Linux 安全配置

yishen

Linux 作为服务器时，对系统的安全配置如下：

Linux有很多无用的帐号，对于一个系统来说，多一个帐号就多一份危险，可以把无用的帐号删除

     删除用户命令 usedel + 用户名

     删除用户组

关闭其他默认启动服务

系统默认会启动很多不必要的服务，有可能造成安全隐患。建议关闭以下不必要的服务：

apmd canna FreeWnn gpm hpoj innd irda isdn kdcrotate lvs mars-nwe oki4daemon privoxyrstatd rusersd rwalld rwhod spamassassin wine nfs nfslock autofs ypbind ypservyppasswdd portmap smb netfs lpd apache httpd tux snmpd named postgresql mysqldwebmin kudzu squid cups

           关闭服务命令   chkconfig --level 12345  服务名 off

关闭上面服务后，同时也要删除相对应的帐号

要求设置口令策略以提高系统的安全性。例如要将口令策略设置为：非root用户强制在90天内更该口令、之后的7天之内禁止更改口令、用户在口令过期的10天前接受到系统的提示、口令的最小长度为8位。以RedHat Linux为例，可在/etc/login.defs文件中进行如下设置：

      vi /etc/login.defs

      PASS_MAX_DAYS   90

      PASS_MIN_DAYS   7

      PASS_MIN_LEN    8

      PASS_WARN_AGE   10

修改自动注销帐号时间

　　自动注销帐号的登录，在Linux系统中root账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销root账户，那将会带来很大的安全隐患，应该让系统会自动注销。通过修改账户中“TMOUT”参数，可以实现此功能。TMOUT按秒计算。编辑你的profile文件（vi /etc/profile）,在"HISTSIZE="后面加入下面这行：

　　     TMOUT=300

　　300，表示300秒，也就是表示5分钟。这样，如果系统中登陆的用户在5分钟内都没有动作，那么系统会自动注销这个账户

限制Shell命令记录大小

   默认情况下，bash shell会在文件$HOME/.bash_history中存放多达500条命令记录(根据具体的系统不同，默认记录条数不同)。系统中每个用户的主目录下都有一个这样的文件。在此笔者强烈建议限制该文件的大小。

　　您可以编辑/etc/profile文件，修改其中的选项如下:

　　HISTFILESIZE=20或HISTSIZE=20

　　#vi /etc/profile

　　HISTSIZE=20

注销时删除命令记录

　　编辑/etc/skel/.bash_logout文件，增加如下行:

　　rm -f $HOME/.bash_history

　　这样，系统中的所有用户在注销时都会删除其命令记录。

　　如果只需要针对某个特定用户，如root用户进行设置，则可只在该用户的主目录下修改/$HOME/.bash_history文件，增加相同的一行即可。

修改ssh服务的root登录权限

　　修改ssh服务配置文件，使的ssh服务不允许直接使用root用户来登录，这样减少系统被恶意登录攻击的机会。

　　#vi /etc/ssh/sshd_config

　　PermitRootLogin yes

　　将这行前的＃去掉后，修改为：

　　PermitRootLogin no

　　10.修改ssh服务的sshd 端口

　　ssh默认会监听在22端口，你可以修改至6022端口以避过常规的扫描。

　　注意：修改端口错误可能会导致你下次连不到服务器，可以先同时开着22和6022两个端口，然后再关掉22端口；

　　重启sshd不会弹掉你当前的连接，可以另外开一个客户端来测试服务;

　　vi /etc/ssh/sshd_config

　　增加修改

　　Port 22 #关闭22端口

　　Port 6022 #增加6022端口

　　重启sshd服务

　　service sshd restart

　　检查一下sshd的监听端口对不对

　　netstat -lnp|grep ssh

　　iptables开放sshd的6022端口

　　vi /etc/sysconfig/iptables

　　如果使用redhat默认规则则增加

　　-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 6022 -j ACCEPT

　　或

　　iptables -A INPUT -p tcp --dport 6022 -j ACCEPT

　　iptables -A OUTPUT -p udp --sport 6022 -j ACCEPT

　　重启iptables 服务

　　service iptables restart

　　测试两个端口是否都能连上，连上后再将22端口删除

还有一点，我们知道，当开机时，进入grub界面，我们按e 就可以选择进入单用户模式，这样root密码就可以更改，在是不是不安全呢 ，可以这样设置

编辑 vi /etc/grub.conf

如果还想进入grub界面，可以按按键P而不是e了

如果不想暴露自己的系统的内核版本，可以编辑 vi /etc/issue 和 vi /etc/issue.net

2004

我不在江湖,但江湖中有我的传说。

zu00952718

说说而已所谓的诺言 峩卻义无反顾地做了感情的奴隶