中文字幕日韩精品一区二区免费_精品一区二区三区国产精品无卡在_国精品无码专区一区二区三区_国产αv三级中文在线

CentOSLinux服務(wù)器安全設(shè)置

2022-10-09    分類: 網(wǎng)站建設(shè)

我們必須明白:最小的權(quán)限+最少的服務(wù)=大的安全

所以,無論是配置任何服務(wù)器,我們都必須把不用的服務(wù)關(guān)閉、把系統(tǒng)權(quán)限設(shè)置到最小話,這樣才能保證服務(wù)器大的安全。下面是CentOS服務(wù)器安全設(shè)置,供大家參考。

一、注釋掉系統(tǒng)不需要的用戶和用戶組

注意:不建議直接刪除,當(dāng)你需要某個用戶時,自己重新添加會很麻煩。

cp /etc/passwd /etc/passwdbak #修改之前先備份
vi /etc/passwd #編輯用戶,在前面加上#注釋掉此行

#adm:x:3:4:adm:/var/adm:/sbin/nologin
#lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin
#sync:x:5:0:sync:/sbin:/bin/sync
#shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown
#halt:x:7:0:halt:/sbin:/sbin/halt
#uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin
#operator:x:11:0:operator:/root:/sbin/nologin
#games:x:12:100:games:/usr/games:/sbin/nologin
#gopher:x:13:30:gopher:/var/gopher:/sbin/nologin
#ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin #注釋掉ftp匿名賬號
cp /etc/group /etc/groupbak #修改之前先備份
vi /etc/group #編輯用戶組,在前面加上#注釋掉此行
#adm:x:4:root,adm,daemon
#lp:x:7:daemon,lp
#uucp:x:14:uucp
#games:x:20:
#dip:x:40:

二、關(guān)閉系統(tǒng)不需要的服務(wù)

service acpid stop chkconfig acpid off #停止服務(wù),取消開機(jī)啟動 #電源進(jìn)階設(shè)定,常用在 Laptop 上
service autofs stop chkconfig autofs off #停用自動掛載檔桉系統(tǒng)與週邊裝置
service bluetooth stop chkconfig bluetooth off #停用Bluetooth藍(lán)芽
service cpuspeed stop chkconfig cpuspeed off #停用控制CPU速度主要用來省電
service cups stop chkconfig cups off #停用 Common UNIX Printing System 使系統(tǒng)支援印表機(jī)
service ip6tables stop chkconfig ip6tables off #禁止IPv6
####################################################################################################
如果要恢復(fù)某一個服務(wù),可以執(zhí)行下面操作
service acpid start chkconfig acpid on

三、禁止非root用戶執(zhí)行/etc/rc.d/init.d/下的系統(tǒng)命令

chmod -R 700 /etc/rc.d/init.d/*


chmod -R 777 /etc/rc.d/init.d/* #恢復(fù)默認(rèn)設(shè)置

四、給下面的文件加上不可更改屬性,從而防止非授權(quán)用戶獲得權(quán)限

chattr +i /etc/passwd
chattr +i /etc/shadow
chattr +i /etc/group
chattr +i /etc/gshadow
chattr +i /etc/services #給系統(tǒng)服務(wù)端口列表文件加鎖,防止未經(jīng)許可的刪除或添加服務(wù)
lsattr /etc/passwd /etc/shadow /etc/group /etc/gshadow /etc/services #顯示文件的屬性
注意:執(zhí)行以上權(quán)限修改之后,就無法添加刪除用戶了。
如果再要添加刪除用戶,需要先取消上面的設(shè)置,等用戶添加刪除完成之后,再執(zhí)行上面的操作
chattr -i /etc/passwd #取消權(quán)限鎖定設(shè)置
chattr -i /etc/shadow
chattr -i /etc/group
chattr -i /etc/gshadow
chattr -i /etc/services #取消系統(tǒng)服務(wù)端口列表文件加鎖
現(xiàn)在可以進(jìn)行添加刪除用戶了,操作完之后再鎖定目錄文件

五、限制不同文件的權(quán)限

chattr +a .bash_history #避免刪除.bash_history或者重定向到/dev/null
chattr +i .bash_history
chmod 700 /usr/bin 恢復(fù) chmod 555 /usr/bin
chmod 700 /bin/ping 恢復(fù) chmod 4755 /bin/ping
chmod 700 /usr/bin/vim 恢復(fù) chmod 755 /usr/bin/vim
chmod 700 /bin/netstat 恢復(fù) chmod 755 /bin/netstat
chmod 700 /usr/bin/tail 恢復(fù) chmod 755 /usr/bin/tail
chmod 700 /usr/bin/less 恢復(fù) chmod 755 /usr/bin/less
chmod 700 /usr/bin/head 恢復(fù) chmod 755 /usr/bin/head
chmod 700 /bin/cat 恢復(fù) chmod 755 /bin/cat
chmod 700 /bin/uname 恢復(fù) chmod 755 /bin/uname
chmod 500 /bin/ps 恢復(fù) chmod 755 /bin/ps

六、禁止使用Ctrl+Alt+Del快捷鍵重啟服務(wù)器

cp /etc/inittab /etc/inittabbak
vi /etc/inittab #注釋掉下面這一行
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

七、使用yum update更新系統(tǒng)時不升級內(nèi)核,只更新軟件包

由于系統(tǒng)與硬件的兼容性問題,有可能升級內(nèi)核后導(dǎo)致服務(wù)器不能正常啟動,這是非??膳碌?,沒有特別的需要,建議不要隨意升級內(nèi)核。
cp /etc/yum.conf /etc/yum.confbak
1、修改yum的配置文件 vi /etc/yum.conf 在[main]的最后添加 exclude=kernel*
2、直接在yum的命令后面加上如下的參數(shù):
yum --exclude=kernel* update
查看系統(tǒng)版本 cat /etc/issue
查看內(nèi)核版本 uname -a

八、關(guān)閉Centos自動更新

chkconfig --list yum-updatesd #顯示當(dāng)前系統(tǒng)狀態(tài)
yum-updatesd 0:關(guān)閉 1:關(guān)閉 2:啟用 3:啟用 4:啟用 5:啟用 6:關(guān)閉
service yum-updatesd stop #關(guān)閉 開啟參數(shù)為start
停止 yum-updatesd: [確定]
service yum-updatesd status #查看是否關(guān)閉
yum-updatesd 已停
chkconfig --level 35 yum-updatesd off #禁止開啟啟動(系統(tǒng)模式為3、5)
chkconfig yum-updatesd off #禁止開啟啟動(所有啟動模式全部禁止)
chkconfig --list yum-updatesd #顯示當(dāng)前系統(tǒng)狀態(tài)
yum-updatesd 0:關(guān)閉 1:關(guān)閉 2:啟用 3:關(guān)閉 4:啟用 5:關(guān)閉 6:關(guān)閉

九、關(guān)閉多余的虛擬控制臺

我們知道從控制臺切換到 X 窗口,一般采用 Alt-F7 ,為什么呢?因為系統(tǒng)默認(rèn)定義了 6 個虛擬控制臺,
所以 X 就成了第7個。實際上,很多人一般不會需要這么多虛擬控制臺的,修改/etc/inittab ,注釋掉那些你不需要的。

?
1
2
3
4
5
6
7
8
9
cp /etc/inittab /etc/inittabbak
vi /etc/inittab
# Run gettys in standard runlevels
1:2345:respawn:/sbin/mingetty tty1
#2:2345:respawn:/sbin/mingetty tty2
#3:2345:respawn:/sbin/mingetty tty3
#4:2345:respawn:/sbin/mingetty tty4
#5:2345:respawn:/sbin/mingetty tty5
#6:2345:respawn:/sbin/mingetty tty6

十、刪除MySQL歷史記錄

用戶登陸數(shù)據(jù)庫后執(zhí)行的SQL命令也會被MySQL記錄在用戶目錄的.mysql_history文件里。
如果數(shù)據(jù)庫用戶用SQL語句修改了數(shù)據(jù)庫密碼,也會因.mysql_history文件而泄漏。
所以我們在shell登陸及備份的時候不要在-p后直接加密碼,而是在提示后再輸入數(shù)據(jù)庫密碼。
另外這兩個文件我們也應(yīng)該不讓它記錄我們的操作,以防萬一。

?
1
2
3
4
5
6
cd
cp .bash_history .bash_historybak #備份
cp .mysql_history .mysql_historybak
rm .bash_history .mysql_history
ln -s /dev/null .bash_history
ln -s /dev/null .mysql_history

十一、修改history命令記錄

?
1
2
3
cp /etc/profile /etc/profilebak
vi /etc/profile
找到 HISTSIZE=1000 改為 HISTSIZE=50

十二、隱藏服務(wù)器系統(tǒng)信息

在缺省情況下,當(dāng)你登陸到linux系統(tǒng),它會告訴你該linux發(fā)行版的名稱、版本、內(nèi)核版本、服務(wù)器的名稱。
為了不讓這些默認(rèn)的信息泄露出來,我們要進(jìn)行下面的操作,讓它只顯示一個"login:"提示符。
刪除/etc/issue和/etc/issue.net這兩個文件,或者把這2個文件改名,效果是一樣的。
mv /etc/issue /etc/issuebak
mv /etc/issue.net /etc/issue.netbak

十三、優(yōu)化Linux內(nèi)核參數(shù)

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
cp /etc/sysctl.conf /etc/sysctl.confbak
vi /etc/sysctl.conf #在文件末尾添加以下內(nèi)容
 
net.ipv4.ip_forward = 1 #修改為1
net.core.somaxconn = 262144
net.core.netdev_max_backlog = 262144
net.core.wmem_default = 8388608
net.core.rmem_default = 8388608
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
net.ipv4.netfilter.ip_conntrack_max = 131072
net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 180
net.ipv4.route.gc_timeout = 20
net.ipv4.ip_conntrack_max = 819200
net.ipv4.ip_local_port_range = 10024 65535
net.ipv4.tcp_retries2 = 5
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_syn_retries = 1
net.ipv4.tcp_synack_retries = 1
net.ipv4.tcp_timestamps = 0
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_tw_len = 1
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_keepalive_time = 120
net.ipv4.tcp_keepalive_probes = 3
net.ipv4.tcp_keepalive_intvl = 15
net.ipv4.tcp_max_tw_buckets = 36000
net.ipv4.tcp_max_orphans = 3276800
net.ipv4.tcp_max_syn_backlog = 262144
net.ipv4.tcp_wmem = 8192 131072 16777216
net.ipv4.tcp_rmem = 32768 131072 16777216
net.ipv4.tcp_mem = 94500000 915000000 927000000
 
/sbin/sysctl -p #使配置立即生效

十四、CentOS 系統(tǒng)優(yōu)化

?
1
2
3
4
5
6
7
8
9
cp /etc/profile /etc/profilebak2
vi /etc/profile #在文件末尾添加以下內(nèi)容
ulimit -c unlimited
ulimit -s unlimited
ulimit -SHn 65535
ulimit -S -c 0
export LC_ALL=C
source /etc/profile #使配置立即生效
ulimit -a #顯示當(dāng)前的各種用戶進(jìn)程限制

十五、服務(wù)器禁止ping

?
1
2
3
4
cp /etc/rc.d/rc.local /etc/rc.d/rc.localbak
vi /etc/rc.d/rc.local #在文件末尾增加下面這一行
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
參數(shù)0表示允許 1表示禁止

十六、SSH安全

如果有可能,第一件事就是修改ssh的默認(rèn)端口22,改成如20002這樣的較大端口會大幅提高安全系數(shù),降低ssh破解登錄的可能性。

創(chuàng)建具備辨識度的應(yīng)用用戶如crm以及系統(tǒng)管理用戶sysmgr

#useradd crm -d /apps/crm
#passwd crm

#useradd sysmgr
#passwd sysmgr

十七、配置只能使用密鑰文件登錄

使用密鑰文件代替普通的簡單密碼認(rèn)證也會極大的提高安全性:

[dir@username ~]$ ssh-keygen -t rsa -b 2048
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): //默認(rèn)路徑,回車
Enter passphrase (empty for no passphrase): //輸入你的密鑰短語,登錄時使用
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
3e:fd:fc:e5:d3:22:86:8e:2c:4b:a7:3d:92:18:9f:64 root@ibpak.tp-link.net
The key's randomart image is:
+--[ RSA 2048]----+
| |

| o++o..oo..o|
+-----------------+

將公鑰重命名為authorized_key:

$ mv ~/.ssh/id_rsa.pub ~/.ssh/authorized_keys
$ chmod 600 ~/.ssh/authorized_keys

下載私鑰文件 id_rsa 到本地(為了更加容易識別,可重命名為hostname_username_id_rsa),保存到安全的地方。以后 username 用戶登錄這臺主機(jī)就必須使用這個私鑰,配合密碼短語來登錄(不再使用 username 用戶自身的密碼)

另外還要修改/etc/ssh/sshd_config文件

打開注釋

RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys

我們要求 username 用戶(可以切換到其他用戶,特別是root)必須使用ssh密鑰文件登錄,而其他普通用戶可以直接密碼登錄。因此還需在sshd_config文件最后加入:

Match User itsection
PasswordAuthentication no

重啟sshd服務(wù)

service sshd restart

另外提醒一句,這對公鑰和私鑰一定要單獨(dú)保存在另外的機(jī)器上,服務(wù)器上丟失公鑰或連接端丟失私鑰(或密鑰短語),可能導(dǎo)致再也無法登陸服務(wù)器獲得root權(quán)限!

十八、防止一般網(wǎng)絡(luò)攻擊

網(wǎng)絡(luò)攻擊不是幾行設(shè)置就能避免的,以下都只是些簡單的將可能性降到最低,增大攻擊的難度但并不能完全阻止。

1 禁ping
阻止ping如果沒人能ping通您的系統(tǒng),安全性自然增加了,可以有效的防止ping洪水。為此,可以在/etc/rc.d/rc.local文件中增加如下一行:

#echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

或使用iptable禁ping:

iptables -A INPUT -p icmp --icmp-type 0 -s 0/0 -j DROP

不允許ping其他主機(jī):

iptables -A OUTPUT -p icmp --icmp-type 8 -j DROP

防止IP欺騙
編輯/etc/host.conf文件并增加如下幾行來防止IP欺騙攻擊。

order hosts,bind #名稱解釋順序
multi on #允許主機(jī)擁有多個IP地址
nospoof on #禁止IP地址欺騙

3 防止DoS攻擊
對系統(tǒng)所有的用戶設(shè)置資源限制可以防止DoS類型攻擊,如大進(jìn)程數(shù)和內(nèi)存使用數(shù)量等。
可以在/etc/security/limits.conf中添加如下幾行:

*    soft    core    0
*    soft    nproc   2048
*    hard    nproc   16384
*    soft    nofile 1024
*    hard    nofile  65536

core 0 表示禁止創(chuàng)建core文件;nproc 128 把最多的進(jìn)程數(shù)限制到20;nofile 64 表示把一個用戶同時打開的大文件數(shù)限制為64;* 表示登錄到系統(tǒng)的所有用戶,不包括root

然后必須編輯/etc/pam.d/login文件檢查下面一行是否存在。

session    required     pam_limits.so

limits.conf參數(shù)的值需要根據(jù)具體情況調(diào)整。

十九、定期做日志安全檢查

將日志移動到專用的日志服務(wù)器里,這可避免入侵者輕易的改動本地日志。下面是常見linux的默認(rèn)日志文件及其用處:

/var/log/message – 記錄系統(tǒng)日志或當(dāng)前活動日志。
/var/log/auth.log – 身份認(rèn)證日志。
/var/log/cron – Crond 日志 (cron 任務(wù)).
/var/log/maillog – 郵件服務(wù)器日志。
/var/log/secure – 認(rèn)證日志。
/var/log/wtmp 歷史登錄、注銷、啟動、停機(jī)日志和,lastb命令可以查看登錄失敗的用戶
/var/run/utmp 當(dāng)前登錄的用戶信息日志,w、who命令的信息便來源與此
/var/log/yum.log Yum 日志。

安裝logwatch
Logwatch是使用 Perl 開發(fā)的一個日志分析工具。能夠?qū)inux 的日志文件進(jìn)行分析,并自動發(fā)送mail給相關(guān)處理人員,可定制需求。

Logwatch的mail功能是借助宿主系統(tǒng)自帶的 mail server 發(fā)郵件的,所以系統(tǒng)需安裝mail server , 如sendmail,postfix,Qmail等

二十、web服務(wù)器安全

像apache或tomcat這樣的服務(wù)端程序在配置時,如果有安全問題存在可以查閱文檔進(jìn)行安全加固。
安裝和配置方法見博文tomcat安全配置

至此,CentOS Linux服務(wù)器安全設(shè)置基本完成,更多的安全設(shè)置以及服務(wù)器優(yōu)化,還請大家自行測試。

至此,CentOS Linux服務(wù)器安全設(shè)置基本完成,以上設(shè)置經(jīng)過筆者實戰(zhàn)測試(CentOS-5.5-x86_64)完全可用,更多的安全設(shè)置以及服務(wù)器優(yōu)化,還請大家自行測試。

文章題目:CentOSLinux服務(wù)器安全設(shè)置
本文路徑:http://m.rwnh.cn/news22/204072.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供App設(shè)計、云服務(wù)器、Google、網(wǎng)站導(dǎo)航外貿(mào)網(wǎng)站建設(shè)、企業(yè)建站

廣告

聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請盡快告知,我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時需注明來源: 創(chuàng)新互聯(lián)

網(wǎng)站建設(shè)網(wǎng)站維護(hù)公司
托里县| 南木林县| 永靖县| 桂阳县| 梁山县| 石渠县| 遂溪县| 乌鲁木齐县| 兴文县| 麻江县| 高州市| 正安县| 营山县| 井研县| 温州市| 榆林市| 香格里拉县| 闸北区| 宁南县| 浦江县| 公主岭市| 江西省| 怀来县| 周宁县| 沙湾县| 阿勒泰市| 林口县| 乌兰浩特市| 文昌市| 阿克| 大宁县| 邹城市| 甘肃省| 伊川县| 肥东县| 汶川县| 达日县| 松阳县| 武胜县| 云南省| 黄大仙区|