linux 安全基线

Posted 2020-10-05

1.物理防护

  Bios设置密码

  引导grub.conf添加密码

  

2.系统安装时采用最小化原则，只安装base services

3.应用数据分区与系统隔离

4.禁用开机不需要启动的服务

5.隐藏系统信息

6.服务器和互联网时间同步

7.sudo对普通用户权限精细控制

8.密码策略：有效期90天 复杂度16位

8.ssh安全加固

9.优化Linux内核,增加系统文件描述符、堆栈等配置

10.清除无用的默认系统帐户或组（非必须）

11.文件权限

限制全局默认权限为0750，文件夹 umask 027

限制敏感文件,使用chattr命令给下列文件加上不可更改的属性

# chattr +i /etc/passwd

# chattr +i /etc/shadow

# chattr +i /etc/group

# chattr +i /etc/gshadow

# chattr +a .bash_history      避免删除.bash_history或者重定向到/dev/null

# chattr +i .bash_history 

# chmod 700 /usr/bin           恢复 chmod 555 /usr/bin 

# chmod 700 /bin/ping          恢复 chmod 4755 /bin/ping

# chmod 700 /usr/bin/vim       恢复 chmod 755 /usr/bin/vim

# chmod 700 /bin/netstat       恢复 chmod 755 /bin/netstat

# chmod 700 /usr/bin/tail      恢复 chmod 755 /usr/bin/tail

# chmod 700 /usr/bin/less      恢复 chmod 755 /usr/bin/less

# chmod 700 /usr/bin/head      恢复 chmod 755 /usr/bin/head

# chmod 700 /bin/cat           恢复 chmod 755 /bin/cat

# chmod 700 /bin/uname         恢复 chmod 755 /bin/uname

# chmod 500 /bin/ps            恢复 chmod 755 /bin/ps

限制非root用户执行/etc/rc.d/init.d/下的系统命令

 # chmod -R 700 /etc/rc.d/init.d/*

 # chmod -R 777 /etc/rc.d/init.d/*    恢复默认设置

 

12.禁止使用Ctrl+Alt+Del快捷键重启服务器

 # cp /etc/inittab /etc/inittabbak

 # vi /etc/inittab #注释下面两行

 #start on control-alt-delete

      #exec /sbin/shutdown -r now "Control-Alt-Delete pressed"

 

13.禁止yum update更新系统时不升级内核，只更新软件包

   由于系统与硬件的兼容性问题，有可能升级内核后导致服务器不能正常启动，没有特别的需要，建议不要随意升级内核。

14.调整history大小，删除mysql历史记录

15.计划任务

16.实时监控

   查询系统端口及服务状态

      web 服务端口 8081

   文件监控

     检查具有suid、sgid权限的文件

      # find / -perm -4000 -o -perm -2000

      # find 24小时内更改过的文件

     检测Rootkit

 

17.应用基线

   keepalive 15秒

   错误页面重定向，出于安全方面的考量，为了避免敏感信息的外泄

   上传文件大小

18.日志 logstash

　常用的日志文件如下：

　　　　　　access-log　　　纪录HTTP/web的传输 

　　　　　　acct/pacct　　　纪录用户命令 

　　　　　　aculog　　　　　纪录MODEM的活动 

　　　　　　btmp　　　　　　纪录失败的纪录 

　　　　　　lastlog　　　　 纪录最近几次成功登录的事件和最后一次不成功的登录 

　　　　　　messages　　　　从syslog中记录信息（有的链接到syslog文件） 

　　　　　　sudolog　　　　 纪录使用sudo发出的命令 

　　　　　　sulog　　　　　 纪录使用su命令的使用 

　　　　　　syslog　　　　　从syslog中记录信息（通常链接到messages文件） 

　　　　　　utmp　　　　　　纪录当前登录的每个用户 

　　　　　　wtmp　　　　　　一个用户每次登录进入和退出时间的永久纪录 

　　　　　　xferlog　　　　 纪录FTP会话

  用户登入的信息，安全性和验证性的日志

  last、lastb、lastlog 

  utmp文件中保存的是当前正在本系统中的用户的信息。

  wtmp文件中保存的是登录过本系统的用户的成功信息。

  btmp文件中保存的是登录失败的信息。

  #使用last命令可以查看btmp文件：例如，”last -f /var/log/btmp | more“

#1、当前登录用户的信息记录在文件utmp中；======who、w命令

#2、登录和退出记录在文件wtmp中；========last命令

#3、登录失败的记录在文件btmp中========lastb命令

#4、最后一次登录可以用lastlog命令

#5、messages======从syslog中记录信息

注意：wtmp和utmp文件都是二进制文件。

/var/log/messages                               包括整体系统信息，其中也包含系统启动期间的日志。此外，mail，cron，daemon，kern和auth等内容也记录在var/log/messages日志中。

/var/log/dmesg                                  包含内核缓冲信息（kernel ring buffer）。在系统启动时，会在屏幕上显示许多与硬件有关的信息。可以用dmesg查看它们。

/var/log/auth.log                               包含系统授权信息，包括用户登录和使用的权限机制等。

/var/log/boot.log                               包含系统启动时的日志。

/var/log/daemon.log                             包含各种系统后台守护进程日志信息。

/var/log/dpkg.log                               包括安装或dpkg命令清除软件包的日志。

/var/log/kern.log                               包含内核产生的日志，有助于在定制内核时解决问题。

/var/log/lastlog                                记录所有用户的最近信息。这不是一个ASCII文件，因此需要用lastlog命令查看内容。

/var/log/maillog /var/log/mail.log              包含来着系统运行电子邮件服务器的日志信息。例如，sendmail日志信息就全部送到这个文件中。

/var/log/user.log                               记录所有等级用户信息的日志。

/var/log/Xorg.x.log                             来自X的日志信息。

/var/log/alternatives.log                       更新替代信息都记录在这个文件中。

/var/log/btmp                                   记录所有失败登录信息。使用last命令可以查看btmp文件。例如，”last -f /var/log/btmp | more“。

/var/log/cups                                   涉及所有打印信息的日志。

/var/log/anaconda.log                           在安装Linux时，所有安装信息都储存在这个文件中。

/var/log/yum.log                                包含使用yum安装的软件包信息。

/var/log/cron                                   每当cron进程开始一个工作时，就会将相关信息记录在这个文件中。

/var/log/secure                                 包含验证和授权方面信息。例如，sshd会将所有信息记录（其中包括失败登录）在这里。

/var/log/wtmp或/var/log/utmp                    包含登录信息。使用wtmp可以找出谁正在登陆进入系统，谁使用命令显示这个文件或信息等。

/var/log/faillog                                包含用户登录失败信息。此外，错误登录命令也会记录在本文件中。

除了上述Log文件以外,/var/log还基于系统的具体应用包含以下一些子目录：

/var/log/httpd/或/var/log/apache2               包含服务器access_log和error_log信息。

/var/log/lighttpd/                              包含light HTTPD的access_log和error_log。

/var/log/mail/                                  这个子目录包含邮件服务器的额外日志。

/var/log/prelink/                               包含.so文件被prelink修改的信息。

/var/log/audit/                                 包含被 Linux audit daemon储存的信息。

/var/log/samba/                                 包含由samba存储的信息。

/var/log/sa/                                    包含每日由sysstat软件包收集的sar文件。

/var/log/sssd/                                  用于守护进程安全服务。

除了手动存档和清除这些日志文件以外，还可以使用logrotate在文件达到一定大小后自动删除。可以尝试用vi，tail，grep和less等命令查看这些日志文件。

19.补丁更新

20.定时备份

21.防火墙

  Juniper的Netscreen

  H3C的Secpath

  华为USG6390

IPTABLES 

     服务器禁ping

     # echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all 

SELINUX

  # 有外网IP的机器要开启配置防火墙，配置SELINUX  

FACL

TCP_Wrappers应用级防火墙

  # vi /etc/host.conf)，加入下面这行：

　　#　Lookup　names　via　DNS　first　then　fall　back　to　/etc/hosts.

　　order　bind,hosts

　　#　We　have　machines　with　multiple　IP　addresses.

　　multi　on

　　#　Check　for　IP　address　spoofing.

　　nospoof　on

　　第一项设置首先通过DNS解析IP地址，然后通过hosts文件解析。第二项设置检测是否"/etc/hosts"文件中的主机是否拥有多个IP地址(比如有多个以太口网卡)。第三项设置说明要注意对本机未经许可的电子欺骗。

入侵检测 

  IDS

     HIDS: OSSEC 主机入侵检测系统

     NIDS: snort 网络入侵检测系统

     Filesystem: tripware

             AIDE(Adevanced Intrusion Detection Environment,高级入侵检测环境

  IPS

     IDS + Firewall

本文出自 “流星工作室” 博客，请务必保留此出处http://redone.blog.51cto.com/5382451/1962343