Linux服務器操作系統如何加固

本文主要和大家分享linux服務器操作系統如何加固，本幫助手冊旨在指導系統管理人員或安全檢查人員進行linux操作系統的安全合規性檢查和加固,需要的朋友可以參考下，希望能幫助到大家。

1. 賬號和口令

1.1 禁用或刪除無用賬號

減少系統無用賬號，降低安全風險。

操作步驟

• 使用命令 userdel 刪除不必要的賬號。

• 使用命令 passwd -l 鎖定不必要的賬號。

• 使用命令 passwd -u 解鎖必要的賬號。

1.2 檢查特殊賬號

檢查是否存在空口令和root權限的賬號。

操作步驟

1. 查看空口令和root權限賬號，確認是否存在異常賬號：

• 使用命令 awk -F: ‘($2==””)’ /etc/shadow 查看空口令賬號。

• 使用命令 awk -F: ‘($3==0)’ /etc/passwd 查看UID為零的賬號。

• 使用命令 passwd 為空口令賬號設定密碼。

• 確認UID為零的賬號只有root賬號。

1.3 添加口令策略

加強口令的復雜度等，降低被猜解的可能性。

操作步驟

1. 使用命令 vi /etc/login.defs 修改配置文件。

• PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數

• PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數

• PASS_WARN_AGE 7 #新建用戶的密碼到期提前提醒天數

1.4 限制用戶su

限制能su到root的用戶。

操作步驟

使用命令 vi /etc/pam.d/su修改配置文件，在配置文件中添加行。例如，只允許test組用戶su到root，則添加 auth required pam_wheel.so group=test。

1.4 禁止root用戶直接登錄

限制root用戶直接登錄。

操作步驟

1. 創建普通權限賬號并配置密碼,防止無法遠程登錄;

2. 使用命令 vi /etc/ssh/sshd_config修改配置文件將PermitRootLogin的值改成no，并保存，然后使用service sshd restart重啟服務。

2. 服務

2.1 關閉不必要的服務

關閉不必要的服務（如普通服務和xinetd服務），降低風險。

操作步驟

使用命令 chkconfig –level on|off|reset 設置服務在指定init級別下開機是否啟動。

2.2 SSH服務安全

對SSH服務進行安全加固，防止暴力破解成功。

操作步驟

使用命令 vim /etc/ssh/sshd_config 編輯配置文件。

• 不允許root賬號直接登錄系統。
  ?設置 PermitRootLogin 的值為 no。

• 修改SSH使用的協議版本。
  ?設置 Protocol 的版本為 2。

• 修改允許密碼錯誤次數（默認6次）。
  ?設置 MaxAuthTries 的值為 3。

配置文件修改完成后，重啟sshd服務生效。

3. 文件系統

3.1 設置umask值

設置默認的umask值，增強安全性。

操作步驟

使用命令 vi /etc/profile 修改配置文件，添加行 umask 027， 即新創建的文件屬主擁有讀寫執行權限，同組用戶擁有讀和執行權限，其他用戶無權限。

3.2 設置登錄超時

設置系統登錄后，連接超時時間，增強安全性。

操作步驟

使用命令 vi /etc/profile 修改配置文件，將以 TMOUT= 開頭的行注釋，設置為TMOUT=180，即超時時間為三分鐘。

4. 日志

4.1 syslogd日志

啟用日志功能，并配置日志記錄。

操作步驟

Linux系統默認啟用以下類型日志：

• 系統日志（默認）/var/log/messages

• cron日志（默認）/var/log/cron

• 安全日志（默認）/var/log/secure

注意：部分系統可能使用syslog-ng日志，配置文件為：/etc/syslog-ng/syslog-ng.conf。

您可以根據需求配置詳細日志。

4.2 記錄所有用戶的登錄和操作日志

通過腳本代碼實現記錄所有用戶的登錄操作日志，防止出現安全事件后無據可查。

操作步驟

1、運行?[root@xxx /]# vim /etc/profile打開配置文件。

2、在配置文件中輸入以下內容：

history  USER=`whoami`  USER_IP=`who?-u?am?i?2>/dev/null|?awk?'{print?$NF}'|sed?-e?'s/[()]//g'`  if?[?"$USER_IP"?=?""?];?then  USER_IP=`hostname`  fi  if?[?!?-d?/var/log/history?];?then  mkdir?/var/log/history  chmod?777?/var/log/history  fi  if?[?!?-d?/var/log/history/${LOGNAME}?];?then  mkdir?/var/log/history/${LOGNAME}  chmod?300?/var/log/history/${LOGNAME}  fi  export?HISTSIZE=4096  DT=`date?+"%Y%m%d_%H:%M:%S"`  export?HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"  chmod?600?/var/log/history/${LOGNAME}/*history*?2>/dev/null

3、運行?[root@xxx /]# source /etc/profile?加載配置生效。
注意： /var/log/history 是記錄日志的存放位置，可以自定義。

通過上述步驟，可以在 /var/log/history 目錄下以每個用戶為名新建一個文件夾，每次用戶退出后都會產生以用戶名、登錄IP、時間的日志文件，包含此用戶本次的所有操作（root用戶除外）。

同時，建議您使用OSS服務收集存儲日志。

相關推薦：

php 獲取服務器操作系統信息最全的基本命令詳解

php 獲取服務器操作系統信息最全的基本命令詳解

php 獲取服務器操作系統信息最全的基本命令詳解