linu系统安全加固手册

《linu系统安全加固手册》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、密级：商业秘密LINUX评估加固手册安氏领信科技发展有限公司二〇二一年八月目录1、系统补丁的安装32、帐户、口令策略的加固32．1、删除或禁用系统无用的用户32．2、口令策略的设置42．3、系统是否允许root远程登录42．4、root的环境变量设置53、网络与服务加固53．1、rc?.d中的服务的设置53．2、/etc/inetd.conf中服务的设置63．3、NFS的配置83．4、SNMP的配置83．5、Sendmail的配置93．6、DNS（Bind）的配置93．7、网络连接访问控制的设置94、信任主机的设置105、日志审核的设置116、物理安全加固117、系统内核参数的配

2、置128、选装安全工具131、系统补丁的安装RedHat使用RPM包实现系统安装的管理，系统没有单独补丁包（Patch）。如果出现新的漏洞，则发布一个新的RPM包，版本号（Version）不变，Release做相应的调整。因此检查RHLinux的补丁安装情况只能列出所有安装的软件，和RH网站上发布的升级软件对照，检查其中的变化。通过访问官方站点下载最新系统补丁，RedHat公司补丁地址如下：http://www.redhat.com/corp/support/errata/rpm-qa查看系统当前安装的rpm包rpm-ivhpackage1安装RPM包rpm-Uvhpackage

3、1升级RPM包rpm-Fvhpackage1升级RPM包（如果原先没有安装，则不安装）2、帐户、口令策略的加固2．1、删除或禁用系统无用的用户询问系统管理员，确认其需要使用的帐户如果下面的用户及其所在的组经过确认不需要，可以删除。lp,sync,shutdown,halt,news,uucp,operator,games,gopher修改一些系统帐号的shell变量，例如uucp,ftp和news等，还有一些仅仅需要FTP功能的帐号，检查并取消/bin/bash或者/bin/sh等Shell变量。可以在/etc/passwd中将它们的shell变量设为/bin/false或者/d

4、ev/null等。也可以通过passwdgroupdel来锁定用户、删除组。passwd-luser1锁定user1用户passwd-uuser1解锁user1用户groupdellp删除lp组。2．2、口令策略的设置RedHatLinux总体口令策略的设定分两处进行，第一部分是在/etc/login.defs文件中定义，其中有四项相关内容：PASS_MAX_DAYS密码最长时效（天）PASS_MIN_DAYS密码最短时效（天）PASS_MIN_LEN最短密码长度PASS_WARN_AGE密码过期前PASS_WARN_AGE天警告用户编辑/etc/login.defs文件，设定：

5、PASS_MAX_DAYS=90PASS_MIN_DAYS=0PASS_MIN_LEN=8PASS_WARN_AGE=30另外可以在/etc/pam.d/system-auth文件中的cracklib项中定义口令强度：difokminlendcreditucreditlcreditocredit使用vi编辑/etc/pam.d/system-auth文件，设置cracklib的属性#%PAM-1.0#Thisfileisauto-generated.#Userchangeswillbedestroyedthenexttimeauthconfigisrun.authrequired

6、/lib/security/pam_env.soauthsufficient/lib/security/pam_unix.solikeauthnullokauthrequired/lib/security/pam_deny.soaccountrequired/lib/security/pam_access.soaccountrequired/lib/security/pam_unix.sopasswordrequired/lib/security/pam_cracklib.soretry=3type=difok=4minlen=12dcredit=1ucredit=2lcredi

7、t=2ocredit=1passwordsufficient/lib/security/pam_unix.sonullokuse_authtokmd5shadowpasswordrequired/lib/security/pam_deny.sosessionrequired/lib/security/pam_limits.sosessionrequired/lib/security/pam_unix.so2．3、系统是否允许root远程登录RedHat在文件/etc/secure