配置安全的操作系统(linux)要点

配置安全的操作系统(Linux)LINUX系统安全配置实验要求将redhat9.0linux系统进行如下配置，使其更安全1）设置密码最小长度为8,密码最长停留期30天(/etc/login.defs)2）下面的文件加上不可更改属性，从而防止非授权用户获得权限/etc/passwd/etc/shadow/etc/group/etc/gshadow/etc/services3）设置60秒后自动注销帐号的登录(/etc/profile)4）不允许从不同的控制台进行root登陆(/etc/securetty)5）禁止Ctrl+Alt+Delete重新启动机器(/etc/inittab)6）禁止任何人通过su命令改变为root用户7）阻止别人ping你的计算机，防止IP欺骗，防止DoS攻击等8）练习ps、top、kill、netstat等命令9）查看日志文件/var/log/boot.log、/var/log/secure等10）关闭nfs、sendmail等服务11）进入linux单用户模式(想一想有什么问题？如何防止？）linux的安全设置1、BIOS的安全设置这是最基本的了，也是最简单的了。一定要给你的BIOS设置密码，以防止通过在BIOS中改变启动顺序，而可以从软盘启动。这样可以阻止别有用心的试图用特殊的启动盘启动你的系统，还可以阻止别人进入BIOS改动其中的设置，使机器的硬件设置不能被别人随意改动2、设置grub启动口令grup负责引导主集中的操作系统，其安全性设置至关重要（从grup或lilo引导开始，可以进入single模式，修改root密码）设置文件/boot/grub/grub.conf/boot/grub/grub.conf文件举例：password12345titleRedHatLinux(2.4.20-8)lockroot(hd0,0)kernel/boot/vmlinuz-2.4.20-8roroot=LABEL=/initrd/boot/initrd-2.4.20-8.imglinux的安全设置3、LILO的安全设置LILO是LinuxLoader的缩写，它是LINUX的启动模块。可以通过修改“/etc/lilo.conf”文件中的内容来进行配置。在/etc/lilo.conf文件中加如下面两个参数：restricted,password。可以使你的系统在启动lilo时就要求密码验证。第一步：编辑lilo.conf文件（vi/etc/lilo.comf）,改变参数：boot=/dev/hdamap=/boot/mapinstall=/boot/boot.bprompttimeout=00#把这行该为00，这样系统启动时将不在等待，而直接启动LINUXmessage=/boot/messagelineardefault=linuxrestricted#加入这行password=#加入这行并设置自己的密码image=/boot/vmlinuz-2.4.2-2label=linuxroot=/dev/hda6read-only第二步：因为“/etc/lilo.conf”文件中包含明文密码，所以要把它设置为root权限读取。#chmod0600/etc/lilo.conf第三步：更新系统，以便对“/etc/lilo.conf”文件做的修改起作用。#/sbin/lilo-v第四步：使用“chattr”命令使/etc/lilo.conf文件变为不可改变。#chattr+i/etc/lilo.conf这样可以在一定程度上防止对“/etc/lilo.conf”任何改变（意外或其他原因）linux的安全设置4、让口令更加安全1)要杜绝不设口令的帐号存在。这可以通过查看/etc/passwd文件发现。例如，存在的用户名为test的帐号，没有设置口令，则在/etc/passwd文件中就有如下一行：test::100:9::/home/test:/bin/bash其第二项为空，说明test这个帐号没有设置口令，这是非常危险的！应将该类帐号删除或者设置口令。2)在旧版本的linux中，在/etc/passwd文件中是包含有加密的密码的，这就给系统的安全性带来了很大的隐患，最简单的方法就是可以用暴力破解的方法来获得口令。可以使用命令/usr/sbin/pwconv或者/usr/sbin/grpconv来建立/etc/shadow或者/etc/gshadow文件，这样在/etc/passwd文件中不再包含加密的密码，而是放在/etc/shadow文件中，该文件只有超级用户root可读chattr命令给下面的文件加上不可更改属性，从而防止非授权用户获得权限。#chattr+i/etc/passwd#chattr+i/etc/shadow#chattr+i/etc/group#chattr+i/etc/gshadow3)修改一些系统帐号的Shell变量，例如uucp,ftp和news等，还有一些仅仅需要FTP功能的帐号，一定不要给他们设置/bin/bash或者/bin/sh等Shell变量。可以在/etc/passwd中将它们的Shell变量置空，例如设为/bin/false或者/dev/null等，也可以使用usermod-s/dev/nullusername命令来更改username的Shell为/dev/null。这样使用这些帐号将无法Telnet远程登录到系统中来4)修改缺省的密码长度：在你安装linux时默认的密码长度是5个字节。但这并不够，要把它设为8。修改最短密码长度需要编辑login.defs文件（vi/etc/login.defs），把下面这行:PASS_MIN_LEN5改为PASS_MIN_LEN8login.defs文件是login程序的配置文件。linux的安全设置5、自动注销帐号的登录在unix系统中root账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销root账户，那将会带来很大的安全隐患，应该让系统会自动注销。通过修改账户中“TMOUT”参数，可以实现此功能。TMOUT按秒计算。编辑你的profile文件（vi/etc/profile）,在“HISTFILESIZE”行后面加入下面这行：TMOUT=300300，表示300秒，也就是表示5分钟。这样，如果系统中登陆的用户在5分钟内都没有动作，那么系统会自动注销这个账户。你可以在个别用户的“.bashrc”文件中添加该值，以便系统对该用户实行特殊的自动注销时间。改变这项设置后，必须先注销用户，再用该用户登陆才能激活这个功能。6、取消普通用户的控制台访问权限你应该取消普通用户的控制台访问权限，比如shutdown、reboot、halt等命令。#rm-f/etc/security/console.apps/programprogram是你要注销的程序名。linux的安全设置7、关闭所有不用的服务:取消所有不用的服务，这样你的担心就会少很多。察看“/etc/xinetd.conf”文件，通过注释取消所有你不需要的服务（在该服务项目之前加一个“#”）。然后用“sighup”命令升级“xinetd.conf”文件。第一步：更改“/etc/xinetd.conf”权限为600，只允许root来读写该文件。#chmod600/etc/inetd.conf第二步：确定“/etc/xinetd.conf”文件所有者为root。第三步：编辑/etc/xinetd.conf文件（vi/etc/xinetd.conf），取消下列服务（你不需要的）：ftp,telnet,shell,login,exec,talk,ntalk,imap,pop-2,pop-3,finger,auth等等。把不需要的服务关闭可以使系统的危险性降低很多。第四步：给xinetd进程发送一个HUP信号：#killall-HUPinetd第五步：用chattr命令把/ec/xinetd.conf文件设为不可修改，这样就没人可以修改它：#chattr+i/etc/xinetd.conf这样可以防止对xinetd.conf的任何修改（以外或其他原因）。唯一可以取消这个属性的人只有root。如果要修改xinetd.conf文件，首先要是取消不可修改性质：#chattr-i/etc/xinetd.conf别忘了再把它的性质改为不可修改的(用ssh/cfp代替telnet/ftpvsftp代替wuftp)(8.x版本后修改/etc/xinetd.d目录的文件，ntsysv命令也可关闭服务）linux的安全设置8、TCP_WRAPPERS使用TCP_WRAPPERS可以使你的系统安全面对外部入侵。最好的策略就是阻止所有的主机（“/etc/hosts.deny”文件中加入“ALL:ALL@ALL,PARANOID”），然后再在“/etc/hosts.allow”文件中加入所有允许访问的主机列表。第一步：编辑hosts.deny文件（vi/etc/hosts.deny），加入下面这行#Denyaccesstoeveryone.ALL:ALL@ALL,PARANOID这表明除非该地址包在允许访问的主机列表中，否则阻塞所有的服务和地址。第二步：编辑hosts.allow文件（vi/etc/hosts.allow），加入允许访问的主机列表，比如：ftp:202.54.15.99foo.com202.54.15.99和foo.com是允许访问ftp服务的ip地址和主机名称。第三步：tcpdchk程序是tcpdwrapper设置检查程序。它用来检查你的tcpwrapper设置，并报告发现的潜在的和真实的问题。设置完后，运行下面这个命令：#tcpdchklinux的安全设置9、修改“/etc/host.conf”文件，防止IP欺骗“/etc/host.conf”说明了如何解析地址。编辑“/etc/host.conf”文件（vi/etc/host.conf），加入下面这行：#LookupnamesviaDNSfirstthenfallbackto/etc/hosts.orderbind,hosts#WehavemachineswithmultipleIPaddresses.multion#CheckforIPaddressspoofing.nospoofon第一项设置首先通过DNS解析IP地址，然后通过hosts文件解析。第二项设置检测是否“/etc/hosts”文件中的主机是否拥有多个IP地址（比如有多个以太口网卡）。第三项设置说明要注意对本机未经许可的电子欺骗。10、使“/etc/services”文件免疫使“/etc/services”文件免疫，防止未经许可的删除或添加服务：#chattr+i/etc/serviceslinux的安全设置11、不允许从不同的控制台进行root登陆/etc/securetty文件允许你定义root用户可以从那个TTY设备登陆。你可以编辑/etc/securetty文件，再不需要登陆的TTY设备前添加“#”标志，来禁止从该TTY设备进行root登陆。在/etc/inittab文件中有如下一段话：#Rungettysinstandardrunlevels1:2345:respawn:/sbin/mingettytty12:2345:respawn:/sbin/mingettytty2#3:2345:respawn:/sbin/mingettytty3#4:2345:respawn:/sbin/mingettytty4#5:2345:respawn:/sbin/mingettytty5#6:2345:respawn:/sbin/mingettytty6系统默认的可以使用6个控制台，即Alt+F1,Alt+F2...，这里在3，4，5，6前面加上“#”，注释该句话，这样现在只有两个控制台可供使用，最好保留两个。然后重新启动init进程，改动即可生效！linux的安全设置12、使用