欢迎您, 来到 宁时修博客.^_^

Linux系统基础知识 --- 系统基础优化 02

2019/08/06 言则行 Linux 296
Linux系统基本知识 --- 系统基础优化

    注意:操作时做好记录或备份

    

    安全优化项1:SSH 设置

    SSHD参数说明:https://linux.die.net/man/5/sshd_config


    1、修改SSH 默认端口号(也可以不改)

编辑 /etc/ssh/sshd_config 文件

Port 222


    2、SSHD强制使用SSHv2安全协议

    加固建议:

编辑 /etc/ssh/sshd_config 文件以按如下方式设置参数: 

Protocol 2


    3、设置SSH LogLevel为INFO,记录登录和注销活动

    加固建议:

编辑 /etc/ssh/sshd_config 文件以按如下方式设置参数(取消注释):

LogLevel INFO


    4、设置较低的Max AuthTrimes参数将降低SSH服务器被暴力攻击成功的风险

    加固建议:

在/etc/ssh/sshd_config文件中取消 #MaxAuthTries 注释符号#,
设置最大密码尝试失败次数3-6,建议为5:

MaxAuthTries 5

   

    5、禁止 root账户登录,建议使用普通用户授权

编辑 /etc/ssh/sshd_config文件

PermitRootLogin no


    6、禁止用户使用空密码登录

在/etc/ssh/sshd_config文件中取消 #PermitEmptyPasswords no 的注释符号#

PermitEmptyPasswords no


    7、禁止使用密码登录,建议使用密钥登录(按实际情况来)

编辑 /etc/ssh/sshd_config文件

PasswordAuthentication no


    8、设置SSH空闲超时退出时间,降低未授权用户访问其它用户SSH会话的风险

    加固建议:

编辑/etc/ssh/sshd_config,
将ClientAliveInterval 设置为300到900,即5-15分钟,
将ClientAliveCountMax 设置为0-3。

ClientAliveInterval 300
ClientAliveCountMax 2


    安全优化项2:其它设置

    1、设置用户权限配置文件的权限

    加固建议:

chown root:root /etc/passwd /etc/shadow /etc/group /etc/gshadow
chmod 0644 /etc/group  
chmod 0644 /etc/passwd  
chmod 0400 /etc/shadow  
chmod 0400 /etc/gshadow


    2、除root之外其它UID为0 的用户都应该删除,或为其分配新的UID

    加固建议:

除root以外其他UID为0的用户都应该删除,或者为其分配新的UID
查看命令cat /etc/passwd | awk -F: '($3 == 0) { print $1 }'|grep -v '^root$'


    3、设置密码修改最小间隔时间,限制密码更改过于频繁

    加固建议:

在 /etc/login.defs 中将 PASS_MIN_DAYS 参数设置为5-14之间,建议为7:
PASS_MIN_DAYS 7

需同时执行命令为root用户设置:
chage --mindays 7 root


    4、设置密码失效时间,强制定期修改密码,减少密码被泄露和猜测风险,使用非密码登录方式(如密钥对)请忽略此项。

    加固建议:

在 /etc/login.defs 中将 PASS_MAX_DAYS 参数设置为 60-180之间,如: 
PASS_MAX_DAYS 90

需同时执行命令设置root密码失效时间: 
chage --maxdays 90 root


    5、检查密码长度和密码是否使用多种字符类型

编辑/etc/security/pwquality.conf,
把minlen(密码最小长度)设置为9-32位,
把minclass(至少包含小写字母、大写字母、数字、特殊字符等4类字符中等3类或4类)设置为3或4。如:

minlen=12
minclass=3


    6、开启地址空间布局随机化

    它将进程的内存空间地址随机化来增大入侵者预测目的地址难度,从而降低进程被成功入侵的风险

    加固建议:

执行命令:

sysctl -w kernel.randomize_va_space = 2


    7、检查密码重用是否受限制

    强制用户不重用最近使用的密码,降低密码猜测攻击风险

    加固建议:

在/etc/pam.d/password-auth和/etc/pam.d/system-auth中
password sufficient pam_unix.so 这行的末尾配置remember参数为5-24之间,
原来的内容不用更改, 只在末尾加了remember=5。


    8、确保rsyslog服务已启用

    确保rsyslog服务已启用,记录日志用于审计

    加固建议:

运行以下命令启用rsyslog服务:

systemctl enable rsyslog
systemctl start rsyslog


点赞
说说你的看法

所有评论: (0)