本幫助手冊旨在指導系統管理人員或安全檢查人員進行Linux操作系統的安全合規性檢查和加固。
1. 賬號和口令1.1 禁用或刪除無用賬號減少系統無用賬號，降低安全風險。 操作步驟 - 使用命令
userdel <用戶名> 刪除不必要的賬號。 - 使用命令
passwd -l <用戶名> 鎖定不必要的賬號。 - 使用命令
passwd -u <用戶名> 解鎖必要的賬號。
1.2 檢查特殊賬號檢查是否存在空口令和root權限的賬號。 操作步驟 - 查看空口令和root權限賬號，確認是否存在異常賬號：
- 使用命令
awk -F: '($2=="")' /etc/shadow 查看空口令賬號。 - 使用命令
awk -F: '($3==0)' /etc/passwd 查看UID為零的賬號。
- 加固空口令賬號：
- 使用命令
passwd <用戶名> 為空口令賬號設定密碼。 - 確認UID為零的賬號只有root賬號。
1.3 添加口令策略加強口令的復雜度等，降低被猜解的可能性。 操作步驟 - 使用命令
vi /etc/login.defs 修改配置文件。PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數PASS_WARN_AGE 7 #新建用戶的密碼到期提前提醒天數
- 使用chage命令修改用戶設置。
例如，chage -m 0 -M 30 -E 2000-01-01 -W 7 <用戶名>表示將此用戶的密碼最長使用天數設為30，最短使用天數設為0，密碼2000年1月1日過期，過期前七天警告用戶。 - 設置連續輸錯三次密碼，賬號鎖定五分鐘。使用命令
vi /etc/pam.d/common-auth修改配置文件，在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。
1.4 限制用戶su限制能su到root的用戶。 操作步驟 使用命令 vi /etc/pam.d/su修改配置文件，在配置文件中添加行。例如，只允許test組用戶su到root，則添加 auth required pam_wheel.so group=test。 1.4 禁止root用戶直接登錄限制root用戶直接登錄。 操作步驟 - 創建普通權限賬號并配置密碼,防止無法遠程登錄;
- 使用命令
vi /etc/ssh/sshd_config修改配置文件將PermitRootLogin的值改成no，并保存，然后使用service sshd restart重啟服務。
2. 服務2.1 關閉不必要的服務關閉不必要的服務（如普通服務和xinetd服務），降低風險。 操作步驟 使用命令systemctl disable <服務名>設置服務在開機時不自動啟動。 說明： 對于部分老版本的Linux操作系統（如CentOS 6），可以使用命令chkconfig --level <init級別> <服務名> off設置服務在指定init級別下開機時不自動啟動。 2.2 SSH服務安全對SSH服務進行安全加固，防止暴力破解成功。 操作步驟 使用命令 vim /etc/ssh/sshd_config 編輯配置文件。 - 不允許root賬號直接登錄系統。
設置 PermitRootLogin 的值為 no。 - 修改SSH使用的協議版本。
設置 Protocol 的版本為 2。 - 修改允許密碼錯誤次數（默認6次）。
設置 MaxAuthTries 的值為 3。
配置文件修改完成后，重啟sshd服務生效。 3. 文件系統3.1 設置umask值設置默認的umask值，增強安全性。 操作步驟 使用命令 vi /etc/profile 修改配置文件，添加行 umask 027， 即新創建的文件屬主擁有讀寫執行權限，同組用戶擁有讀和執行權限，其他用戶無權限。 3.2 設置登錄超時設置系統登錄后，連接超時時間，增強安全性。 操作步驟 使用命令 vi /etc/profile 修改配置文件，將以 TMOUT= 開頭的行注釋，設置為TMOUT=180，即超時時間為三分鐘。 4. 日志4.1 syslogd日志啟用日志功能，并配置日志記錄。 操作步驟 Linux系統默認啟用以下類型日志： - 系統日志（默認）/var/log/messages
- cron日志（默認）/var/log/cron
- 安全日志（默認）/var/log/secure
注意：部分系統可能使用syslog-ng日志，配置文件為：/etc/syslog-ng/syslog-ng.conf。 您可以根據需求配置詳細日志。 4.2 記錄所有用戶的登錄和操作日志通過腳本代碼實現記錄所有用戶的登錄操作日志，防止出現安全事件后無據可查。 操作步驟 - 運行
[root@xxx /]# vim /etc/profile打開配置文件。 - 在配置文件中輸入以下內容：
history USER=`whoami` USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'` if [ "$USER_IP" = "" ]; then USER_IP=`hostname` fi if [ ! -d /var/log/history ]; then mkdir /var/log/history chmod 777 /var/log/history fi if [ ! -d /var/log/history/${LOGNAME} ]; then mkdir /var/log/history/${LOGNAME} chmod 300 /var/log/history/${LOGNAME} fi export HISTSIZE=4096 DT=`date +"%Y%m%d_%H:%M:%S"`
| 
