CentOS系统安全的简单配置

1， 最小化安装：

在安装centos系统的时候选择定制安装，不安装图形化界面、根据自己的情况选择安装的服务或者一个都不安装，等安装完了以后自行安装、选择软件编译安装所需的工具和库等。

2， 安装系统补丁：

建议使用centos自带的yum工具来安装

[ root@localhost ~]# rpm –import /etc/pki/rpm-gpg/RPM-GPG-KEY*

[root@localhost ~]# yum update

3， 帐号和登录安全：

Root用户设置强密码；

新建一个非管理员帐号；

禁止root用户直接ssh登录、更改ssh默认端口；

[root@localhost ~]# vi /etc/ssh/sshd_config

第十四行处“ # Port 22”，去掉“#”，将22改成你要设置的ssh端口，比如22110；

再添加一行PermitRootLogin no，禁止root用户ssh登录。

4， 开启Linux防火墙，只开放应用端口。

开启centos防火墙，默认是开启的，禁用selinux；

最好自行设置防火墙策略，根据自己的应用开放相应的端口（下面的配置是状态检测防火墙）。

vi iptables_rule.sh

#!/bin/bash

iptables -F

iptables -X

iptables -Z

iptables -P INPUT DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p icmp –icmp-type any -j ACCEPT

iptables -A INPUT -p udp –dport 161 -j ACCEPT

iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -m state –state NEW –dport 22110 -j ACCEPT

iptables -A INPUT -p tcp -m state –state NEW –dport 80 -j ACCEPT

保存推出后，设置iptables_rule.sh为可执行文件

[root@localhost ~]# ./iptable_rule.sh

[root@localhost ~]# servcie iptables save

5， 关闭一些不需要的服务，如：sendmail服务不需要的话可以关闭。

￥基本安全措施

1.禁用系统中不用的用户和组

passwd -l zhangsan （锁定账户）

passwd -u zhangsan （解锁账户）

或者直接修改shadow文件，在zhangsan用户的密码字符串前加“!”号。

2.确认程序或服务用户的登录Shell不可用

usermod -s /sbin/nologin rpm

或者直接修改passwd文件。

3.限制用户的密码有效期

chage -M 30 zhangsan

或者直接修改login.defs文件。

4.指定用户在下次登录时必须修改密码

chage -M 0 zhangsan

5.限制用户密码的最小长度

#vi /etc/pam.d/system-auth

password  requisite  pam_cracklib.so try_first_pass retry=3 minlen=12

6.限制记录命令历史的条数

#vi /etc/profile

HISTSIZE=100

7.设置当前用户在注销登录后自动清空命令历史记录

#echo "history -c" >> ~/.bash_logout

8.设置闲置超时自动注销终端

#vi /etc/profile

export TMOUT=600

￥使用su切换用户身份

*.允许zhangsan用户可以通过su命令切换为root身份，

*.禁止其他用户使用su命令切换用户身份

#gpasswd -a zhangsan wheel

#vi /etc/pam.d/su

auth  required pam_wheel.so  use_uid

￥使用sudu提升执行权限

1.授权root用户Jerry可以以root用户的权限执行ifconfig命令

#visudu

Jerry       localhost=/sbin/ifconfig

2.设置用户、主机、命令三部分的自定义别名

User_Alias      OPERATORS=jerry,tom,tsengyia

Host_Alias      MAILSERVERS=smtp,pop

Cmnd_Alias      SOFTWARE=/bin/rpm,/usr/bin/yum

3.通过别名定义一组命令，并授权tom可以使用改组命令

#visudu

Cmnd_Alias      SYSVCTRL=/sbin/service,/bin/kill,/bin/killall

tom    localhost=SYSVCTRL

4.授权wheel组的用户不需验证密码即可执行所有命令

#visudu

%wheel      ALL=(ALL)        NOPASSWD:ALL

5.授权用户mike可以通过sudu调用/sbin和/usr/bin目录下的所有命令，但是禁止调用/sbin/ifconfig命令修改eth0参数，禁止调用/usr/bin/vim命令防止修改配置文件

#visudu

mike    localhost=/sbin/*,/usr/bin/*,!/sbin/ifconfig eth0,!/usr/bin/vim

6.为sudu启用日志

#visudu

Defaults  logfile = "/var/log/sudo"

#vi /etc/syslog.conf

local2.debug      /var/log/sudo

#service syslog restart

*.因系统管理工作繁重，需要将用户账号管理工作交给专门的管理组成员负责

*。设立组账号"managers"，授权组内的各成员用户可以添加、删除、更改用户账号

#groupadd managers

#gpasswd -M zhangsan,lisi managers

#visudu

Cmnd_Alias USERADM = /usr/sbin/useradd,/usr/sbin/userdel,/usr/sbin/usermod

%managers localhost=USERADM

￥文件系统层次的安全优化

1.锁定不希望更改的文件

#chattr +i /etc/service /etc/passwd /boot/grub.conf

2.解锁锁定的文件

#chattr -i /etc/passwd

￥系统引导和系统安全优化

1.调整BIOS引导设置

2.防止用户通过CTRL+ALT+DEL热键重启系统

#vi /etc/inittab

#ca::/ctrlaltdel:/sbin/shutdown -t3 -r now

#init q

3.GRUB引导菜单加密

#vi /boot/grub/grub.conf

password 123456

4.在grub.conf文件中设置md5加密的密码字串

#grub-md5-crypt

5.即时禁止普通用户登录

#touch /etc/nologin

6.控制服务器开放的tty终端

#vi /etc/inittab

7.控制允许root用户登录的tty终端

#vi /etc/securetty

#tty2

#tty3

8.更改系统登录提示，隐藏内核版本信息

#vi /etc/issue

welcome to server.

#cp -f /etc/issue /etc/issue.net

9.使用pam_access认证控制用户登录地点

禁止除了root以外的用户从tty1终端上登录系统

#vi /etc/pam.d/login

account required pam_access.so

#vi /etc/security/access.conf

- : ALL EXCEPT root : tty1

禁止root用户从192.168.1.0/24、172.16.0.0/8网络中远程登录

#vi /etc/pam.d/sshd

account  required  pam_access.so

#vi /etc/security/access.conf

- : root : 192.168.1.0/24 172.16.0.0/8

1， 最小化安装：

在安装centos系统的时候选择定制安装，不安装图形化界面、根据自己的情况选择安装的服务或者一个都不安装，等安装完了以后自行安装、选择软件编译安装所需的工具和库等。

2， 安装系统补丁：

建议使用centos自带的yum工具来安装

[ root@localhost ~]# rpm –import /etc/pki/rpm-gpg/RPM-GPG-KEY*

[root@localhost ~]# yum update

3， 帐号和登录安全：

Root用户设置强密码；

新建一个非管理员帐号；

禁止root用户直接ssh登录、更改ssh默认端口；

[root@localhost ~]# vi /etc/ssh/sshd_config

第十四行处“ # Port 22”，去掉“#”，将22改成你要设置的ssh端口，比如22110；

再添加一行PermitRootLogin no，禁止root用户ssh登录。

4， 开启Linux防火墙，只开放应用端口。

开启centos防火墙，默认是开启的，禁用selinux；

最好自行设置防火墙策略，根据自己的应用开放相应的端口（下面的配置是状态检测防火墙）。

vi iptables_rule.sh

#!/bin/bash

iptables -F

iptables -X

iptables -Z

iptables -P INPUT DROP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -p icmp –icmp-type any -j ACCEPT

iptables -A INPUT -p udp –dport 161 -j ACCEPT

iptables -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

iptables -A INPUT -p tcp -m state –state NEW –dport 22110 -j ACCEPT

iptables -A INPUT -p tcp -m state –state NEW –dport 80 -j ACCEPT

保存推出后，设置iptables_rule.sh为可执行文件

[root@localhost ~]# ./iptable_rule.sh

[root@localhost ~]# servcie iptables save

5， 关闭一些不需要的服务，如：sendmail服务不需要的话可以关闭。

￥基本安全措施

1.禁用系统中不用的用户和组

passwd -l zhangsan （锁定账户）

passwd -u zhangsan （解锁账户）

或者直接修改shadow文件，在zhangsan用户的密码字符串前加“!”号。

2.确认程序或服务用户的登录Shell不可用

usermod -s /sbin/nologin rpm

或者直接修改passwd文件。

3.限制用户的密码有效期

chage -M 30 zhangsan

或者直接修改login.defs文件。

4.指定用户在下次登录时必须修改密码

chage -M 0 zhangsan

5.限制用户密码的最小长度

#vi /etc/pam.d/system-auth

password  requisite  pam_cracklib.so try_first_pass retry=3 minlen=12

6.限制记录命令历史的条数

#vi /etc/profile

HISTSIZE=100

7.设置当前用户在注销登录后自动清空命令历史记录

#echo "history -c" >> ~/.bash_logout

8.设置闲置超时自动注销终端

#vi /etc/profile

export TMOUT=600

￥使用su切换用户身份

*.允许zhangsan用户可以通过su命令切换为root身份，

*.禁止其他用户使用su命令切换用户身份

#gpasswd -a zhangsan wheel

#vi /etc/pam.d/su

auth  required pam_wheel.so  use_uid

￥使用sudu提升执行权限

1.授权root用户Jerry可以以root用户的权限执行ifconfig命令

#visudu

Jerry       localhost=/sbin/ifconfig

2.设置用户、主机、命令三部分的自定义别名

User_Alias      OPERATORS=jerry,tom,tsengyia

Host_Alias      MAILSERVERS=smtp,pop

Cmnd_Alias      SOFTWARE=/bin/rpm,/usr/bin/yum

3.通过别名定义一组命令，并授权tom可以使用改组命令

#visudu

Cmnd_Alias      SYSVCTRL=/sbin/service,/bin/kill,/bin/killall

tom    localhost=SYSVCTRL

4.授权wheel组的用户不需验证密码即可执行所有命令

#visudu

%wheel      ALL=(ALL)        NOPASSWD:ALL

5.授权用户mike可以通过sudu调用/sbin和/usr/bin目录下的所有命令，但是禁止调用/sbin/ifconfig命令修改eth0参数，禁止调用/usr/bin/vim命令防止修改配置文件

#visudu

mike    localhost=/sbin/*,/usr/bin/*,!/sbin/ifconfig eth0,!/usr/bin/vim

6.为sudu启用日志

#visudu

Defaults  logfile = "/var/log/sudo"

#vi /etc/syslog.conf

local2.debug      /var/log/sudo

#service syslog restart

*.因系统管理工作繁重，需要将用户账号管理工作交给专门的管理组成员负责

*。设立组账号"managers"，授权组内的各成员用户可以添加、删除、更改用户账号

#groupadd managers

#gpasswd -M zhangsan,lisi managers

#visudu

Cmnd_Alias USERADM = /usr/sbin/useradd,/usr/sbin/userdel,/usr/sbin/usermod

%managers localhost=USERADM

￥文件系统层次的安全优化

1.锁定不希望更改的文件

#chattr +i /etc/service /etc/passwd /boot/grub.conf

2.解锁锁定的文件

#chattr -i /etc/passwd

￥系统引导和系统安全优化

1.调整BIOS引导设置

2.防止用户通过CTRL+ALT+DEL热键重启系统

#vi /etc/inittab

#ca::/ctrlaltdel:/sbin/shutdown -t3 -r now

#init q

3.GRUB引导菜单加密

#vi /boot/grub/grub.conf

password 123456

4.在grub.conf文件中设置md5加密的密码字串

#grub-md5-crypt

5.即时禁止普通用户登录

#touch /etc/nologin

6.控制服务器开放的tty终端

#vi /etc/inittab

7.控制允许root用户登录的tty终端

#vi /etc/securetty

#tty2

#tty3

8.更改系统登录提示，隐藏内核版本信息

#vi /etc/issue

welcome to server.

#cp -f /etc/issue /etc/issue.net

9.使用pam_access认证控制用户登录地点

禁止除了root以外的用户从tty1终端上登录系统

#vi /etc/pam.d/login

account required pam_access.so

#vi /etc/security/access.conf

- : ALL EXCEPT root : tty1

禁止root用户从192.168.1.0/24、172.16.0.0/8网络中远程登录

#vi /etc/pam.d/sshd

account  required  pam_access.so

#vi /etc/security/access.conf

- : root : 192.168.1.0/24 172.16.0.0/8


相关内容

  • 2017年永州市中职网络搭建及应用竞赛试题

    • 2017年 永州市网络搭建及应用试题 2017年永州市中等职业院校技能竞赛 网络搭建及应用试题 比赛注意事项: 1．本次竞赛时间为180分钟,中间不安排休息,竞赛结束后,请自觉停止操作. 2．参赛选手应增强角色意识,科学合理分工与合作. 3．本次竞赛分三部分,其中网络搭建50%,Windows 系统 ...

  • 产品研发部产品规划说明书

    • 通用产品研发部产品规划 方案 汇金科技有限责任公司 2014年12月3日 1 2 3 4 5 6 7 8 引言............................................................................................... ...

  • 阿里云-云服务器怎么样

    • 阿里云-云服务器怎么样 云服务器与传统服务器的区别? 1. 什么是云服务器? 云计算服务器(又称云服务器或云主机),是云计算服务体系中的一项主机产品,该产品有效的解决了传统物理租机与VPS服务中,存在的管理难度大,业务扩展性弱的缺陷.在实际应用中的云主机具有三个方面的弹性能力: 主机服务配置与业务规 ...

  • 中小企业服务云平台建设项目设计方案

    • XX 软件园中小微企业公共服务平台 暨XX 软件园中小企业服务云平台 设计方案 目 录 第1章 项目概述 . ............................................................................................... ...

  • 网络搭建及应用

    • 2013-2015年全国职业院校技能大赛 比赛项目方案申报书 类别(国赛已有项目 ) 申报单位: 中国职业技术教育学会信息化工作委员会 拟举办年份: 2014年 方案申报负责人: 孙林营 电话: 010-52452581 手机: [1**********] 邮箱: [email protected] ...

  • 如何在Linux操作系统下搭建配置流媒体服务器系统

    • 鉴于服务器端的安全性因素,更多的网络管理员更愿意在Linux操作系统下搭建流媒体服务器系统进行互联网的实时直播和点播.那么如何在Linux操作系统下安装和配置流媒体服务器系统呢?下面是详细的安装配置说明.(以800li media server的Linux的安装和配置为例说明) 安装之前请确认 a. ...

  • 网络信息安全比赛规程

    • 附件4: 2015年全国职业院校信息技术技能大赛 网络信息安全赛项规程 一.赛项信息赛项编号:XXJS2015003赛项名称:网络信息安全 英语翻译:NetworkInformationSecurity赛项组别:中职组赛项归属产业:信息产业二.竞赛时限比赛时间共180分钟.三.竞赛内容及评分细则(一 ...

  • 毕业论文选题

    • 毕业论文(设计)选题 一.信息管理专业 题目1.基于PHP的投票管理系统(设计类) 参考语言:PHP,MYSQL 要求:能够使用PHP编程语言及MYSQL的数据库知识设计一个投票管理系统,能够实现:申请投票主题.投票.统计投票结果.版主管理等主题模块 题目2.基于PHP的产品进销存管理系统(论文类) ...

  • Linux运维工程师笔试题(13题)

    • Linux运维工程师笔试题(13题) 千锋Linux云计算运维培训课程,系统全面地教授学员自动化运维,云运维(公有云,私有云,混合云)的专业技术,毕业后具有核心竞争力和发展的岗位有:Linux高级运维工程师,云计算架构师,云计算开发工程师,云计算安全工程师. 小编整理了一下Linux运维工程师的笔试 ...

热门内容

标签

范文 创业计划书   高中自我鉴定范文 毕业生   青春微电影剧本范文   关于调查报告的范文   初一学生个人总结范文   写信的信封格式范文   在职教师自我介绍范文   小学日记范文   纵式结构范文   化妆品培训心得范文   旅游投诉书   银行答谢会主持稿   100句混社会名言   村干部培训主持词