.2.6 查找任何人都有写权限的文件 (6)2.2.7 检查没有属主的文件 (7)2.2.8 检查异常隐含文件 (7)...............................................................3.1 日志 (9)3.1.1 syslog 登录事件记录 (9)3.2 审计 (9)3.2.1 Syslog.conf 的配置审核 (9)...............................................................4.1 系统状态 (11)4.1.1 系统core dump 状态 (11)本文档规定了LINUX 操作系统的主机应当遵循的操作系统安全性设置标准，本文档旨在指导系统管理人员或者安全检查人员进行LINUX 操作系统的安全合规性检查和配置。
本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
LINUX 系列服务器；操作系统Linux 用户口令安全基线要求项SBL-Linux-02-01-01帐号与口令-用户口令设置1 、问询管理员是否存在如下类似的简单用户密码配置，比如：root/root, test/test, root/root12342、执行：more /etc/login，检查PASS_MAX_DAYS/PASS_MIN_LEN/PASS_MIN_DAYS/PASS_RN_AGE 参数3、执行：awk -F: '($2 == "") { print $1 }' /etc/shadow, 检查是否存在空口令账号建议在/etc/login 文件中配置：PASS_MIN_LEN=6不允许存在简单密码，密码设置符合策略，如长度至少为6不存在空口令账号操作系统Linux 远程登录安全基线要求项SBL-Linux-02-01-02帐号与口令-root 用户远程登录限制执行：more /etc/securetty，检查Console 参数建议在/etc/securetty 文件中配置：CONSOLE = /dev/tty01操作系统Linux 超级用户策略安全基线要求项SBL-Linux-02-01-03帐号与口令-检查是否存在除root 之外UID 为0 的用户执行：awk -F: '($3 == 0) { print $1 }' /etc/passwd返回值包括“root”以外的条目，则低于安全要求；补充操作说明UID 为0 的任何用户都拥有系统的最高特权，保证惟独root 用户的UID 为0操作系统Linux 超级用户环境变量安全基线要求项SBL-Linux-02-01-04帐号与口令-root 用户环境变量的安全性执行：echo $PATH | egrep '(^|:)(\.|:|$)，' 检查是否包含父目录，执行：find `echo $PATH | tr ':' ' '` -type d \( -perm -002 -o -perm -020 \) -l 检查是否包含组目录权限为777 的目录返回值包含以上条件，则低于安全要求；补充操作说明确保root 用户的系统路径中不包含父目录，在非必要的情况下，不应包含组权限为777 的目录操作系统Linux 远程连接安全基线要求项SBL-Linux-02-02-01帐号与口令-远程连接的安全性配置执行：find / -name .netrc，检查系统中是否有.netrc 文件，执行：find / -name .rhosts ，检查系统中是否有.rhosts 文件返回值包含以上条件，则低于安全要求；补充操作说明如无必要，删除这两个文件操作系统Linux 用户umask 安全基线要求项SBL-Linux-02-02-02帐号与口令-用户的umask 安全配置执行：more /etc/profile more /etc/csh.login more /etc/csh.cshrc more /etc/bashrc 检查是否包含umask 值umask 值是默认的，则低于安全要求补充操作说明建议设置用户的默认umask=077操作系统Linux 目录文件权限安全基线要求项SBL-Linux-02-02-03文件系统-重要目录和文件的权限设置执行以下命令检查目录和文件的权限设置情况：ls –l /etc/ls –l /etc/rc.d/init.d/ls –l /tmpls –l /etc/inetd.confls –l /etc/passwdls –l /etc/shadowls –l /etc/groupls –l /etc/securityls –l /etc/servicesls -l /etc/rc*.d若权限过低，则低于安全要求；补充操作说明对于重要目录，建议执行如下类似操作：# chmod -R 750 /etc/rc.d/init.d/*这样惟独root 可以读、写和执行这个目录下的脚本。
各类操作系统安全基线配置
各类操作系统安全配置要求及操作指南检查模块支持系统版本号Windows Windows 2000 以上Solaris Solaris 8 以上AIX AIX 5.X以上HP-UNIX HP-UNIX 11i以上Linux 内核版本2.6以上Oracle Oracle 8i以上SQLServerMicrosoft SQL Server 2000 以上MySQL MySQL 5.x以上IIS IIS 5.x以上Apache Apache 2.x 以上Tomcat Tomcat 5.x以上WebLogic WebLogic 8.X以上Windows操作系统安全配置要求及操作指南I目录目录 (I)前言 (II)1 范围 (1)2 规范性引用文件 (1)3 缩略语 (1)4 安全配置要求 (2)4.1 账号 (2)4.2 口令 (3)4.3 授权 (5)4.4 补丁 (7)4.5 防护软件 (8)4.6 防病毒软件 (8)4.7 日志安全要求 (9)4.8 不必要的服务 (11)4.9 启动项 (12)4.10 关闭自动播放功能 (13)4.11 共享文件夹 (13)4.12 使用NTFS 文件系统 (14)4.13 网络访问 (15)4.14 会话超时设置 (16)4.15 注册表设置 (17)附录A：端口及服务 (18)II前言为了在工程验收、运行维护、安全检查等环节，规范并落实安全配置要求，编制了一系列的安全配置要求及操作指南，明确了操作系统、数据库、应用中间件在内的通用安全配置要求及参考操作。
该系列安全配置要求及操作指南的结构及名称预计如下：（1）《Windows 操作系统安全配置要求及操作指南》（本规范）（2）《AIX操作系统安全配置要求及操作指南》（3）《HP-UX 操作系统安全配置要求及操作指南》（4）《Linux操作系统安全配置要求及操作指南》（5）《Solaris操作系统安全配置要求及操作指南》（6）《MS SQL server数据库安全配置要求及操作指南》（7）《MySQL 数据库安全配置要求及操作指南》（8）《Oracle数据库安全配置要求及操作指南》（9）《Apache安全配置要求及操作指南》（10）《IIS安全配置要求及操作指南》（11）《Tomcat 安全配置要求及操作指南》（12）《WebLogic 安全配置要求及操作指南》11 范围适用于使用Windows 操作系统的设备。
Linux安全配置规范
Linux安全配置规范适⽤于redhat、suse、fedroa、Linux 操作系统。
本规范明确了设备的基本配置安全要求，为设备⼯程验收和设备运⾏维护环节明确相关安全要求提供指南。
出⾃公众号：⼯程师江湖⼀. Linux企业版安全配置规范1.1 ⼝令帐号1.1.1 检查空⼝令帐号编号安全要求-系统-Linux配置-2.1.1要求内容检查系统帐号和⼝令，禁⽌使⽤空⼝令帐号操作指南：以root⾝份执⾏：# awk -F: '($2 == "") { print $1 }' /etc/shadow 检查空⼝令帐号#pwck 帐号检查# cat /etc/passwd# cat /etc/shadow# cat /etc/group对照检查结果，询问管理员有效帐号有⽆异常，有⽆弱密码，建议删除不必要帐户并修改简单密码为复杂密码检测⽅法：# awk -F: '($2 == "") { print $1 }' /etc/shadow 列出空密码帐号实施风险：可能影响某些管理维护的应⽤程序备注：1.1.2 检查Root帐号编号安全要求-系统-Linux配置-2.1.2要求内容检查系统帐号和⼝令，检查是否存UID为0的帐号操作指南：以root⾝份执⾏：# awk -F: '($3 == 0) { print $1 }' /etc/passwd 检查UID为0的帐号检测⽅法：# awk -F: '($3 == 0) { print $1 }' /etc/passwd 列出UID为0的帐号实施风险：可能影响某些管理维护的应⽤程序备注：1.1.3 检查帐号超时注销编号安全要求-系统-Linux配置-2.2.3要求内容应该设置帐号超时⾃动注销操作指南：以root⾝份执⾏：vi /etc/profile增加export TMOUT=600检测⽅法：# cat /etc/profile | grep TMOUT实施风险：可能影响某些管理维护的应⽤程序备注：1.1.4 root⽤户远程登录限制编号安全要求-系统-Linux配置-2.1.4要求内容限制root远程登录要求内容限制root远程登录操作指南：/etc/securetty⽂件中配置：CONSOLE = /dev/tty01检测⽅法：执⾏：more /etc/securetty，检查Console参数实施风险：可能影响某些管理维护的应⽤程序备注：1.1.5 检测密码策略编号安全要求-系统-Linux配置-2.1.5要求内容检查系统密码策略，是否符合必要的强度操作指南：以root⾝份执⾏：# vi /etc/login.defs建议设置参数如下：PASS_MAX_DAYS 180 最⼤⼝令使⽤⽇期PASS_MIN_LEN 8 最⼩⼝令长度PASS_WARN_AGE 30 ⼝令过期前警告天数#vi /etc/pam.d/system-authpassword required /lib/security/pam_cracklib.so retry=3type= minlen=8 difok=3最⼩⼝令长度设置为8检测⽅法：# cat /etc/login.defs#cat /etc/pam.d/system-auth实施风险：可能影响管理维护备注：1.1.6 检查Grub/Lilo密码编号安全要求-系统-Linux配置-2.1.6要求内容检查系统引导管理器是否设置密码检查⽅法使⽤命令“cat /etc/grub.conf|grep password”查看grub是否设置密码使⽤命令“cat /etc/lilo.conf|grep password”查看lilo是否设置密码操作指南为grub或lilo设置密码参考操作：vi /etc/grub.confdefault=1timeout=10splashimage=(hd0,7)/boot/grub/splash.xpm.gzpassword=123456title Fedora Core (2.4.22-1.2061.nptl)lockroot (hd0,7)实施风险：可能影响某些管理维护的应⽤程序1.2 系统服务1.2.1 关闭不需要的服务编号安全要求-系统-Linux配置-2.2.1要求内容禁⽤不必要的服务操作指南：以root⾝份执⾏# chkconfig --list (debian不⽀持)使⽤命令“chkconfig --level <init级别> <服务名>on|off|reset”设置服务在个init级别下开机是否启动检测⽅法：chkconfig –list检测⽅法：chkconfig –list查看是否有不需要的服务实施风险：可能影响应⽤备注：1.2.2 openssh安全配置编号安全要求-系统-Linux配置-2.2.2要求内容检查系统openssh安全配置，禁⽌使⽤协议1，和使⽤root直接登录操作指南：以root权限执⾏命令：# cat /etc/ssh/sshd_config或#cat /etc/ssh2/sshd2_configOpenssh应禁⽌使⽤协议1,禁⽌root直接登录等，编辑sshd_config⽂件，设置：Protocol 2StrictModes yesPermitRootLogin noPrintLastLog yesPermitEmptyPasswords no检测⽅法：# cat /etc/ssh/sshd_config或#cat /etc/ssh2/sshd2_config是否符合以上设置实施风险：⽆备注：1.2.3 SNMP团体字编号安全要求-系统-Linux配置-2.2.3要求内容如果打开了SNMP协议，snmp团体字设置不能使⽤默认的团体字操作指南：以root⾝份执⾏：#cat /etc/snmp/snmpd.conf应禁⽌使⽤public、private默认团体字，使⽤⽤户⾃定义的团体字，例如将以下设置中的public替换为⽤户⾃定义的团体字：com2sec notConfigUser default public如⽆必要，管理员应禁⽌使⽤snmp服务检测⽅法：#cat /etc/snmp/snmpd.conf实施风险：可能影响应⽤备注：1.2.4 禁⽤ctlraltdel组合键编号安全要求-系统-Linux配置-2.2.4要求内容禁⽤ctlr+alt+del组合键操作指南：检查系统是否禁⽤ctlraltdel组合键，以root⾝份执⾏以下命令：# vi /etc/inittab# grep –i ctrlaltdel /etc/inittab禁⽌ctrl+alt+del组合键，以root⾝份编辑/etc/inittab⽂件,注释如下⼀⾏后重起系统：ca::ctrlaltdel:/sbin/shutdown -t3 -r now检测⽅法：# grep –i ctrlaltdel /etc/inittab# ca::ctrlaltdel:/sbin/shutdown -t3 -r now （表⽰已经禁⽤）实施风险：需要重起系统，可能影响应⽤备注：1.2.5 检查root 路径编号安全要求-系统-Linux配置-2.2.5要求内容检查系统root⽤户环境变量path设置中是否包含”.”(root为了⽅便使⽤在他的当前路径末尾加了个点"."，存在安全隐患)操作指南：root⽤户环境变量path中不应包含当前⽬录”.“以root⾝份执⾏如下命令：# echo $PATH/usr/local/sbin:/sbin:/bin:/usr/sbin:/usr/bin:/root/bin:.检测⽅法：# echo $PATH实施风险：⽆备注：1.2.6 检查信任主机编号安全要求-系统-Linux配置-2.2.6要求内容关闭系统信任主机操作指南：．rhosts⽂件中存储的是可以直接远程访问本系统的主机及⽤户名。
操作系统安全基线
序号控制点基线要求1补丁管理应及时更新系统补丁2服务管理应删除已过时且不安全的服务3账号管理删除或锁定多余的默认系统用户4口令策略密码包括3种字符(数字、小写字母、大写字母和特殊符)，口令长度至少8位。
5口令策略设置本地和远程登录5次失败后，普通账户锁定10分钟，root不受影响6认证授权设置10分钟无键盘操作，则退出终端。
7认证授权限制root直接远程登录8日志配置应配置日志功能，记录所有用户所执行的程序，程序执行情况信息等等9日志配置修改日志配置文件syslog.conf/rsyslog.conf权限为400(管理员只读)10协议安全使用SSH等相对安全的加密协议进行远程连接11操作安全记录bash命令历史记录12权限设置对重要的口令文件权限进行限制，防止恶意修改13权限设置拒绝系统默认的系统帐号使用ftp服务linux类基线：共13项，适用于centos 7+（注意：部分配置完成后需要重操作指南根据组织的信息安全策略要求，为系统安装系统安全补丁检测以下服务是不是运行中，若不需要以下服务，则删除服务：telnet . rsh . NIS . TFTP . Talk . chargen-dgram . daytime-dgram .echo-dgram . tcpmux-server若不需要以下系统默认账户，建议删除或锁定：adm . lp . mail . uucp . operator . games . gopher . ftp . nobody . rpm . dbus. avahi . mailnull . smmsp . nscd . vcsa . rpc . rpcuser . nfsnobody . sshd .pcap . ntp .haldaemon . distcache . apache . webalizer . squid . xfs .gdmsabayon . named删除用户：#userdel username;锁定用户：1.修改/etc/shadow文件，用户名后的第一个冒号后加一个感叹号"!"2.将/etc/passwd文件中的shell域设置成/bin/nologin#vi /etc/security/pwquality.confminlen = 8 密码至少8位minclass = 3 至少3种字符指定当本地用户登陆失败次数等于或者大于允许的重试次数则账号被锁定：1.本地登录失败锁定：#vi /etc/pam.d/system-auth 在第2行添加：auth required pam_tally2.so deny=5 unlock_time=600 no_lock_time2.远程登录失败锁定：#vi /etc/pam.d/sshd 在第2行添加：auth required pam_tally2.so deny=5 unlock_time=600 no_lock_time#vim /etc/ssh/sshd_config将"#ClientAliveInterval 0"更改为"ClientAliveInterval 600"重启SSH服务：service sshd restart#vi /etc/ssh/sshd_config将"PermitRootLogin yes"改为"PermitRootLogin no"重启SSH服务：service sshd restartaccton默认是不开启，需要先创建记录文件再开启：#touch /var/log/pacct 创建记录文件#accton /var/log/pacct 开启并记录信息(#accton off 关闭)1.centos6以前版本#chmod 400 /etc/syslog.conf2.centos7+版本#chmod 400 /etc/rsyslog.conf#/etc/init.d/sshd start 启动SSH#/etc/init.d/sshd stop 停止SSH#/etc/init.d/sshd status 查看运行状态#chkconfig --level 2345 sshd on 设置开机启动1).#vi /etc/profile 在底部添加以下代码：#------------------------------------------#historyHISTFILESIZE=4096HISTSIZE=4096USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'` if [ -z $USER_IP ]thenUSER_IP=`hostname`fiHISTTIMEFORMAT="[%F %T] [`whoami`: $USER_IP] "export HISTTIMEFORMAT#------------------------------------------2).#source /etc/profile 重新加载配置文件对/etc/passwd、/etc/shadow、/etc/ group进行以下权限配置：#chown root：/etc/passwd /etc/shadow /etc/group#chmod 644 /etc/passwd /etc/group#chmod 400 /etc/shadow1).#touch /etc/ftpusers 创建文件2).#chmod 644 /etc/ftpusers 配置访问限制3).vi /etc/ftpusers 将不使用的系统默认账户添加进文件里rootdaemonsysy...需要重启服务/系统）检测方法1、 判定条件服务器不存在中高危漏洞。
绿盟Linux安全配置基线
绿盟Linux安全配置基线绿盟安全加固项目Linux 系统安全配置基线绿盟2009年 3月绿盟第 1 页共 15 页绿盟安全加固项目版本版本控制信息更新日期更新人审批人创建 2009年1月 V1.0备注:1. 若此文档需要日后更新～请创建人填写版本控制表格～否则删除版本控制表格。
绿盟第 2 页共 15 页绿盟安全加固项目目录第1章概述 ..................................................................... ............................................... 错误～未定义书签。
1.1 目的 ..................................................................... ...............................................错误～未定义书签。
1.2 适用范围 ...........................................................................................................错误～未定义书签。
1.3 适用版本 ..................................................................... ......................................错误～未定义书签。
1.4 实施 ..................................................................... ...............................................错误～未定义书签。
操作系统安全基线配置
操作系统安全基线配置要求为不同用户分配独立的帐户，不允许多个用户共享同一帐户。
应删除或锁定过期或无用的帐户。
只允许指定授权帐户对主机进行远程访问。
应根据实际需要为各个帐户分配最小权限。
应对Administrator帐户进行重命名，并禁用Guest（来宾）帐户。
要求操作系统帐户口令长度至少为8位，且应为数字、字母和特殊符号中至少2类的组合。
设置口令的最长使用期限小于90天，并配置操作系统用户不能重复使用最近5次（含5次）已使用过的口令。
当用户连续认证失败次数为5次时，应锁定该帐户30分钟。
2.2.服务及授权安全应关闭不必要的服务。
应设置SNMP接受团体名称不为public或弱字符串。
确保系统时间与NTP服务器同步。
配置系统DNS指向企业内部DNS服务器。
2.3.补丁安全应确保操作系统版本更新至最新。
应在确保业务不受影响的情况下及时更新操作系统补丁。
2.4.日志审计应合理配置系统日志审核策略。
应设置日志存储规则，保证足够的日志存储空间。
更改日志默认存放路径，并定期对系统日志进行备份。
2.5.系统防火墙应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。
2.6.防病毒软件应安装由总部统一部署的防病毒软件，并及时更新。
2.7.关闭自动播放功能应关闭Windows自动播放功能。
2.8.共享文件夹应关闭Windows本地默认共享。
设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。
2.9.登录通信安全应禁止远程访问注册表路径和子路径。
设置远程登录帐户的登录超时时间为30分钟。
禁用匿名访问命名管道和共享。
1.帐户共用：每个用户应分配一个独立的系统帐户，不允许多个用户共享同一个帐户。
2.帐户锁定：过期或无用的帐户应该被删除或锁定。
3.超级管理员远程登录限制：应限制root帐户的远程登录。
4.帐户权限最小化：为每个帐户设置最小权限，以满足其实际需求。
5.口令长度及复杂度：操作系统帐户口令长度应至少为8位，且应包含数字、字母和特殊符号中的至少2种组合。
LINUX操作系统配置规范
LINUX操作系统配置规范LINUX操作系统配置规范一：引言本文档旨在为管理员提供一个详细的LINUX操作系统配置规范。
该规范旨在确保操作系统的稳定性、安全性和性能优化。
管理员应严格遵循该规范执行操作系统的配置。
二：操作系统安装和基础配置1. 系统安装1.1 准备安装介质和相关驱动程序1.2 执行操作系统安装1.3 设置主机名和网络配置1.4 创建管理员账户和设置密码2. 系统更新和补丁管理2.1 定期更新操作系统和安全补丁2.2 确保使用合法和可信的软件源3. 防火墙设置3.1 启用防火墙3.2 配置适当的规则以限制网络访问3.3 监控防火墙日志以及及时处理异常情况4. 安全设置4.1 禁用不必要的服务和端口4.2 配置安全登录设置，包括SSH以及远程登录4.3 定期更新管理员密码4.4 设置账户锁定策略和密码策略4.5 配置主机防护工具，如SELinux或AppArmor5. 性能优化配置5.1 合理调整操作系统参数，优化内存、磁盘和网络性能 5.2 配置日志管理，避免过度记录日志5.3 监控系统资源使用情况，及时调整配置6. 安全备份和恢复策略6.1 定期备份操作系统和相关数据6.2 测试备份和恢复策略的有效性6.3 存储备份数据的安全策略，包括加密和存储位置7. 监控和告警设置7.1 配置系统监控工具，例如Zabbix、Nagios等7.2 设置合适的告警策略，及时发现和解决系统异常8. 日志管理8.1 配置日志审计规则，记录关键系统操作8.2 定期审查系统日志，发现异常情况并采取相应措施9. 系统维护流程9.1 定期执行系统维护任务，如磁盘碎片整理、日志清理等 9.2 管理接口和升级流程9.3 建立系统更新和维护的文档和计划10. 硬件和软件要求10.1 硬件要求：根据实际需求配置合适的硬件设备10.2 软件要求：操作系统版本和必要的软件组件11. 系统文档11.1 创建操作系统配置文档，包括所有配置的详细信息 11.2 更新文档以反映系统的变化本文档涉及附件：无本文所涉及的法律名词及注释：1. 操作系统安装：指在计算机上安装并配置操作系统的过程。
Linux安全加固基线明细
级别 基线详述
应按照不同的用户分配不同的账号，避免不同 3 用户间共享账号，避免用户账号和设备间通信
使用的账号共享。
CentOS-2
3 应删除与运行、维护等工作无关的账号。
CentOS-3 CentOS-4 CentOS-5
CentOS-6 CentOS-7 CentOS-8
少1个，为正数如3表示最多3个，minclass特殊字符个数。
（3）也可以修改文件/etc/login.defs来定义密码长度，配置如下内容：
PASS_MIN_LEN=10
1、参考配置
（1）设置密码生存周期 修改文件/etc/login.defs，配置如下内容：
确认
PASS_MAX_DAYS=60
1、参考配置
控制用户缺省访问权限，当在创建新文件或目
1
录时 应屏蔽掉新文件或目录不应有的访问允 许权限。防止同属于该组的其它用户及别的组
的用户修改该用户的文件或更高限制。
控制FTP进程缺省访问权限，当通过FTP服务创 3 建新文件或目录时应屏蔽掉新文件或目录不应
有的访问允许权限。
在保证业务网络稳定运行的前提下，安装最新 的OS补丁。补丁在安装前需要测试确定。
1 启用记录cron行为日志功能
CentOS-18 CentOS-19
CentOS-20
CentOS-21 CentOS-22 CentOS-23
1 关闭不必要的服务。
2
修改系统banner，避免泄漏操作系统名称，版 本号，主机名称等，并且给出登陆告警信息
1
.rhosts，.netrc，hosts.equiv等文件都具有 潜在的危险，如果没有应用，应该删除
Linux安全配置规范
Linux 安全配置规范
【说明】NFS 客户端服务一般用来访问其他 NFS 服务器。除非十分必要，否 则应关闭此服务。可采用以下方式开放此服务。
【具体配置】 chkconfig --level 345 nfslock on chkconfig --level 345 autofs on
【具体配置】 Xinetd、SSH 和 SSL、防火墙配置参见对应系统的用户手册，此不详述。
2.3. 最小化启动服务
2.3.1. 设置 daemon 权限 unmask
【说明】默认系统 umask 至少为 022，以防tc/rc.d/init.d 文件，umask 值为 022。 同时检查/etc/rc.d/init.d 中其他启动脚本权限是否为 755。
Linux 安全配置规范
1. 概述
Linux 安全配置规范
1.1. 目的
本规范明确了 Linux 操作系统的安全配置方面的基本要求。为了提高 Linux 操 作系统的安全性而提出的。
1.2. 范围
本规范适用于 XXXX 使用的 Linux 操作系统版本。
1.3. 概述
本文档以典型安装的 RedHat Linux 为对象撰写而成，其他版本如 SUSE Linux 均基本类似，根据具体情况进行适当修改即可。
的安全隐患。一般可能存在以下不必要的服务：
apmd canna FreeWnn gpm hpoj innd irda isdn kdcrotate lvs mars-nwe oki4daemon privoxy rstatd rusersd rwalld rwhod spamassassin wine nfs nfslock autofs ypbind ypserv yppasswdd portmap smb netfs lpd apache httpd tux snmpd named postgresql mysqld webmin kudzu squid cups
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
SuSELinux
安全配置基线规范
V1.1
2019年3月18日
目录
修订记录2
第1章概述3
1.1目的3.
1.2适用范围3.
第1页共15页
1.3实施3.
1.4例外条款4.
1.5评审与修订4.
第2章帐户、权限、日志4
2.1帐户4.
2.1.1禁止多人共享账号4.
2.1.2禁用存在空密码帐户5
2.1.3禁止存在除root外UID为0的账号5
2.1.4口令复杂度6.
2.1.5口令生存周期6.
2.2权限7.
2.2.1文件与目录缺省权限控制7
2.2.2帐号文件权限设置7.
2.2.3设置关键文件属性8.
2.3日志8.
2.3.1记录帐户登录日志8
第3章系统服务安全9
3.1远程访问服务9.
3.1.1限制root用户SSH远程登录9
3.1.2用SSH协议进行远程维护10
3.2协议设置11
3.2.1修改SNMP的默认Community11
3.2.2禁止Root用户登录FTP11
3.2.3禁止匿名FTP13
3.2.4Root用户环境变量的安全性14
3.3安全漏洞检查15
3.3.1OPENSSL心脏滴血漏洞检查15
3.3.2Bash安全漏洞检查15
修订记录
第1章概述
1.1目的
本文档针对安装运行SuSELinux系列操作系统的主机所应当遵循的通用基本安全配置要求提供了参考建议，旨在指导系统管理人员或安全检查人员进行SuSELinux系列操作系统过程中进行安全配置合规性自查、检查、加固提供标准依据与操作指导。
1.2适用范围
本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
本配置标准适用的范围包括：SuSELinux服务器系统
1.3实施
本标准自发布之日起生效
本标准的解释权和修改权属于，在本标准的执行过程中若有任何意见或建议，请发送邮
件至
1.4例外条款
欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交进行审批备案。
1.5评审与修订
本文档由定期进行审查，根据审视结果修订标准，并颁发执行。
第2章帐户、权限、日志
2.1帐户
2.1.1禁止多人共享账号
2.1.2禁用存在空密码帐户
2.1.3禁止存在除root外UID为0的账号
2.1.4口令复杂度
2.1.5口令生存周期
2.2权限
2.2.1文件与目录缺省权限控制
2.2.2帐号文件权限设置
2.2.3设置关键文件属性
2.3日志
2.3.1记录帐户登录日志
第3章系统服务安全
3.1远程访问服务
3・1・1限制root用户SSH远程登录
3.1.2用SSH协议进行远程维护
3.2协议设置
3.2.1修改SNMP的默认Community
3・2・2禁止Root用户登录FTP
检测操作步骤检测方法
1、如果是vsftp服务器，查看如下配置文件/etc/pam.d/vsftpd、
/etc/vsftpd/vsftpd.conf(/etc/vsftpd.conf)。
2、如果是pure-ftp服务器，查看如下配置文件pure-ftpd.conf。
3、如果是wu-ftp服务器，查看如下配置文件/etc/ftpd/ftpusers(/etc/ftpusers)。
4、如果是proftp服务器，查看如下配置文件proftpd.conf。
判定依据
1、FTP进程不存在
2、vsftp服务器，/etc/pam.d/vsftpd中指定了ftpusers，且对应的ftpusers中存在root 用户或者在配置文件/etc/vsftpd/vsftpd.conf(/etc/vsftpd.conf)配置了userlist_enable=YES、userlist_deny=NO、userlist_file=<filepath〉，且<filepath>中不存在root用户。
3、pure-ftp服务器，pure-ftpd.conf文件中设置了MinUID100,限制了
uid<=100的用户登录FTP。
4、wu-ftp服务器，/etc/ftpd/ftpusers(/etc/ftpusers)文件中存在root用户。
5、proftp服务器，proftpd.conf文件中不存在如下配置：
RootLoginon
以上五个条件满足其一则合规，否则不合规。
加固操作步骤参考配置操作
1、vsftp
1.1修改ftpusers文件，增加不能通过FTP登录的用户
1)首先需确定ftpusers文件位置，可以通过以下命令知道
#cat/etc/pam.d/vsftpd
authrequiredpam_listfile.soitem=usersense=deny
file=/etc/vsftpd.ftpusersonerr=succeed
#其中file=/etc/vsftpd/ftpusers即为当前系统上的ftpusers文件.
2)修改file对应的文件在文件中增加以下用户，则该用户均不允许通过FTP登录(每个用户占一行)：
Root;daemon;bin;sys;adm;lp;uucp;
Nuucp;listen;nobody;noaccess;nobody4
1.2配置vsftpd.conf文件，设定只允许特定用户通过FTP登录：
1)vsftpd.conf文件路径一般为/etc/vsftpd.conf或者/etc/vsftpd/vsftpd.conf。
修改其中内容：
userlist_enable=YES
#此选项被激活后，VSFTPD将读取userlist_file参数所指定的文件中的用户列表。
userlist_deny=NO
#决定禁止还是只允许由userlist_file指定文件中的用户登录FTP服务器,YES默认值，禁止文件中的用户登录，同时也不向这些用户发出输入口令的提示，NO只允许在文件中的用户
3.2.3禁止匿名FTP
3.2.4Root用户环境变量的安全性
3.3安全漏洞检查
3・3・1OPENSSL心脏滴血漏洞检査
3.3.2Bash安全漏洞检查。