linux伺服器基本安全配置手冊_Linux

假如你想要搭建一個Linux伺服器，並且希望可以長期維護的話，就需要考慮安全效能與速度等眾多因素。一份正確的linux基本安全配置手冊就顯得格外重要。在我本文中就向大家介紹在edhat/centos 4,5下的Linux伺服器基本安全配置手冊。

安裝注意

1.刪除系統特殊的的使用者帳號：

禁止所有預設的被作業系統本身啟動的且不需要的帳號，當你第一次裝上系統時就應該做此檢查，Linux提供了各種帳號，你可能不需要，如果你不需要這個帳號，就移走它，你有的帳號越多，就越容易受到攻擊。

#為刪除你系統上的使用者，用下面的命令：[root@c1gstudio]# userdel username#大量刪除方式
#這裡刪除"adm lp sync shutdown halt mail news uucp operator games gopher ftp "帳號
#如果你開著ftp等服務可以把ftp帳號保留下來。
for i in adm lp sync shutdown halt mail news uucp ope
rator games gopher ftp ;do userdel $i ;done

2.刪除系統特殊的組帳號

[root@c1gstudio]# groupdel groupname#大量刪除方式for i in adm lp mail news uucp games dip pppusers popusers slipusers ;do groupdel $i ;done

3.使用者密碼設定

安裝linux時預設的密碼最小長度是5個位元組，但這並不夠，要把它設為8個位元組。修改最短密碼長度需要編輯login.defs檔案#vi /etc/login.defs

PASS_MAX_DAYS  99999  ##密碼設定最長有效期間（預設值）PASS_MIN_DAYS  0    ##密碼設定最短有效期間PASS_MIN_LEN  5    ##設定密碼最小長度，將5改為8PASS_WARN_AGE  7    ##提前多少天警告使用者密碼即將到期。然後修改Root密碼#passwd rootNew UNIX password:Retype new UNIX password:passwd: all authentication tokens updated successfully.

4.修改自動登出帳號時間

自動登出帳號的登入，在Linux系統中root賬戶是具有最高特權的。如果系統管理員在離開系統之前忘記登出root賬戶，那將會帶來很大的安全隱患，應該讓系統會自動登出。通過修改賬戶中“TMOUT”參數，可以實現此功能。TMOUT按秒計算。編輯你的profile檔案（vi /etc/profile）,在"HISTSIZE="後面加入下面這行：

TMOUT=300

300，表示300秒，也就是表示5分鐘。這樣，如果系統中登陸的使用者在5分鐘內都沒有動作，那麼系統會自動登出這個賬戶。

5.限制Shell命令記錄大小

預設情況下，bash shell會在檔案$HOME/.bash_history中存放多達500條命令記錄(根據具體的系統不同，預設記錄條數不同)。系統中每個使用者的主目錄下都有一個這樣的檔案。在此筆者強烈建議限制該檔案的大小。
您可以編輯/etc/profile檔案，修改其中的選項如下:

HISTFILESIZE=30或HISTSIZE=30#vi /etc/profileHISTSIZE=30

6.登出時刪除命令記錄

編輯/etc/skel/.bash_logout檔案，增加如下行:

rm -f $HOME/.bash_history
這樣，系統中的所有使用者在登出時都會刪除其命令記錄。
如果只需要針對某個特定使用者，如root使用者進行設定，則可只在該使用者的主目錄下修改/$HOME/.bash_history檔案，增加相同的一行即可。

7.用下面的命令加需要的使用者組和使用者帳號

[root@c1gstudio]# groupadd例如：增加website 使用者組，groupadd website然後調用vigr命令查看已添加的使用者組用下面的命令加需要的使用者帳號[root@c1gstudio]# useradd username –g website //添加使用者到website組（作為webserver的普通管理員，而非root管理員）然後調用vipw命令查看已添加的使用者用下面的命令改變使用者口令（至少輸入8位字母和數字組合的密碼，並將密碼記錄於本地機的專門文檔中，以防遺忘）[root@c1gstudio]# passwd username

8.阻止任何人su作為root

如果你不想任何人能夠su作為root,你能編輯/etc/pam.d/su加下面的行：

#vi /etc/pam.d/suauth sufficient /lib/security/$ISA/pam_rootok.so debugauth required /lib/security/$ISA/pam_wheel.so group=website意味著僅僅website組的使用者可以su作為root.

9.修改ssh服務的root登入許可權

修改ssh服務組態檔，使的ssh服務不允許直接使用root使用者來登入，這樣減少系統被惡意登入攻擊的機會。

#vi /etc/ssh/sshd_configPermitRootLogin yes

將這行前的＃去掉後，修改為：

PermitRootLogin no

10.修改ssh服務的sshd 連接埠

ssh預設會監聽在22連接埠，你可以修改至6022連接埠以避過常規的掃描。
注意：修改連接埠錯誤可能會導致你下次連不到伺服器，可以先同時開著22和6022兩個連接埠，然後再關掉22連接埠；
重啟sshd不會彈掉你當前的串連，可以另外開一個用戶端來測試服務;

#vi /etc/ssh/sshd_config#增加修改#Port 22 #關閉22連接埠Port 6022 #增加6022連接埠#重啟sshd服務service sshd restart檢查一下sshd的監聽連接埠對不對netstat -lnp|grep ssh#iptables開放sshd的6022連接埠vi /etc/sysconfig/iptables#如果使用redhat預設規則則增加-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 6022 -j ACCEPT#或iptables -A INPUT -p tcp --dport 6022 -j ACCEPTiptables -A OUTPUT -p udp --sport 6022 -j ACCEPT

重啟iptables 服務

service iptables restart#測試兩個連接埠是否都能連上，連上後再將22連接埠刪除

詳細參考：
Linux作業系統下SSH預設22連接埠修改方法

11.關閉系統不使用的服務：

cd /etc/init.d #進入到系統init進程啟動目錄
在這裡有兩個方法，可以關閉init目錄下的服務，

一、將init目錄下的檔案名稱mv成*.old類的檔案名稱，即修改檔案名稱，作用就是在系統啟動的時候找不到這個服務的開機檔案。

二、使用chkconfig系統命令來關閉系統啟動等級的服務。

註：在使用以下任何一種方法時，請先檢查需要關閉的服務是否是本伺服器特別需要啟動支援的服務，以防關閉正常使用的服務。

使用chkcofig命令來關閉不使用的系統服務 (level前面為2個減號)要想在修改啟動指令碼前瞭解有多少服務正在運行，輸入：

ps aux | wc -l

然後修改啟動指令碼後，重啟系統，再次輸入上面的命令，就可計算出減少了多少項服務。越少服務在運行，安全性就越好。另外運行以下命令可以瞭解還有多少服務在運行：

netstat -na --ip

批量方式先停止服務

for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do service $i stop;done

關閉啟動服務

for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do chkconfig $i off;done

以下為手動方式及解釋,執行批量方式後不需再執行了

chkconfig --level 345 apmd off ##筆記本需要chkconfig --level 345 netfs off ## nfs用戶端chkconfig --level 345 yppasswdd off ## NIS伺服器，此服務漏洞很多chkconfig --level 345 ypserv off ## NIS伺服器，此服務漏洞很多chkconfig --level 345 dhcpd off ## dhcp服務chkconfig --level 345 portmap off ##運行rpc(111連接埠)服務必需chkconfig --level 345 lpd off ##列印服務chkconfig --level 345 nfs off ## NFS伺服器，漏洞極多chkconfig --level 345 sendmail off ##郵件服務, 漏洞極多chkconfig --level 345 snmpd off ## SNMP，遠端使用者能從中獲得許多系統資訊chkconfig --level 345 rstatd off ##避免運行r服務，遠端使用者可以從中擷取很多資訊chkconfig --level 345 atd off ##和cron很相似的定時運行程式的服務註：以上chkcofig 命令中的3和5是系統啟動的類型，以下為數字代表意思0:開機(請不要切換到此等級)1:單人使用者模式的文字介面2:多人使用者模式的文字介面,不具有網路檔案系統(NFS)功能3:多人使用者模式的文字介面,具有網路檔案系統(NFS)功能4:某些發行版的linux使用此等級進入x windows system5:某些發行版的linux使用此等級進入x windows system6:重新啟動

如果不指定--level 單用on和off開關，系統預設只對運行級3，4，5有效

chkconfig cups off #印表機chkconfig bluetooth off # 藍芽chkconfig hidd off # 藍芽chkconfig ip6tables off # ipv6chkconfig ipsec off # vpnchkconfig auditd off #使用者空間監控程式chkconfig autofs off #光碟片磁碟片硬碟等自動載入服務chkconfig avahi-daemon off #主要用於Zero Configuration Networking ，一般沒什麼用建議關閉chkconfig avahi-dnsconfd off #主要用於Zero Configuration Networking ,同上,建議關閉chkconfig cpuspeed off #動態調整CPU頻率的進程，在伺服器系統中這個進程建議關閉chkconfig isdn off #isdnchkconfig kudzu off #硬體自動監測服務chkconfig nfslock off #NFS文檔鎖定功能。文檔共用支援，無需的能夠關了chkconfig nscd off #負責密碼和組的查詢，在有NIS服務時需要chkconfig pcscd off #智慧卡支援，,如果沒有可以關了chkconfig yum-updatesd off #yum更新chkconfig acpid offchkconfig autofs offchkconfig firstboot offchkconfig mcstrans off #selinuxchkconfig microcode_ctl offchkconfig rpcgssd offchkconfig rpcidmapd offchkconfig setroubleshoot offchkconfig xfs offchkconfig xinetd offchkconfig messagebus offchkconfig gpm off #滑鼠chkconfig restorecond off #selinuxchkconfig haldaemon offchkconfig sysstat offchkconfig readahead_early offchkconfig anacron off

需要保留的服務

crond , irqbalance , microcode_ctl ,network , sshd ,syslog

因為有些服務已運行，所以設定完後需重啟

chkconfig/*

文法：chkconfig [--add][--del][--list][系統服務] 或 chkconfig [--level <等級代號>][系統服務][on/off/reset]

補充說明：這是Red Hat公司遵循GPL規則所開發的程式，它可查詢作業系統在每一個執行等級中會執行哪些系統服務，其中包括各類常駐服務。

參數：

　--add 　增加所指定的系統服務，讓chkconfig指令得以管理它，並同時在系統啟動的敘述檔案內增加相關資料。　--del 　刪除所指定的系統服務，不再由chkconfig指令管理，並同時在系統啟動的敘述檔案內刪除相關資料。　--level<等級代號> 　指定讀系統服務要在哪一個執行等級中開啟或關畢*/

12.阻止系統響應任何從外部/內部來的ping請求

既然沒有人能ping通你的機器並收到響應，你可以大大增強你的網站的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次啟動後自動運行。

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all#這個可以不做哈

13.修改“/etc/host.conf”檔案

“/etc/host.conf”說明了如何解析地址。編輯“/etc/host.conf”檔案（vi /etc/host.conf），加入下面這行：# Lookup names via DNS first then fall back to /etc/hosts.order hosts,bind# We have machines with multiple IP addresses.multi on# Check for IP address spoofing.nospoof on

第一項設定首先通過DNS解析IP地址，然後通過hosts檔案解析。第二項設定檢測是否“/etc/hosts”檔案中的主機是否擁有多個IP地址（比如有多個以太口網卡）。第三項設定說明要注意對本機未經許可的電子欺騙。

14.不允許從不同的控制台進行root登陸

"/etc/securetty"檔案允許你定義root使用者可以從那個TTY裝置登陸。你可以編輯"/etc/securetty"檔案，再不需要登陸的TTY裝置前添加“#”標誌，來禁止從該TTY裝置進行root登陸。

在/etc/inittab檔案中有如下一段話：

# Run gettys in standard runlevels1:2345:respawn:/sbin/mingetty tty12:2345:respawn:/sbin/mingetty tty2#3:2345:respawn:/sbin/mingetty tty3#4:2345:respawn:/sbin/mingetty tty4#5:2345:respawn:/sbin/mingetty tty5#6:2345:respawn:/sbin/mingetty tty6

系統預設的可以使用6個控制台，即Alt+F1,Alt+F2...，這裡在3，4，5，6前面加上“#”，注釋該句話，這樣現在只有兩個控制台可供使用，最好保留兩個。然後重新啟動init進程，改動即可生效！

15.禁止Control-Alt-Delete鍵盤關閉命令

在"/etc/inittab" 檔案中注釋掉下面這行（使用#）：
ca::ctrlaltdel:/sbin/shutdown -t3 -r now
改為：
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now
為了使這項改動起作用，輸入下面這個命令：
# /sbin/init q

16.用chattr命令給下面的檔案加上不可更改屬性。

[root@c1gstudio]# chattr +i /etc/passwd[root@c1gstudio]# chattr +i /etc/shadow[root@c1gstudio]# chattr +i /etc/group[root@c1gstudio]# chattr +i /etc/gshadow

【註：chattr是改變檔案屬性的命令，參數i代表不得任意更動檔案或目錄,此處的i為不可修改位(immutable)。查看方法：lsattr /etc/passwd，撤銷為chattr –i /etc/group】

補充說明：這項指令可改變存放在ext2檔案系統上的檔案或目錄屬性，這些屬性共有以下8種模式：

　a：讓檔案或目錄僅供附加用途。　b：不更新檔案或目錄的最後存取時間。　c：將檔案或目錄壓縮後存放。　d：將檔案或目錄排除在傾倒操作之外。　i：不得任意更動檔案或目錄。　s：保密性刪除檔案或目錄。　S：即時更新檔案或目錄。　u：預防以外刪除。

參數：

　-R 遞迴處理，將指定目錄下的所有檔案及子目錄一併處理。　-v<版本編號> 設定檔案或目錄版本。　-V 顯示指令執行過程。　+<屬性> 開啟檔案或目錄的該項屬性。　-<屬性> 關閉檔案或目錄的該項屬性。　=<屬性> 指定檔案或目錄的該項屬性。

17.給系統服務連接埠列表檔案加鎖

主要作用：防止未經許可的刪除或添加服務

chattr +i /etc/services【查看方法：lsattr /etc/ services，撤銷為chattr –i /etc/ services】

18.系統檔案許可權修改

Linux檔案系統的安全主要是通過設定檔案的許可權來實現的。每一個Linux的檔案或目錄，都有3組屬性，分別定義檔案或目錄的所有者，使用者組和其他人的使用許可權（唯讀、可寫、可執行、允許SUID、允許SGID等）。特別注意，許可權為SUID和SGID的可執行檔，在程式運行過程中，會給進程賦予所有者的許可權，如果被駭客發現並利用就會給系統造成危害。

(1)修改init目錄檔案執行許可權：

chmod -R 700 /etc/init.d/* （遞迴處理，owner具有rwx，group無，others無）

(2)修改部分系統檔案的SUID和SGID的許可權：

chmod a-s /usr/bin/chagechmod a-s /usr/bin/gpasswdchmod a-s /usr/bin/wallchmod a-s /usr/bin/chfnchmod a-s /usr/bin/chshchmod a-s /usr/bin/newgrpchmod a-s /usr/bin/writechmod a-s /usr/sbin/usernetctlchmod a-s /usr/sbin/traceroutechmod a-s /bin/mountchmod a-s /bin/umountchmod a-s /sbin/netreport

(3)修改系統引導檔案

chmod 600 /etc/grub.confchattr +i /etc/grub.conf【查看方法：lsattr /etc/grub.conf，撤銷為chattr –i /etc/grub.conf】

19.增加dns

#vi /etc/resolv.confnameserver 8.8.8.8 #google dnsnameserver 8.8.4.4

20.hostname 修改

#注意需先把mysql、postfix等服務停了1.hostname servername2.vi /etc/sysconfig/networkservice network restart3.vi /etc/hosts

21.selinux 修改

開啟selinux可以增加安全性，但裝軟體時可能會遇到一些奇怪問題
以下是關閉方法

#vi /etc/selinux/config

改成disabled

22.關閉ipv6

echo "alias net-pf-10 off" >> /etc/modprobe.conf
echo "alias ipv6 off" >> /etc/modprobe.conf
#vi /etc/sysconfig/network
NETWORKING_IPV6=no

重啟服務

Service ip6tables stopService network restart

關閉自動啟動

chkconfig --level 235 ip6tables off

23.設定iptables

iptables 預設安全規則指令碼

重啟系統

以上大部分設定可以運行指令碼來完成。linux安全設定快捷指令碼

設定完成後重啟系統

其它設定項

linux調整系統時區/時間的方法

把/usr/share/zoneinfo裡相應的時區與/etc/localtime做個軟link.比如使用上海時區的時間:ln -s /usr/share/zoneinfo/Asia/Shanghai /etc/localtime 如果要使用UTC計時方式，則應在/etc/sysconfig/clock檔案裡改UTC=TRUE 時間的設定: 使用date 命令加s參數修改，注意linux的時間格式為"月日時分年",也可以只修改時間date -s 22:30:20,如果修改的是年月日和時間，格式為"月日時分年.秒",2007-03-18 11:01:56則應寫為"date -s 031811012007.56 硬體時間與目前時間更新: hwclock --systohc 如果硬體記時用UTC,則為 hwclock --systohc --utc

linux調整系統時區/時間的方法

1) 找到相應的時區檔案

/usr/share/zoneinfo/Asia/Shanghai

用這個檔案替換當前的/etc/localtime檔案。
步驟： cp –i /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

選擇覆蓋

2) 修改/etc/sysconfig/clock檔案，修改為：

ZONE="Asia/Shanghai"
UTC=false
ARC=false

3)
時間設定成2005年8月30日的命令如下：

#date -s 08/30/2005

將系統時間設定成下午6點40分0秒的命令如下：

#date -s 18:40:00

4)同步BIOS時鐘，強制把系統時間寫入CMOS，命令如下：

#clock -w

安裝ntpd

#yum install ntp#chkconfig --levels 235 ntpd on#ntpdate ntp.api.bz #先手動校準下#service ntpd start

設定語言

英文語言，中文支援

#vi /etc/sysconfig/i18n
LANG="en_US.UTF-8"
SUPPORTED="zh_CN.UTF-8:zh_CN:zh"
SYSFONT="latarcyrheb-sun16"

tmpwatch 定時清除

假設伺服器自訂了php的session和upload目錄

#vi /etc/cron.daily/tmpwatch在240 /tmp 前增加-x /tmp/session -x /tmp/upload#mkdir /tmp/session#mkdir /tmp/upload#chown nobody:nobody /tmp/upload#chmod 0770 /tmp/upload