Linux 安全配置规范

1. 概述

1.1. 目的

本规范明确了Linux 操作系统的安全配置方面的基本要求。为了提高Linux 操作系统的安全性而提出的。

1.2. 范围

本规范适用于*******系统使用的Linux 操作系统版本。

1.3. 概述

本文档以典型安装的RedHat Linux 为对象撰写而成，其他版本如SUSE Linux 均基本类似，根据具体情况进行适当修改即可。

文档中的操作需要以root 用户登录至控制台进行，不推荐使用网络远程的方式进行补丁及配置修改等加固操作。

部分操作需要重新启动服务器才会生效，注意某些数据库等应用需要先停止应用，然后才可以重新启动。

加固之前首先应对系统中的重要文件及可能修改的文件进行备份，可参照使用以下脚本

for file in /etc/inetd.conf /etc/hosts.equiv \

/etc/ftpusers /etc/passwd /etc/shadow /etc/hosts.allow \

/etc/hosts.deny /etc/proftpd.conf \

/etc/rc.d/init.d/functions /etc/inittab \

/etc/sysconfig/sendmail /etc/security/limits.conf \

/etc/exports /etc/sysctl.conf /etc/syslog.conf \

/etc/fstab /etc/security.console.perms /root/.rhosts \

/root/.shosts /etc/shosts.equiv /etc/X11/xdm/Xservers \

/etc/X11/xinit/xserverrc /etc/X11/gdm/gdm.conf \

/etc/cron.allow /etc/cron.deny /etc/at.allow \

Linux 安全配置规范

Page 2 of 27

/etc/at.deny /etc/crontab /etc/motd /etc/issue \

/usr/share/config/kdm/kdmrc /etc/X11/gdm/gdm.conf \

/etc/securetty /etc/security/access.conf /etc/lilo.conf \

/etc/grub.conf /etc/login.defs /etc/group /etc/profile \

/etc/csh.login /etc/csh.cshrc /etc/bashrc \

/etc/ssh/sshd_config /etc/ssh/ssh_config \

/etc/cups/cupsd.conf /etc/{,vsftpd/}vsftpd.conf \

/etc/logrotate.conf /root/.bashrc /root/.bash_profile \

/root/.cshrc /root/.tcshrc /etc/vsftpd.ftpusers ; do

[ -f $file ] && /bin/cp $file $file-preCIS

done

for dir in /etc/xinetd.d /etc/rc[0123456].d \

/var/spool/cron /etc/cron.* /etc/logrotate.d /var/log \

/etc/pam.d /etc/skel ; do

[ -d $dir ] && /bin/cp -r $dir $dir-preCIS

done

Linux 安全配置规范

Page 3 of 27

2. 安全配置规范

2.1. 补丁

2.1.1. 系统补丁

【影响】可能会导致某些服务功能异常或配置文件不兼容，做好原有操作系统映像和配置文件的备份。

【具体配置】

系统内核版本使用uname -a 查看。

软件版本和补丁使用rpm -qa 查看。

使用up2date 命令自动升级或去ftp://https://www.360docs.net/doc/fb8998843.html,下载对应版本补丁手

工单独安装。

2.1.2. 应用补丁

【说明】除RedHat 官方提供的系统补丁之外，系统也应对根据开放的服务和应用进行补丁，如APACHE、PHP、OPENSSL、MYSQL 等应用进行补丁。【具体配置】

具体升级方法：

首先确认机器上安装了gcc 及必要的库文件。

然后去应用的官方网站下载对应的源代码包，如*.tar.gz

再解压

tar zxfv *.tar.gz

再根据使用情况对编译配置进行修改，或直接采用默认配置

cd *

./configure

再进行编译和安装

make

make install

Linux 安全配置规范

Page 4 of 27

2.2. 最小化xinetd 网络服务

2.2.1. 停止默认服务

【说明】Xinetd 是旧的inetd 服务的替代，他提供了一些网络相关服务的启动调用方式。Xinetd 应禁止以下默认服务的开放：chargen chargen-udp cups-lpd daytime daytime-udp echo echo-udp eklogin finger gssftp imap imaps ipop2 ipop3 krb5-

telnet klogin kshell ktalk ntalk pop3s rexec rlogin rsh rsync servers services

【具体配置】

停止一个服务

chkconfig 服务名off

打开一个服务

chkconfig 服务名on

也可以使用ntsysv 命令进行服务开关调整

2.2.2. 其他

【说明】对于xinet 必须开放的服务，应该注意服务软件的升级和安全配置，并推荐使用SSH 和SSL 对原明文的服务进行替换。如果条件允许，可以使用系统

自带的iptables 或tcp-wrapper 功能对访问IP 地址进行限制。

【具体配置】

Xinetd、SSH 和SSL、防火墙配置参见对应系统的用户手册，此不详述。

2.3. 最小化启动服务

2.3.1. 设置daemon 权限unmask

【说明】默认系统umask 至少为022，以防止daemon 被其他低权限用户修

改。

【具体配置】

vi 修改/etc/rc.d/init.d 文件，umask 值为022。

同时检查/etc/rc.d/init.d 中其他启动脚本权限是否为755。

Linux 安全配置规范

Page 5 of 27

2.3.2. 关闭xinetd 服务

【说明】如果前面第二章关闭xinetd 服务中所列的服务，都不需要开放，则可以直接关闭xinetd 服务。

【具体配置】

chkconfig --level 12345 xinetd off

2.3.3. 关闭邮件服务

【说明】如果系统不需要作为邮件服务器，并不需要向外面发邮件，可以直接关闭邮件服务。如果不需要作为邮件服务器，但是允许用户发送邮件，可以设置Sendmail 不运行在daemon 模式。

【具体配置】

chkconfig --level 12345 sendmail off

编辑/etc/sysconfig/senmail 文件

增添以下行

DAEMON=no

QUEUE=1h

设置

cd /etc/sysconfig

/bin/chown root:root sendmail

/bin/chmod 644 sendmail

2.3.4. 关闭图形登录服务

【说明】一般来说，大部分软件的安装和运行都不需要图形环境。如果不需要图形环境进行登录和操作，可以关闭X Windows 的运行。

【具体配置】

cp /etc/inittab /etc/inittab.bak

编辑/etc/inittab 文件

修改id:5:initdefault:行为id:3:initdefault:

chown root:root /etc/inittab

chmod 0600 /etc/inittab

如需要X Windows 的时候，可运行startx 命令启动图形界面。

2.3.5. 关闭X 字体服务器

【说明】如果关闭了X Windows 服务，则X font 服务器服务也应该进行关闭。Linux 安全配置规范

Page 6 of 27

【具体配置】

chkconfig xfs off

2.3.6. 关闭其他默认启动服务

【说明】系统启动时会启动很多不必要的服务，这些不必要的服务均存在一定的安全隐患。一般可能存在以下不必要的服务：

apmd canna FreeWnn gpm hpoj innd irda isdn kdcrotate lvs mars-nwe oki4daemon privoxy rstatd rusersd rwalld rwhod spamassassin wine nfs nfslock autofs ypbind ypserv

yppasswdd portmap smb netfs lpd apache httpd tux snmpd named postgresql mysqld webmin kudzu squid cups

加固时，应根据机器具体配置使用和应用情况对开放的服务进行调整，关闭不需要的服务。

服务运行脚本一般都放在/etc/rc.d/rc*.d 进行启动，可以使用chkconfig 工具直接进行管理。

对于必须通过/etc/rc.d/rc*.d 开放的服务，应确保都已打上过最新的补丁。

【具体配置】

chkconfig --level 12345 服务名off

如果关闭了特定的服务，也应该同时对这些服务在系统中的用户加以锁定

或删除

可能包括以下用户rpc rpcuser lp apache http httpd named dns mysql postgres squid

usermod -L 要锁定的用户

2.3.7. 调整SMB 服务

【说明】Samba 服务器一般用来提供与Windows 类似的文件和打印共享服务。除非十分必要，否则应关闭SMB（Windows 文件共享）服务。可采用以下方式开

放SMB 服务。

【具体配置】

chkconfig smb on

2.3.8. 调整NFS 服务器服务

【说明】NFS 漏洞较多，经常被利用来取得未授权的文件或系统权限。除非十分必要，否则应关闭NFS 服务。可采用以下方式开放SMB 服务，并应该限制Linux 安全配置规范

Page 7 of 27

export 文件系统的中的IP 地址范围，以及增添只读权限。

【具体配置】

chkconfig --level 345 nfs on

2.3.9. 调整NFS 客户端服务

【说明】NFS 客户端服务一般用来访问其他NFS 服务器。除非十分必要，否则应关闭此服务。可采用以下方式开放此服务。

【具体配置】

chkconfig --level 345 nfslock on

chkconfig --level 345 autofs on

2.3.10. 调整NIS 服务器服务

【说明】NIS 用来提供基于UNIX 的域管理和认证手段。除非十分必要，否则应关闭此服务。可采用以下方式开放此服务。

【具体配置】

chkconfig ypserv on

chkconfig yppasswdd on

2.3.11. 调整NIS 客户端服务

【说明】NIS 客户端用来访问其他NIS 服务器。除非十分必要，否则应关闭此服务。可采用以下方式开放此服务。

【具体配置】

chkconfig ypbind on

2.3.12. 调整RPC 端口映射服务

【说明】

RPC 协议一般经过比较简单的或不经认证就可以得到一些非常敏感的信息。并且RPC 系列服务都存在一些缓冲区溢出问题。

在以下情况下可以考虑关闭RPC 端口映射服务：

服务器不是NFS 服务器或客户端；

服务器不是NIS 服务器或客户端；

Linux 安全配置规范

Page 8 of 27

服务器没有运行其它依赖于RPC 服务的第三方软件；

服务器不运行图形界面（x-windows）。

【具体配置】

chkconfig --level 345 portmap on

2.3.13. 调整netfs 服务

【说明】

此服务会作为客户端挂接网络中的磁盘。如果没有网络文件共享协议如NFS，NovellNetware 或Windows 文件共享使用，则可以关闭此服务。

【具体配置】

chkconfig --level 345 netfs on

2.3.14. 调整打印机服务

【说明】

UNIX 打印服务存在较多的安全漏洞。如果系统不作为网络中的打印机服务器，则可以关闭此服务。如果必须使用此服务，首先应保证软件都经过最新的补丁，然和设置cupsd 进程运行在非root 用户和组。

【具体配置】

if [ -e /etc/init.d/cups ] ; then

chkconfig cups on

sed 's/^\#User lp/User lp/' /etc/cups/cupsd.conf \

>/etc/cups/cupsd.conf.new

sed 's/^\#Group sys/Group sys/' \

/etc/cups/cupsd.conf.new >/etc/cups/cupsd.conf

rm -f /etc/cups/cupsd.conf.new

/bin/chown lp:sys /etc/cups/cupsd.conf

/bin/chmod 600 /etc/cups/cupsd.conf

fi

chkconfig hpoj on

chkconfig lpd on

2.3.15. 调整Web 服务器服务

【说明】

如果服务器必须开放Web，则需要作如下设置。应注意web 目录权限设置，不要允许目录list。

Linux 安全配置规范

Page 9 of 27

【具体配置】

chkconfig apahce on

或

chkconfig httpd on

2.3.16. 调整SNMP 服务

【说明】

简单网络管理协议SNMP 一般用来监控网络上主机或设备的运行情况。如果必须打开，则必须更改默认通讯字。

【具体配置】

chkconfig snmpd on

编辑/etc/snmp/snmpd.conf

com2sec notConfigUser default public

修改public 为其他一个足够复杂的密码。

2.3.17. 调整DNS 服务器服务

【说明】

DNS 服务器服务用来为其他机器提供DNS 解析，一般来说都可以关掉。如果必须进行开放，则必须升级至最新版本，并推荐设置chroot 环境，还需要注意限制

DNS 配置文件中的区域传输等设置（加密码或加IP 地址限制）。

【具体配置】

chkconfig named on

2.3.18. 调整SSHD 服务器服务

【说明】

SSHD 服务器服务用来提供SSH Server 的服务。如果必须进行开放，则必须升级至最新版本，并推荐设置chroot 环境，还需要注意限制SSH 配置文件中的区

域传

输等设置，需要在SSHD 配置文件中禁用ssh1 方式连接，因ssh1 方式连接是非完

全加密。

【具体配置】

如使用Openssh，则检查/etc/ssh/sshd_config

grep Protocol /etc/ssh/sshd_config

如使用https://www.360docs.net/doc/fb8998843.html, 的SSHD,需要检查/etc/ssh2/sshd2_config

Linux 安全配置规范

Page 10 of 27

grep Protocol /etc/ssh2/sshd2_config

2.3.19. 调整SQL 服务器服务

【说明】

如果不需要数据库服务，则可以关闭此服务。如果必须进行开放，则注意修改数据库用户的密码，并增加数据库用户IP 访问限制。

【具体配置】

chkconfig postgresql on

chkconfig mysqld on

2.3.20. 调整Webmin 服务

【说明】

Webmin 是一个通过HTTP 协议控制linux 的工具，一般推荐使用SSH 进行系

统管理而不要使用此工具。

【具体配置】

chkconfig webmin on

2.3.21. 调整Squid 服务

【说明】

Squid 服务是客户端与服务器之间的代理服务。Squid 服务已出现过很多安全漏洞，并且如果设置不当的话，可能导致被利用来作为内外网之间的跳板。如果不需

要，则可以关闭此服务。如果必须打开，则需要设置允许访问的地址列表及认证。【具体配置】

chkconfig squid on

2.3.22. 调整kudzu 硬件探测服务

【说明】

Kudzu 服务是linux 的硬件探测程序，一般设置为启动系统的时候运行。他会

检测系统中的硬件的改变，并且会提示进行配置等。未经授权的新设备存在的一定

的安全风险，系统启动时控制台就可以配置任何新增添的设备。

如果不需要经常的改动硬件，则需要进行关闭。可以在增添新设备时手工运行Linux 安全配置规范

Page 11 of 27

/etc/rc.d/init.d/kudzu 启动此服务。

【具体配置】

chkconfig --level 345 kudzu on

2.4. 内核参数

2.4.1. 网络参数调整

【说明】

Linux 支持的对网络参数进行调整。

具体参数详细说明，可参见

http://lxr.linux.no/source/Documentation/networking/ip-sysctl.txt。

【具体配置】

编辑/etc/sysctl.conf

增加

net.ipv4.tcp_max_syn_backlog = 4096

net.ipv4.conf.all.rp_filter = 1

net.ipv4.conf.all.accept_source_route = 0

net.ipv4.conf.all.accept_redirects = 0

net.ipv4.conf.all.secure_redirects = 0

net.ipv4.conf.default.rp_filter = 1

net.ipv4.conf.default.accept_source_route =

net.ipv4.conf.default.accept_redirects = 0

net.ipv4.conf.default.secure_redirects = 0

/bin/chown root:root /etc/sysctl.conf

/bin/chmod 0600 /etc/sysctl.conf

2.4.2. 更多的网络参数调整

【说明】

如果系统不作为在不同网络之间的防火墙或网关时，可进行如下设置。

具体参数详细说明，可参见

http://lxr.linux.no/source/Documentation/networking/ip-sysctl.txt

【具体配置】

编辑/etc/sysctl.conf

增加

net.ipv4.ip_forward = 0

Linux 安全配置规范

Page 12 of 27

net.ipv4.conf.all.send_redirects = 0

net.ipv4.conf.default.send_redirects = 0

/bin/chown root:root /etc/sysctl.conf

/bin/chmod 0600 /etc/sysctl.conf

2.5. 日志

2.5.1. 系统认证日志配置

【说明】

不是所有版本的linux 都会在日之中记录登陆信息。一般需要对这些重要的安全相关的信息进行保存，（如成功或失败su，失败的登陆，root 登陆等）。这些将

会被记录在/var/log/secure 文件里。

【具体配置】

编辑/etc/syslog.conf

确认有如下行

authpriv.* /var/log/secure

touch /var/log/secure

/bin/chown root:root /var/log/secure

/bin/chmod 600 /var/log/secure

2.5.2. FTP 进程日志配置

【说明】

系统默认会记录wu-ftpd 和vsftpd 所有的连接和文件传输。以下将会确认所有法发送到服务期的命令将会被记录。wu-ftpd 将会把安全相关的或是策略边界的行

为记忆文件传输记录到syslog 里，默认位于/var/log/xferlog。

【具体配置】

编辑/etc/xinetd.d/wu-ftpd 文件

确认有如下行

server_args = -l -a -d

/bin/chown root:root wu-ftpd

/bin/chmod 644 wu-ftpd

编辑/etc/vsftpd.conf 或/etc/vsftpd/vsftpd.conf 文件

确认有如下行

Linux 安全配置规范

Page 13 of 27

xferlog_std_format=NO

log_ftp_protocol=YES

log_ftp_protocol=YES

/bin/chmod 0600 vsftpd.conf

/bin/chown root:root vsftpd.conf

2.5.

3. 确认系统日志权限

【说明】

保护系统日志文件不会被非授权的用户所修改。

【具体配置】

cd /var/log

/bin/chmod o-w boot.log* cron* dmesg ksyms* httpd/* \

maillog* messages* news/* pgsql rpmpkgs* samba/* \

scrollkeeper.log secure* spooler* squid/* vbox/* wtmp

/bin/chmod o-rx boot.log* cron* maillog* messages* pgsql \

secure* spooler* squid/*

/bin/chmod g-w boot.log* cron* dmesg httpd/* ksyms* \

maillog* messages* pgsql rpmpkgs* samba/* \

scrollkeeper.log secure* spooler*

/bin/chmod g-rx boot.log* cron* maillog* messages* pgsql \

secure* spooler*

/bin/chmod o-w gdm/ httpd/ news/ samba/ squid/ vbox/

/bin/chmod o-rx httpd/ samba/ squid/

/bin/chmod g-w gdm/ httpd/ news/ samba/ squid/ vbox/

/bin/chmod g-rx httpd/ samba/

/bin/chown -R root:root .

/bin/chgrp utmp wtmp

/bin/chown -R news:news news

/bin/chown postgres:postgres pgsql

/bin/chown -R squid:squid squid

2.6. 文件/目录权限

2.6.1. /etc/fstab 中适当分区增加“nodev”选项

【说明】

在我们已知不包含设备的分区增添nodev 参数，防止用户挂接分区中未授权设备。此项加固要比较慎重。

【具体配置】

编辑/etc/fstab 文件

Linux 安全配置规范

Page 14 of 27

在非/的ext2 和ext3 分区后增添nodev 参数

/bin/chown root:root /etc/fstab

/bin/chmod 0644 /etc/fstab

2.6.2. /etc/fstab 中移动设备增加“nosuid”“nodev”选项

【说明】

可移动的媒体可能导致恶意的程序进入系统。可以将这些文件系统设置nosuid 选项，此选项可以防止用户使用CD-ROM 或软盘将设置了SUID 的程序带到系统

里。参照上节，这些文件系统也应当设置nodev 选项。

【具体配置】

编辑/etc/fstab 文件

在floppy 和cdrom 分区后增添nosuid,nodev 参数

/bin/chown root:root /etc/fstab

/bin/chmod 0644 /etc/fstab

2.6.

3. 禁止用户挂接可移动文件系统

【说明】

PAM 模块中的pam console 参数给控制台的用户临时的额外特权。其配置位于/etc/security/console.perms 文件。默认设置允许控制台用户控制可以与其他主机共享

的软盘和CD-ROM 设备。这些可移动媒体存在着一定的安全风险。以下禁止这些

设备的额外特权。

【具体配置】

编辑/etc/security/console.perms 文件

修改其中的console 行，删除以下设备之外的行

/sound|fb|kbd|joystick|v4l|mainboard|gpm|scanner

/bin/chown root:root console.perms

/bin/chmod 0600 console.perms

2.6.4. 检查passwd，shadow 和group 文件权限

【说明】

检查以下文件的默认权限。

【具体配置】

Linux 安全配置规范

Page 15 of 27

cd /etc

/bin/chown root:root passwd shadow group

/bin/chmod 644 passwd group

/bin/chmod 400 shadow

2.6.5. 全局可写目录应设置粘滞位

【说明】

当一个目录设置了粘滞位之后，只有文件的属主可以删除此目录中的文件。设置粘滞位可以防止用户覆盖其他用户的文件。如/tmp 目录。

【具体配置】

find / -xdev -type d -perm -0002 -a ! -perm -1000 -print

2.6.6. 找出未授权的全局可写目录

【说明】

全局可写文件可以被任意用户修改。全局可写文件可能造成一些脚本或程序被恶意修改后造成更大的危害，一般应拒绝其他组的用户的写权限。

【具体配置】

find / -perm -0002 -type f -xdev -print

chmod o-w

2.6.7. 找出未授权的SUID/SGID 文件

【说明】

管理员应当检查没有其他非授权的SUID/SGID 在系统内。

【具体配置】

find / -perm -04000 -o -perm -02000 -type f -xdev -print

2.6.8. 找出异常和隐藏的文件

【说明】

入侵者容易将恶意文件放在这目录中或命名这样的文件名。对于检查出来的数据需要核对与否系统自身的文件。

【具体配置】

find / -name ".. " -exec ls -ldb {} \;

find / -name ".*" -exec ls -ldb {} \;

Linux 安全配置规范

Page 16 of 27

2.7. 系统访问，授权和认证

2.7.1. 删除.rhosts 文件

【说明】

R 系列服务（rlogin，rsh，rcp）使用.rhosts 文件，它使用基于网络地址或主机

名的远端机算计弱认证（很容易被伪造）。如果必须使用R 系列服务，则必须保

证.rhosts 文件中没有“+”，并且同时指定对方系统和用户名。如果有防火墙，则

应该在过滤外部网段至内部的全部R 系列服务访问。同时需要保证.rhosts 文件仅可

以被所有者读取（600）。

【具体配置】

for file in /etc/pam.d/* ; do

grep -v rhosts_auth $file > ${file}.new

/bin/mv ${file}.new $file

/bin/chown root:root $file

/bin/chmod 644 $file

done

2.7.2. 创建危险文件的链接

【说明】

防止创建危险的/root/.rhosts，/root/.shosts，/etc/hosts.equiv 和/etc/shosts.equiv 文件。

【具体配置】

/bin/rm /root/.rhosts

ln -s /dev/null /root/.rhosts

/bin/rm /root/.shosts

ln -s /dev/null /root/.shosts

/bin/rm /etc/hosts.equiv

ln -s /dev/null /etc/hosts.equiv

/bin/rm /etc/shosts.equiv

ln -s /dev/null /etc/shosts.equiv

Linux 安全配置规范

Page 17 of 27

2.7.

3. 创建ftpuser 文件

【说明】

/etc/ftpusers 和/etc/vsftp.ftpusers 文件里的用户列表里的用户将拒绝通过WUFTPD

和vsftpd 访问系统。通常情况下，应当不允许一些系统用户访问FTP，并且

任何时候都不应当使用root 用户访问FTP。

/etc/https://www.360docs.net/doc/fb8998843.html,er 类似上述功能。

【具体配置】

for name in `cut -d: -f1 /etc/passwd`

do

if [ `id -u $name` -lt 500 ]

then

echo $name >> /etc/ftpusers

fi

done

/bin/chown root:root /etc/ftpusers

/bin/chmod 600 /etc/ftpusers

if [ -e /etc/vsftpd.conf ] || \

[ -e /etc/vsftpd/vsftpd.conf ]; then

/bin/rm -f /etc/vsftpd.ftpusers

/bin/cp /etc/ftpusers /etc/vsftpd.ftpusers

fi

2.7.4. 关闭X-Windows 的开放端口

【说明】

X 服务器在6000/tcp 监听远端客户端的连接。X-Windows 使用相对不安全的认证方式，取得X 认证的用户很容易就可以控制整台服务器。

删除选项中的“-nolisten tcp”可以使X 服务器不再监听6000/tcp 端口。

【具体配置】

if [ -e /etc/X11/xdm/Xservers ] ; then

cd /etc/X11/xdm

awk '($1 !~ /^#/ && $3 == "/usr/X11R6/bin/X") \

{ $3 = $3 " -nolisten tcp" };

{ print }' Xservers > Xservers.new

/bin/mv Xservers.new Xservers

/bin/chown root:root Xservers

/bin/chmod 444 Xservers

fi

if [ -e /etc/X11/gdm/gdm.conf ] ; then

cd /etc/X11/gdm

Linux 安全配置规范

Page 18 of 27

awk -F= '($2 ~ /\/X$/) \

{ printf("%s -nolisten tcp\n", $0); next };

{ print }' gdm.conf > gdm.conf.new

/bin/mv gdm.conf.new gdm.conf

/bin/chown root:root gdm.conf

/bin/chmod 644 gdm.conf

fi

if [ -d /etc/X11/xinit ] ; then

cd /etc/X11/xinit

if [ -e xserverrc ] ; then

awk '/X/ && !/^#/ \

{ print $0 " :0 -nolisten tcp \$@"; next }; \

{ print }' xserverrc > xserverrc.new

/bin/mv xserverrc.new xserverrc

else

cat <xserverrc

#!/bin/bash

exec X :0 -nolisten tcp \$@

END

fi

/bin/chown root:root xserverrc

/bin/chmod 755 xserverrc

fi

2.7.5. 限制只有授权用户可以访问at/cron

【说明】

cron.allow 和at.allow 可以指定允许运行crontab 和at 命令的用户列表。一般直应该允许管理员有权利运行计划任务。

【具体配置】

cd /etc/

/bin/rm -f cron.deny at.deny

echo root >cron.allow

echo root >at.allow

/bin/chown root:root cron.allow at.allow

/bin/chmod 400 cron.allow at.allow

2.7.6. 限制crontab 文件的权限

【说明】

系统的crontab 文件应该只能被cron daemon（以超级用户权限运行）和crontab 命令（SUID）。

【具体配置】

Linux 安全配置规范

Page 19 of 27

/bin/chown root:root /etc/crontab

/bin/chmod 400 /etc/crontab

/bin/chown -R root:root /var/spool/cron

/bin/chmod -R go-rwx /var/spool/cron

/bin/chown -R root:root /etc/cron.*

/bin/chmod -R go-rwx /etc/cron.*

2.7.7. 创建警示BANNER

【说明】

创建警示BANNER 可以对恶意攻击者或尝试者起到警示作用。

【具体配置】

1、创建控制台和X 模式BANNER

if [ "`egrep -l Authorized /etc/motd`" == "" ]; then

echo "Authorized uses only. All activity may be \

monitored and reported." >>/etc/motd

fi

if [ "`egrep -l Authorized /etc/issue`" == "" ]; then

echo "Authorized uses only. All activity may be \

monitored and reported." >>/etc/issue

fi

if [ "`egrep -l Authorized /etc/https://www.360docs.net/doc/fb8998843.html,`" == "" ]; then

echo "Authorized uses only. All activity may be \

monitored and reported." >>/etc/https://www.360docs.net/doc/fb8998843.html,

fi

/bin/chown root:root /etc/motd /etc/issue /etc/https://www.360docs.net/doc/fb8998843.html,

/bin/chmod 644 /etc/motd /etc/issue /etc/https://www.360docs.net/doc/fb8998843.html,

if [ -e /etc/X11/xdm/kdmrc ] ; then

cd /etc/X11/xdm

awk '/GreetString=/ \

{ print "GreetString=Authorized uses only!"; next };

{ print }' kdmrc >kdmrc.new

/bin/mv kdmrc.new kdmrc

/bin/chown root:root kdmrc

/bin/chmod 644 kdmrc

fi

if [ -e /etc/X11/gdm/gdm.conf ] ; then

cd /etc/X11/gdm

awk '/^Greeter=/ && /gdmgreeter/ \

{ printf("#%s\n", $0); next };

/^#Greeter=/ && /gdmlogin/ \

{ $1 = "Greeter=/usr/bin/gdmlogin" };

/Welcome=/ \

{ print "Welcome=Authorized uses only!"; next };

{ print }' gdm.conf >gdm.conf.new

/bin/mv gdm.conf.new gdm.conf

/bin/chown root:root gdm.conf

Linux 安全配置规范

Page 20 of 27

/bin/chmod 644 gdm.conf

fi

2、适应TCP Wrappers 创建“authorized only”的网络服务BANNER。mkdir /etc/banners ; cd /etc/banners

if [ -e /usr/doc/tcp_wrappers-7.6/Banners.Makefile ]; then

file=/usr/doc/tcp_wrappers-7.6/Banners.Makefile

else

file=/usr/share/doc/tcp_wrappers-7.6/Banners.Makefile

fi

cp $file Makefile

echo "Authorized uses only. All activity may be \

monitored and reported." > prototype

make

cd /etc/xinetd.d

for file in telnet krb5-telnet ; do

if [ -f $file ]; then

awk '( $1 == "}" ) \

{ print "banner = /etc/banners/in.telnetd" };

{ print }' $file >$file.new

/bin/mv $file.new $file

fi

done

for file in wu-ftpd gssftp ; do

if [ -f $file ]; then

awk '( $1 == "}" ) \

{ print "banner = /etc/banners/in.ftpd" };

{ print }' $file >$file.new

/bin/mv $file.new $file

fi

done

for file in rsh kshell ; do

if [ -f $file ]; then

awk '( $1 == "}" ) \

{ print "banner = /etc/banners/in.rshd" };

{ print }' $file >$file.new

/bin/mv $file.new $file

fi

done

for file in rlogin klogin eklogin ; do

if [ -f $file ]; then

awk '( $1 == "}" ) \

{ print "banner = /etc/banners/in.rlogind" };

{ print }' $file >$file.new

/bin/mv $file.new $file

fi ; done

/bin/chown root:root {krb5-,}telnet gssftp wu-ftpd rsh \ kshell rlogin klogin eklogin

/bin/chmod 644 {krb5-,}telnet gssftp wu-ftpd rsh kshell \ rlogin klogin eklogin

Linux 安全配置规范

Page 21 of 27

3、创建vsftpd 的“authorized only”BANNER

cd /etc

if [ -d vsftpd ]; then

cd vsftpd

fi

if [ -e vsftpd.conf ] ; then

echo "ftpd_banner=Authorized uses only. All activity \ may be monitored and reported." >> vsftpd.conf

fi

2.7.8. 配置xinetd 访问控制

【说明】

配制xinetd 使用简单的访问控制和日志。

【具体配置】

在/etc/xinetd.conf 插入“defaults”段

only_from=/ /

/使用允许使用的网络和掩码。

示例：

only_from=192.168.1.0/24 将会限制只有192.168.1.0/24 的网络可以访问。

2.7.9. 限制root 只能在控制台登录

【说明】

root 应该限制在只允许控制台登陆，一般情况下应该使用一般权限用户进行操作，仅在必要时su 成为root 进行操作。

【具体配置】

/bin/cp /dev/null /etc/securetty

for i in 1 2 3 4 5 6; do

echo tty$i >>/etc/securetty

echo vc/$i >>/etc/securetty

done

echo console >>/etc/securetty

/bin/chown root:root /etc/securetty

/bin/chmod 400 /etc/securetty

2.7.10. 设置LILO/GRUB 密码

【说明】

默认情况下，任何本地用户都可以在控制台重新启动机器，并很容易就可以控Linux 安全配置规范

Page 22 of 27

制正常的启动进程。LILO 和GRUB 密码可以在系统启动时要求密码。

注意以下操作只应设置与十分注重本地安全的情况下。

【具体配置】

LILO

增加下列行到/etc/lilo.conf

restricted

password=

更改为自己指定的密码。

以root 身份执行以下命令

/bin/chown root:root /etc/lilo.conf

/bin/chmod 600 /etc/lilo.conf

lilo

GRUB

增加下列行到/etc/grub.conf

password

以root 身份执行以下命令

/bin/chown root:root /etc/grub.conf

/bin/chmod 600 /etc/grub.conf

2.7.11. 设置单用户默认认证

【说明】

Linux 默认可以在启动时键入“linux single”进入到单用户模式。

单用户模式可以不使用密码就可以进行一些管理员操作，一般用来恢复忘记root 密码等。不加密码的单用户模式可能导致可以本地接触到服务器的用户直接控

制系统。

【具体配置】

cd /etc

if [ "`grep -l sulogin inittab`" = "" ]; then

awk '{ print };

/^id:[0123456sS]:initdefault:/ \

{ print "~~:S:wait:/sbin/sulogin" }' \

inittab >inittab.new

/bin/mv inittab.new inittab

/bin/chown root:root inittab

/bin/chmod 644 inittab

fi

2.7.12. 限制NFS 客户端特权端口

【说明】

Linux 安全配置规范

Page 23 of 27

设置secure 参数可以使本地系统的NFS 服务器进程拒绝没有使用特权端口（小于1024）的NFS 客户端访问。这个设置不会影响NFS 操作员的操作，但是会拒绝

非授权用户的自动的NFS 攻击。

【具体配置】

增加/etc/exports 文件中的secure 选项，可以使用以下perl 脚本

perl -i.orig -pe \

'next if (/^\s*#/ || /^\s*$/);

($res, @hst) = split(" ");

foreach $ent (@hst) {

undef(%set);

($optlist) = $ent =~ /\((.*?)\)/;

foreach $opt (split(/,/, $optlist)) {

$set{$opt} = 1;

}

delete($set{"insecure"});

$set{"secure"} = 1;

$ent =~ s/\(.*?\)//;

$ent .= "(" . join(",", keys(%set)) . ")";

}

$hst[0] = "(secure)" unless (@hst);

$_ = "$res\t" . join(" ", @hst) . "\n";' \

/etc/exports

2.8. 用户帐户和环境

2.8.1. 系统无用帐户

【说明】

系统中的非使用人员帐号应当被锁定，并且设置他们的shell 为非/etc/shells 里面的（即没有默认可以登陆的shell，如/dev/null）。

【具体配置】

以下脚本锁定全部非root 用户

for name in `cut -d: -f1 /etc/passwd`; do

uid=`id -u $name`

if [ $uid -lt 500 -a $name != 'root' ]; then

/usr/sbin/usermod -L -s /dev/null $name

fi

done

Linux 安全配置规范

Page 24 of 27

2.8.2. 确认没有空密码帐户

【说明】

如果一个账户设置了空密码，将允许任何人不使用密码登陆到系统。所有帐户都应该设置一个足够强壮的密码或设置为“NP”或“LOCKED”。

【具体配置】

awk -F: '($2 == "") { print $1 }' /etc/shadow

2.8.

3. 设置活动帐户的过期时间

【说明】

定期的更改帐户密码有助于提高系统的安全性。一般应当将系统中非root 用户强制在90 天内更该密码，并且在之后的7 天之内禁止更改密码。用户将在密码过

期的28 天前接受到系统的提示。并应当设置密码的复杂程度，包括各种大小写及

数字，并最小长度为6 位。

【具体配置】

cd /etc

awk '($1 ~ /^PASS_MAX_DAYS/) { $2="90" }

($1 ~ /^PASS_MIN_DAYS/) { $2="7" }

($1 ~ /^PASS_WARN_AGE/) { $2="28" }

($1 ~ /^PASS_MIN_LEN/) { $2="6" }

{ print } ' login.defs > login.defs.new

/bin/mv login.defs.new login.defs

/bin/chown root:root login.defs

/bin/chmod 640 login.defs

for name in `cut -d: -f1 /etc/passwd`; do

uid=`id -u $name`

if [ $uid -ge 500 -a $uid != 65534 ]; then

/usr/bin/chage -m 7 -M 90 -W 28 $name

fi

done

2.8.4. 确认没有“+”存在于passwd，shadow 和group 文件

【说明】

系统配置文件中的“+”表示系统将此部分值指向NIS 地图中的值。

这可能导致攻击者取得系统权限。

【具体配置】

Linux 安全配置规范

Page 25 of 27

grep ^+: /etc/passwd /etc/shadow /etc/group

2.8.5. 确认没有root 之外的UID 0 帐户

【说明】

UID 为0 的帐户将拥有系统中的管理员权限。一般系统中之应该有root 用户UID 为0，其他用户应使用su 取得管理员权限。

如果不想将root 密码告诉其他用户，并同时想让这些用户访问管理员权限才能访问的资源，可以使用sudo 工具。

【具体配置】

awk -F: '($3 == 0) { print $1 }' /etc/passwd

2.8.6. 删除root 路径中的“.”或其他全局可写目录

【说明】

如果root 用户的执行路径包含当前工作路径“.”或其他全局可写目录，可能

引起root 运行非指定的命令或程序，最后导致木马或其他恶意程序控制系统。【具体配置】

成为root 用户

运行以下命令均可

set

env

echo $PATH

2.8.7. 用户主目录应为755 或更少权限

【说明】

【具体配置】

for dir in \

`awk -F: '($3 >= 500) { print $6 }' /etc/passwd`

do

/bin/chmod g-w $dir

/bin/chmod o-rwx $dir

done

Linux 安全配置规范

Page 26 of 27

2.8.8. 没有用户.开头的文件全局可写

【说明】

“.”开头的文件一般都是隐藏文件，绝大多是用户的配置文件。如果用户的配置文件全局可写，可能导致恶意用户偷取或修改其他用户数据，甚至取得用户特权。