linux基线
1.物理防护BIOS设置密码
引导grub.conf添加密码
2.系统安装时采用最小化原则，只安装base services
3.应用数据分区与系统隔离
4.禁用开机不需要启动的服务
5.隐藏系统信息
6.服务器和互联网时间同步
7.sudo对普通用户权限精细控制
8.密码策略：有效期90天 复杂度16位
8.ssh安全加固
9.优化Linux内核,增加系统文件描述符、堆栈等配置
10.清除无用的默认系统帐户或组（非必须）
11.文件权限
限制全局默认权限为0750，文件夹 umask 027
限制敏感文件,使用chattr命令给下列文件加上不可更改的属性
# chattr +i /etc/passwd
# chattr +i /etc/shadow
# chattr +i /etc/group
# chattr +i /etc/gshadow
# chattr +a .bash_history 避免删除.bash_history或者重定向到/dev/null
# chattr +i .bash_history
# chmod 700 /usr/bin 恢复 chmod 555 /usr/bin
# chmod 700 /bin/ping 恢复 chmod 4755 /bin/ping
# chmod 700 /usr/bin/vim 恢复 chmod 755 /usr/bin/vim
# chmod 700 /bin/netstat 恢复 chmod 755 /bin/netstat
# chmod 700 /usr/bin/tail 恢复 chmod 755 /usr/bin/tail
# chmod 700 /usr/bin/less 恢复 chmod 755 /usr/bin/less
# chmod 700 /usr/bin/head 恢复 chmod 755 /usr/bin/head
# chmod 700 /bin/cat 恢复 chmod 755 /bin/cat
# chmod 700 /bin/uname 恢复 chmod 755 /bin/uname
# chmod 500 /bin/ps 恢复 chmod 755 /bin/ps
限制非root用户执行/etc/rc.d/init.d/下的系统命令
# chmod -R 700 /etc/rc.d/init.d/*
# chmod -R 777 /etc/rc.d/init.d/* 恢复默认设置
12.禁止使用Ctrl+Alt+Del快捷键重启服务器
# cp /etc/inittab /etc/inittabbak
# vi /etc/inittab #注释下面两行
#start on control-alt-delete
#exec /sbin/shutdown -r now "Control-Alt-Delete pressed"
13.禁止yum update更新系统时不升级内核，只更新软件包
由于系统与硬件的兼容性问题，有可能升级内核后导致服务器不能正常启动，没有特别的需要，建议不要随意升级内核。
14.调整history大小，删除MySQL历史记录
15.计划任务
16.实时监控
查询系统端口及服务状态
web 服务端口 8081
文件监控
检查具有suid、sgid权限的文件
# find / -perm -4000 -o -perm -2000
# find 24小时内更改过的文件
检测Rootkit
17.应用基线
keepalive 15秒
错误页面重定向，出于安全方面的考量，为了避免敏感信息的外泄
上传文件大小
18.日志 logstash
常用的日志文件如下：
access-log 纪录HTTP/web的传输
acct/pacct 纪录用户命令
aculog 纪录MODEM的活动
btmp 纪录失败的纪录
lastlog 纪录最近几次成功登录的事件和最后一次不成功的登录
messages 从syslog中记录信息（有的链接到syslog文件）
sudolog 纪录使用sudo发出的命令
sulog 纪录使用su命令的使用
syslog 从syslog中记录信息（通常链接到messages文件）
utmp 纪录当前登录的每个用户
wtmp 一个用户每次登录进入和退出时间的永久纪录
xferlog 纪录FTP会话
用户登入的信息，安全性和验证性的日志
last、lastb、lastlog
utmp文件中保存的是当前正在本系统中的用户的信息。
wtmp文件中保存的是登录过本系统的用户的成功信息。
btmp文件中保存的是登录失败的信息。
#使用last命令可以查看btmp文件：例如，”last -f /var/log/btmp | more“
#1、当前登录用户的信息记录在文件utmp中；======who、w命令
#2、登录和退出记录在文件wtmp中；========last命令
#3、登录失败的记录在文件btmp中========lastb命令
#4、最后一次登录可以用lastlog命令
#5、messages======从syslog中记录信息
注意：wtmp和utmp文件都是二进制文件。
/var/log/messages 包括整体系统信息，其中也包含系统启动期间的日志。此外，mail，cron，daemon，kern和auth等内容也记录在var/log/messages日志中。
/var/log/dmesg 包含内核缓冲信息（kernel ring buffer）。在系统启动时，会在屏幕上显示许多与硬件有关的信息。可以用dmesg查看它们。
/var/log/auth.log 包含系统授权信息，包括用户登录和使用的权限机制等。
/var/log/boot.log 包含系统启动时的日志。
/var/log/daemon.log 包含各种系统后台守护进程日志信息。
/var/log/dpkg.log 包括安装或dpkg命令清除软件包的日志。
/var/log/kern.log 包含内核产生的日志，有助于在定制内核时解决问题。
/var/log/lastlog 记录所有用户的最近信息。这不是一个ASCII文件，因此需要用lastlog命令查看内容。
/var/log/maillog /var/log/mail.log 包含来着系统运行电子邮件服务器的日志信息。例如，sendmail日志信息就全部送到这个文件中。
/var/log/user.log 记录所有等级用户信息的日志。
/var/log/Xorg.x.log 来自X的日志信息。
/var/log/alternatives.log 更新替代信息都记录在这个文件中。
/var/log/btmp 记录所有失败登录信息。使用last命令可以查看btmp文件。例如，”last -f /var/log/btmp | more“。
/var/log/cups 涉及所有打印信息的日志。
/var/log/anaconda.log 在安装Linux时，所有安装信息都储存在这个文件中。
/var/log/yum.log 包含使用yum安装的软件包信息。
/var/log/cron 每当cron进程开始一个工作时，就会将相关信息记录在这个文件中。
/var/log/secure 包含验证和授权方面信息。例如，sshd会将所有信息记录（其中包括失败登录）在这里。
/var/log/wtmp或/var/log/utmp 包含登录信息。使用wtmp可以找出谁正在登陆进入系统，谁使用命令显示这个文件或信息等。
/var/log/faillog 包含用户登录失败信息。此外，错误登录命令也会记录在本文件中。
除了上述Log文件以外,/var/log还基于系统的具体应用包含以下一些子目录：
/var/log/httpd/或/var/log/apache2 包含服务器access_log和error_log信息。
/var/log/lighttpd/ 包含light HTTPD的access_log和error_log。
/var/log/mail/ 这个子目录包含邮件服务器的额外日志。
/var/log/prelink/ 包含.so文件被prelink修改的信息。
/var/log/audit/ 包含被 Linux audit daemon储存的信息。
/var/log/samba/ 包含由samba存储的信息。
/var/log/sa/ 包含每日由sysstat软件包收集的sar文件。
/var/log/sssd/ 用于守护进程安全服务。
除了手动存档和清除这些日志文件以外，还可以使用logrotate在文件达到一定大小后自动删除。可以尝试用vi，tail，grep和less等命令查看这些日志文件。
19.补丁更新
20.定时备份
21.防火墙
Juniper的Netscreen
H3C的Secpath
华为USG6390
IPTABLES
服务器禁ping
# echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
SELINUX
# 有外网IP的机器要开启配置防火墙，配置SELINUX
FACL
TCP_Wrappers应用级防火墙
# vi /etc/host.conf)，加入下面这行：
# Lookup names via DNS first then fall back to /etc/hosts.
order bind,hosts
# We have machines with multiple IP addresses.
multi on
# Check for IP address spoofing.
nospoof on
第一项设置首先通过DNS解析IP地址，然后通过hosts文件解析。第二项设置检测是否"/etc/hosts"文件中的主机是否拥有多个IP地址(比如有多个以太口网卡)。第三项设置说明要注意对本机未经许可的电子欺骗。
入侵检测
IDS
HIDS: OSSEC 主机入侵检测系统
NIDS: snort 网络入侵检测系统
Filesystem: tripware
AIDE(Adevanced Intrusion Detection Environment,高级入侵检测环境
IPS
IDS + Firewall
页:
[1]