linux網(wǎng)關(guān)及安全應(yīng)用總結(jié)

1、第一章系統(tǒng)安全常規(guī)優(yōu)化一、用戶(hù)賬號(hào)安全優(yōu)化1、基本安全措施刪除系統(tǒng)中不使用的用戶(hù)和組passwdlzhangsan或vietcshadow（用戶(hù)名前加?。﹗serdellp確認(rèn)程序或服務(wù)用戶(hù)的登錄shell不可用vietcpasswdusermod–ssbinnologinrpm限制用戶(hù)的密碼有效期（最大天數(shù)）vietclogin.defs(PASS_MAX_DAYS30)只對(duì)新建立的用戶(hù)有效chageM30zhangsan對(duì)已有用戶(hù)有

2、效指定用戶(hù)在下次登錄時(shí)必須修改密碼Chaged0zhangsan限制用戶(hù)密碼的最小長(zhǎng)度vietcpam.dsystemauthpasswdrequisitepam_cracklib.sotry_first_passretry=3minlen=12限制記錄命令歷史的條數(shù)HISTSIZE=100設(shè)置閑置超時(shí)自動(dòng)注銷(xiāo)終端vietcprofileexptTMOUT=6002、使用su切換切換用戶(hù)身份gpasswdazhangsanwheelvi

3、etcpam.dsuauthrequiredpam_wheel.souse_uid3、使用sudo提升執(zhí)行權(quán)限vietcsudoers或visudo用戶(hù)主機(jī)名=（權(quán)限用戶(hù)）NOPASSWD:命令列表lisilocalhost=sbinifconfigjerrylocalhost=NOPASSWD:sbinifconfig%wheelALL=(ALL)NOPASSWD:ALLzhangsanlocalhost=(lisi)NOPASSWD

4、:ALL使用sudo執(zhí)行命令（以jerry為例）sudolsudosbinifconfigeth010.0.0.1二、文件和文件系統(tǒng)安全優(yōu)化1、文件系統(tǒng)層次的安全優(yōu)化合理規(guī)劃系統(tǒng)分區(qū)建議部分分區(qū)為獨(dú)立的分區(qū)boot、home、var、opt等通過(guò)掛載選項(xiàng)禁止執(zhí)行set位程序、二進(jìn)制程序vietcfstabdevsdc1varext3defaultsnoexec12mountoremountvar鎖定不希望更改的系統(tǒng)文件chattriet

5、cservicesetcpasswdbootgrub.conflsattretcpasswdchattrietcpasswdfilter：INPUT、OUTPUT、FWARDnat：PREROUTING、POSTROUTING、OUTPUTmangle：PREROUTING、POSTROUTING、FWARD、INPUT、OUTPUTraw：OUTPUT、PREROUTING2、數(shù)據(jù)包過(guò)濾匹配流程規(guī)則表優(yōu)先順序：raw、mangle、n

6、at、filter各規(guī)則間的優(yōu)先順序：按順序匹配處理，有匹配項(xiàng)并處理后，不再繼續(xù)查找（除LOG記錄日志外），均不匹配，按默認(rèn)規(guī)則處理二、管理和設(shè)置iptables規(guī)則1、iptables[t表名]命令選項(xiàng)[鏈名][條件匹配][j目標(biāo)動(dòng)作或跳轉(zhuǎn)]iptables[t表名]命令選項(xiàng)[鏈名][條件匹配][j目標(biāo)動(dòng)作或跳轉(zhuǎn)]tfilterAINPUT通用條件匹配jtnatDOUTPUTpicmptcpudpjACCEPTtmangleIFWAR

7、Ds10.0.0.08jREJECTtrawLPREROUTINGd20.0.0.10jLOGFPOSTROUTING隱含條件匹配jSNATXdpt22jDNATNspt20:1024jREDIRECTntcp標(biāo)記匹配vtcpflags[！]SYNRSTACKSYNVICMP類(lèi)型匹配hicmptypeEchoRequestPicmptypeEchoReplylinenumbersicmptypedestinationUnreachabl

8、e顯式條件匹配mmacmacsourcemmultiptdpt202125miprangesrcrange10.0.0.1010.0.0.100mstatestateNEWmstatestateESTABLISHEDRELATEDmlimitlimit3minutelimitburst8jLOG2、語(yǔ)法示例：iptablesLINPUTlinenumbersiptablesvnLiptablesDINPUT2iptablesFiptab