linux系統(tǒng)安全詳解

1、linuxlinux系統(tǒng)安全詳細(xì)設(shè)置系統(tǒng)安全詳細(xì)設(shè)置一、BIOS安全(硬件上的安全)1.最基本最簡單的安全配置保障計(jì)算機(jī)硬件配置等不被別人更改。給BIOS設(shè)置密碼防止改變啟動(dòng)順序從軟盤或光盤啟動(dòng)。防止特殊的啟動(dòng)盤啟動(dòng)用戶的系統(tǒng)，進(jìn)入rescue或其他模式，改變或刪除當(dāng)前配置等。2.禁止使用ctrlalt重起機(jī)器編輯etcinittab文件注釋掉下面一行.ca::ctrlaltdel:sbinshutdownt3rnow改成:（使用#）#

2、ca::ctrlaltdel:sbinshutdownt3rnow二、帳號安全口令是系統(tǒng)的第一道防線目前大多數(shù)攻擊都是從截獲口令或猜測口令等口令攻擊開始的。etc目錄下主要存放系統(tǒng)的配置文件，應(yīng)對這個(gè)目錄下的幾個(gè)文件進(jìn)行修改。1.etclogin.defs文件是login程序的配置文件，口令的長度和口令的有效期等可以在這里設(shè)置。[root@~]#vietclogin.defs...PASS_MAX_DAYS9999密碼被用最多天數(shù)PAS

3、S_MIN_DAYS0密碼被用最少天數(shù)PASS_MIN_LEN5系統(tǒng)默認(rèn)密碼長度5我們可以該成8或更多.PASS_WARN_AGE7密碼有效期警告超過7天將提示用戶更換新的密碼....2.etcprofile文件是環(huán)境變量設(shè)置文件。在此文件設(shè)置環(huán)境變量將對所有用戶生效。我們要在此文件設(shè)置自動(dòng)注銷帳戶的時(shí)間及命令的歷史記錄數(shù)。[root@tp~]#vietcprofile...HOSTNAME=`binhostname`HISTSIZE=

4、1000這里1000代表用戶操作命令的歷史記錄，應(yīng)盡量小一些，設(shè)置成0也可以。tmout=600添加此行如果系統(tǒng)用戶在600秒(10分鐘)內(nèi)不做任何操作將自動(dòng)注銷這個(gè)用戶。3.etcpasswd文件存放系統(tǒng)用戶名用戶標(biāo)識(UID)組標(biāo)識(GID)等的地方。我們要在這里找到并清除沒有設(shè)置口令的用戶，同時(shí)還要清除一些特別帳號(因?yàn)榭赡軙?huì)存在潛在的危險(xiǎn))。[root@tp~]#vietcpasswdroot:x:0:0:root:root:b

5、inbashbin:x:1:1:bin:bin:sbinnologin...wh::500:501::homewh:binbash仔細(xì)觀察上面的一行(wh用戶)在第二項(xiàng)兩個(gè)冒號中間什么都沒有而上面的的用戶(如root用戶)都是x，這表明此用戶沒有密碼，要么添加密碼，要么刪掉。4.特別帳號的處理如果不啟動(dòng)用sendmail刪除如下用戶注:表示所有登陸到linux的用戶.#Endoffile[root@tp]#vietcpam.dlogin

6、...在文件末尾加入下面一行sessionrequiredlibsecuritypam_limits.so2.限制控制臺的訪問[root@tp]#vietcsecuretty...注釋掉除tty1以外的控制臺終端這時(shí)root僅可在tty1終端登錄。tty1#tty2#tty3#tty4#tty5#tty63.禁止外來ping請求.[root@tp]#vietcrc.drc.local...在最后加入一行echo1procsysipv4i

7、cmp_echo_igne_all4.防止IP地址欺騙[root@tp]#vietchost.conf加入如下幾行derbind，hostsmultioffnospoofon5.禁止su命令進(jìn)入root[root@tppam.d]#vietcpam.dsu...在下面加入如下兩行authsufficientlibsecuritypam_rootok.sodebugauthrequiredlibsecuritypam_wheel.sogr

8、oup=xxx這表示只有xxx組的用戶可以su成root.6.使用TCP_WRAPPER在默認(rèn)情況下linux系統(tǒng)允許所有請求可用TCP_WRAPPER增強(qiáng)安全性在etchosts.deny寫入“ALL:ALL“禁止所有請求[root@tpetc]#vietchosts.deny##hosts.denyThisfiledescribesthenamesofthehostswhichare#notallowedtousethelocalI