Linux系统必备安全配置

凉白开 安全322,8902字数 2142阅读7分8秒阅读模式
摘要

前言:安全无小事,作为一个专职的系统管理员,打造一个安全的linux系统是管理员的一个基本素质,以下讲8点系统必备的安全配置。

1、账号管理
vi /etc/passwd
修改root 的uid号,将普通用户的uid改为0 ,使root变为普通用户,普通用户成为root,即使root遭到破解,也没有权限进行任何操作

前言:安全无小事,作为一个专职的系统管理员,打造一个安全的linux系统是管理员的一个基本素质,以下讲8点系统必备的安全配置

1、账号管理文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

vi /etc/passwd

修改root 的uid号,将普通用户的uid改为0 ,使root变为普通用户,普通用户成为root,即使root遭到破解,也没有权限进行任何操作
2、建立普通用户进行日常的操作,无修改服务器配置及文件的权限。要求每个可访问服务器的人员均使用自己账户. 以往用linux一不小心便执行了rm -rf /,后果不堪设想,但是现在的linux不会再出现这个问题了。
3、vi /etc/shadow
root(用户):$6$Dk1P.79EyYpRW4me$NvmMatdSAsAENx9yxS8/ZYC3d7h4dZni7mcDA6
9ZQmHGfBBHJuHluZYg2HPJ1jDwRaS5z5QA0YeRFECCKmy3A(加密后的密码)/:15846(最后一次修改密码的时间):0(最小修改密码时间):99999(最大修改密码时间,一般设置为30天):7(提醒密码修改时间):::
4、vi /etc/ssh/sshd_config
prot 22766
端口的问题,可修改可不修改,本人更推荐在iptables做端口的安全配置,拒绝掉所有端口,指定IP允许22,如果你没有固定IP,推荐修改固定IP.
5、禁止系统响应任何从外部/内部来的ping请求
echo “1”> /proc/sys/net/ipv4/icmp_echo_ignore_all
默认情况下“icmp_echo_ignore_all”的值为“0”,表示响应ping操作。添加到rc.local
6、禁止Ctrl-Alt-Delete组合键重启系统
在linux的默认设置下,同时按下Control-Alt-Delete键,系统将自动重启,这是很不安全的,因此要禁止Control-Alt-Delete组合键重启系统,只需修改/etc文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

/inittab文件:
[root@localhost ~]#vi /etc/inittab

找到此行:ca::ctrlaltdel:/sbin/shutdown -t3 -r now
在之前加上“#”
然后执行:文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

[root@localhost ~]#telinit q

7、删除系统默认的不必要用户和组,账户越多,系统就越不安全,越容易受到攻击。
删除系统不必要的用户用下面命令文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

[root@localhost ~]# userdel username

删除系统不必要的组用如下命令:文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

[root@localhost ~]# groupdel  groupname

Linux系统中可以删除的默认用户和组有:
删除的用户,如adm,lp,sync,shutdown,halt,news,uucp,operator,games,gopher等。
删除的组,如adm,lp,news,uucp,games,dip,pppusers,popusers,slipusers等。
8、关闭selinux
SELinux是 Security-Enhanced Linux的简称,是一种内核强制访问控制安全系统,目前SELinux已经集成到Linux 2.6内核的主线和大多数Linux发行版上,由于SELinux与现有Linux应用程序和Linux内核模块兼容性还存在一些问题,因此建议初学者先 关闭selinux,等到对linux有了深入的认识后,再对selinux深入研究不迟!
查看linux系统selinux是否启用,可以使用getenforce命令:文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

[root@localhost ~]# getenforce
Disabled

关闭selinux,在redhat系列发行版中,可以直接修改如下文件:文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

[root@localhost ~]#vi /etc/sysconfig/selinux
# This file controls the state of SELinux on the system.
# SELINUX= can take one of these three values:
#       enforcing - SELinux security policy is enforced.
#       permissive - SELinux prints warnings instead of enforcing.
#       disabled - SELinux is fully disabled.
SELINUX=enforcing
# SELINUXTYPE= type of policy in use. Possible values are:
#       targeted - Only targeted network daemons are protected.
#       strict - Full SELinux protection.
SELINUXTYPE=targeted

将SELINUX=enforcing修改为SELINUX=disabled, 重启系统后将会停止SElinux。selinux功能强大,用的不数量的兄弟可以关闭,有时候安装apache发现总是启动不了,一般也是selinux造成的.文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

以上配置推荐作为公司linux初始化的安全配置.请记住本文地址:Linux系统必备安全配置 https://www.ttlsa.com/html/1702.html文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/

文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/文章源自运维生存时间-https://www.ttlsa.com/safe/linux-safe-configure/
weinxin
我的微信
微信公众号
扫一扫关注运维生存时间公众号,获取最新技术文章~
凉白开
  • 本文由 发表于 22/07/2013 21:05:35
  • 转载请务必保留本文链接:https://www.ttlsa.com/safe/linux-safe-configure/
  • linux安全
评论  3  访客  2
    • haha
      haha 2

      很好 ,赞

      • 凉白开
        凉白开 0

        123123123

      评论已关闭!