suselinux系统安全的示例分析
这期内容当中小编将会给大家带来有关suse linux系统安全的示例分析,文章内容丰富且以专业的角度为大家分析和叙述,阅读完这篇文章希望大家可以有所收获。
我们提供的服务有:成都网站设计、成都做网站、微信公众号开发、网站优化、网站认证、邹平ssl等。为超过千家企事业单位解决了网站和推广的问题。提供周到的售前咨询和贴心的售后服务,是有科学管理、有技术的邹平网站制作公司
SUSE Linux Enterprise Server 10是众多Linux发行版本中比较优秀出色的主流商业版本,它不仅具有Linux的通用功能外,还因其有比较出色的性能和对安全有较好的控制,吸引了很多企业级用户,在国内也开始有大量的关键应用。我也在接触到的具体项目中根据客户要求部署和应用了这个版本,就个人感觉而言,整体性的安全还是不错的,在加密和认证方面做的比较好,但是SUSE里还有很多安全细节需要我们注意。在此总结一下自己的应用经验,未必全面算是一个总结和交流吧。
一、帐户管理方面
1、锁定不必要的系统账户
有很多账户是系统账户,在日常管理中也一直不会被人使用,锁定这些账户有助于减少***者的利用。方法是:将账户直接删除或设置一个无效的shell(比如/bin/false)。SUSE里使用/bin/false而不是/bin/nologin。
在这里,我们通过VI修改/etc/passwd文件,可以把不常用的at、bin、deamon、ftp、games、lp、man、news、nobody等用户的的登陆shell改为/bin/false,这样该用户就不能登录了。
2、设置账户定期修改密码参数
强制用户定期改变密码,根据你的实际情况在/etc/login.defs进行调整。比如:设置成90天更改密码。只需把PASS_MAX_DAYS的默认99999改为90天保持即可。
#vi /etc/login.defs
关闭不必要或暂时不用的服务:
#chkconfig slpd off
#chkconfig portmap off
#chkconfig postfix off
比如RPC端口映射服务,由于RPC的验证机制很薄弱,很容易被绕过,却可以利用RPC得到很多重要的信息。除非是需要NIS,最好禁用。
另外在SUSE中Postfix服务默认是激活状态。如果这台服务器是邮件服务器的话,需要注意的是,有权限在web界面上搜索附件是一个安全隐患。另外,如果你对邮件服务器管理有经验的话,你会知道为postfix规划一个chroot环境有多么重要。在chroot环境下,即使有人闯入了smtpd daemon,能够造成的损害也比较有限。加固方法:
打开:vi /etc/sysconfig/mail,设置SMTPD_LISTEN_REMOTE="yes"。
关闭:vi /etc/sysconfig/mail,设置SMTPD_LISTEN_REMOTE="no"。
另外不必要的端口也都可以关闭,以免留下漏洞。
#netstat -antp
输出CPU使用情况的统计信息,每秒输出一次,一共输出10次
输出网络设备状态的统计信息
四、其他需要注意的方面:
1、查找无主文件
不要让你的系统上有任何无主文件,无主文件可能是一个***者已经访问了你的系统,或者是软件包的不正确维护安装造成的。比如删除了用户或者组,但是相关文件没有删除。另一种常见情况是软件安装时,没有正确的设置所有者。NFS挂载文件,会忽视用户ID和系统之间的映射同步,也有可能造成无主文件的产生。
检查命令:
for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do
find $PART -nouser -o -nogroup -print
done
注意:不用管“/dev”目录下的那些文件。如果是/tmp目录下存在大量没有属主的文件,建议查明用途并添加属主或消除。
2、删除空密码账户
使用awk -F: '($2 == "") { print $1 }' /etc/shadow命令查找空密码账户。空密码账户是指任何人都可以登录,而不用提供密码。所有的账户都应该有健壮的密码,避免弱口令。
3、ssh的安全加固
SUSE上默认安装了OpenSSH,OpenSSH是目前比较流行并且免费的加密连接工具,但OpenSSH的低版本也存在不少安全漏洞,所以最好还是下载最新版本的。另外我们还需要限制ROOT账户的远程登录、更改默认端口、指定可访问的网络等等。它的版本1的安全问题比较严重甚至可以截获密码,所以建议你将协议版本修改为2。因为FTP不是很安全,建议大家利用SCP命令来传输文件。
通过VI来修改,方法如下:
vi /etc/ssh/sshd_config
6、内核网络优化
/proc/sys/net/目录主要包括了许多网络相关的主题,通过改变这些目录中的文件参数,可以很方便调整和优化相关网络参数。在/proc/sys/net/目录下有两个目录就是/proc/sys/net/core和/proc/sys/net/ipv4,调整这两个目录下的某些文件的参数,能为我们的网络应用带到某些意想不到的效果。
建议修改:
net.ipv4.tcp_max_syn_backlog = 4096
记录的那些尚未收到客户端确认信息的连接请求的最大值。
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.default.secure_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
关于SUSE LINUX的系统安全,暂且总结这么多,也希望使用SUSE LINUX的朋友一起来交流和学习。
上述就是小编为大家分享的suse linux系统安全的示例分析了,如果刚好有类似的疑惑,不妨参照上述分析进行理解。如果想知道更多相关知识,欢迎关注创新互联行业资讯频道。
分享题目:suselinux系统安全的示例分析
新闻来源:http://myzitong.com/article/giippp.html