Linux 服务器安全策略配置

修改/etc/login.defs文件，控制密码的有效期

chage -l 用户名

控制密码复杂度，需已安装pam_cracklib，centos已默认安装

修改/etc/etc/pam.d/system-auth文件，添加如下语句，需放置在最前面，否则可能不生效

参数说明

Linux登录失败

1 修改/etc/hosts.allow文件，增加允许通过SSH连接的客户端IP

2 修改/etc/hosts.deny文件，增加禁止通过SSH连接的客户端IP

3 重启sshd服务和xinetd(可选)服务，使之生效

如果hosts.allow和hosts.deny文件均包含同一ip，则以hosts.all文件为准，如果只是单独配置了hosts.all文件，并没有在hosts.deny文件禁止，依然不生效

一、强化密码强度

只要涉及到登录，就需要用到密码，如果密码设定不恰当，就很容易被黑客破解，如果是超级管理员(root)用户，如果没有设立良好的密码机制，可能给系统造成无法挽回的后果。

很多用户喜欢用自己的生日、姓名、英文名等信息来设定，这些方式可以通过字典或者社会工程的手段去破解，因此建议用户在设定密码时，尽量使用非字典中出现的组合字符，且采用数字与字符、大小写相结合的密码，增加密码被破译的难度。

二、登录用户管理

进入Linux系统前，都是需要登录的，只有通过系统验证后，才能进入Linux操作系统，而Linux一般将密码加密后，存放在/etc/passwd文件中，那么所有用户都可以读取此文件，虽然其中保存的密码已加密，但安全系数仍不高，因此可以设定影子文件/etc/shadow，只允许有特殊权限的用户操作。

三、账户安全等级管理

在Linux操作系统上，每个账户可以被赋予不同的权限，因此在建立一个新用户ID时，系统管理员应根据需要赋予该账号不同的权限，且归并到不同的用户组中。每个账号ID应有专人负责，在企业中，如果负责某个ID的员工离职，该立即从系统中删除该账号。

四、谨慎使用"r"系列远程程序管理

在Linux操作系统中，有一系列r开头的公用程序，如rlogin、rcp等，非常容易被不法分子用来攻击我们的系统，因此千万不要将root账号开放给这些公用程序，现如今很多安全工具都是针对此漏洞而设计的，比如PAM工具，就可以将其有效地禁止掉。

五、root用户权限管理

root可谓是Linux重点保护对象，因为其权利是最高的，因此千万不要将它授权出去，但有些程序的安装、维护必须要求是超级用户权限，在此情况下，可以利用其他工具让这类用户有部分超级用户的权限。sudo就是这样的工具。

六、综合防御管理

防火墙、IDS等防护技术已成功应用到网络安全的各个领域，且都有非常成熟的产品，需要注意的是：在大多数情况下，需要综合使用这两项技术，因为防火墙相当于安全防护的第一层，它仅仅通过简单地比较IP地址/端口对来过滤网络流量，而IDS更加具体，它需要通过具体的数据包(部分或者全部)来过滤网络流量，是安全防护的第二层。综合使用它们，能够做到互补，并且发挥各自的优势，最终实现综合防御。

查看 /etc/passwd 文件查看是否有无用的账号，如果存在则删除，降低安全风险。

操作步骤：

操作步骤：

操作步骤

操作步骤

使用命令vim /etc/pam.d/su 修改配置文件，在配置文件中添加行。

例如，只允许admin组用户su到root，则添加 auth required pam_wheel.so group=admin 。

【可选】为了方便操作，可配置admin支持免密sudo：在 /etc/sudoers 文件中添加 admin ALL=(ALL) NOPASSWD:ALL

为了防止使用"su"命令将当前用户环境变量带入其它用户，修改/etc/login.defs添加ALWAYS_SET_PATH=yes并保存。

操作步骤

操作步骤：

查看所有服务列表 systemctl list-units --type=service

操作步骤

使用命令 vim /etc/ssh/sshd_config 编辑配置文件。

配置文件修改完成后，重启sshd服务生效（systemctl restart sshd）。

操作步骤

修改/etc/profile 配置文件，添加行 umask 027 ， 即新创建的文件属主拥有读写执行权限，同组用户拥有读和执行权限，其他用户无权限。

操作步骤

修改 /etc/profile 配置文件，设置为 TMOUT=600， 表示超时10分钟无操作自动退出登录。

操作步骤

Linux系统默认启用以下类型日志，配置文件为 /etc/rsyslog.conf：

通过上述步骤，可以在 /var/log/history 目录下以每个用户为名新建一个文件夹，每次用户退出后都会产生以用户名、登录IP、时间的日志文件，包含此用户本次的所有操作（root用户除外）

服务器安全加固 - Linux - wubolive - 博客园

---