Linux操作系统安全配置步骤_kernel配置 var目录

一、磁盘分区 

1、如果是新 安装 系统 ，对磁盘分区应考虑安全性： 
　　1）根目录（/）、用户目录（/home）、临时目录（/tmp）和/var目录应分开到不同的磁盘分区； 
　　2）以上各目录所在分区的磁盘空间大小应充分考虑，避免因某些原因造成分区空间用完而导致 系统 崩溃； 

2、对于/tmp和/var目录所在分区，大多数情况下不需要有suid属性的程序，所以应为这些分区添加nosuid属性； 
　　　　 方法 一：修改/etc/fstab文件，添加nosuid属性字。例如： 

　　　　/dev/hda2 /tmp ext2 exec,dev,nosuid,rw 0 0 
^^^^^^ 
　　　　 方法 二：如果对/etc/fstab文件 操作 不熟，建议通过linuxconf程序来修改。 

　　　　＊　运行linuxconf程序； 
　　　　＊　选择"File systems"下的"Access local drive"； 
　　　　＊　选择需要修改属性的磁盘分区； 
　　　　＊　选择"No setuid programs allowed"选项； 
　　　　＊　根据需要选择其它可选项； 
　　　　＊　正常退出。（一般会提示重新mount该分区） 


二、 安装  

1、对于非测试主机，不应 安装 过多的软件包。这样可以降低因软件包而导致出现安全漏洞的可能性。 
2、对于非测试主机，在选择主机启动 服务 时不应选择非必需的 服务 。例如routed、ypbind等。 


三、安全配置与增强 

内核升级。起码要升级至2.2.16以上版本。 
GNU libc共享库升级。（警告：如果没有经验，不可轻易尝试。可暂缓。） 
关闭危险的 网络 服务 。echo、chargen、shell、login、finger、NFS、RPC等 
关闭非必需的 网络 服务 。talk、ntalk、pop-2等 
常见 网络 服务 安全配置与升级 
确保 网络 服务 所使用版本为当前最新和最安全的版本。 
取消匿名FTP访问 
去除非必需的suid程序 
使用tcpwrapper 
使用ipchains防火墙 
日志 系统 syslogd 


一些细节： 

1. 操作 系统 内部的log file是检测是否有 网络 入侵的重要线索，当然这个假定你的logfile不被侵入者所破坏，如果你有台 服务 器用专线直接连到Internet上，这意味着你的IP地址是永久固定的地址，你会发现有很多人对你的 系统 做telnet/ftp登录尝试，试着运行#more /var/log/secure | grep refused 去检查。 

2. 限制具有SUID权限标志的程序数量，具有该权限标志的程序以root身份运行，是一个潜在的安全漏洞，当然，有些程序是必须要具有该标志的，象passwd程序。 

3.BIOS安全。 设置 BIOS密码且修改引导次序禁止从软盘启动 系统 。 

4. 用户口令。用户口令是Linux安全的一个最基本的起点，很多人使用的用户口令就是简单的‘password'，这等于给侵入者敞开了大门，虽然从理论上说没有不能确解的用户口令，只要有足够的时间和资源可以利用。比较好的用户口令是那些只有他自己能够容易记得并理解的一串字符，并且绝对不要在任何地方写出来。 

5./etc/exports 文件。如果你使用NFS网络文件 系统 服务 ，那么确保你的/etc/exports具有最严格的存取权限 设置 ，不意味着不要使用任何通配符，不允许root写权限，mount成只读文件 系统 。编辑文件/etc/exports并且加：例如： 

/dir/to/export host1.mydomain.com(ro,root_squash) 
/dir/to/export host2.mydomain.com(ro,root_squash) 

/dir/to/export 是你想输出的目录，host.mydomain.com是登录这个目录的机器名， 
ro意味着mount成只读 系统 ，root_squash禁止root写入该目录。 
为了让上面的改变生效，运行/usr/sbin/exportfs -a 

6.确信/etc/inetd.conf的所有者是root，且文件权限 设置 为600 。 
[root@deep]# chmod 600 /etc/inetd.conf 
ENSURE that the owner is root. 
[root@deep]# stat /etc/inetd.conf 
File: "/etc/inetd.conf" 
Size: 2869 Filetype: Regular File 
Mode: (0600/-rw-------) Uid: ( 0/ root) Gid: ( 0/ root) 
Device: 8,6 Inode: 18219 Links: 1 
Access: Wed Sep 22 16:24:16 1999(00000.00:10:44) 
Modify: Mon Sep 20 10:22:44 1999(00002.06:12:16) 
Change:Mon Sep 20 10:22:44 1999(00002.06:12:16) 

编辑/etc/inetd.conf禁止以下 服务 ： 
ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger, 
auth, etc. 除非你真的想用它。 
特别是禁止那些r命令.如果你用ssh/scp，那么你也可以禁止掉telnet/ftp。 

为了使改变生效，运行#killall -HUP inetd 
你也可以运行#chattr +i /etc/inetd.conf使该文件具有不可更改属性。 
只有root才能解开，用命令 
#chattr -i /etc/inetd.conf 

7. TCP_WRAPPERS 
默认地，Redhat Linux允许所有的请求,用TCP_WRAPPERS增强你的站点的安全性是举手 
之劳，你可以放入 
“ALL: ALL”到/etc/hosts.deny中禁止所有的请求，然后放那些明确允许的请求到 
/etc/hosts.allow中，如: 
sshd: 192.168.1.10/255.255.255.0 gate.openarch.com 
对IP地址192.168.1.10和主机名gate.openarch.com，允许通过ssh连接。 
配置完了之后，用tcpdchk检查 

[root@deep]# tcpdchk 
tcpchk是TCP_Wrapper配置检查工具， 
它检查你的tcp wrapper配置并报告所有发现的潜在/存在的问题。 

8. 别名文件aliases 
编辑别名文件/etc/aliases（也可能是/etc/mail/aliases)，移走/注释掉下面的行。 

# Basic system aliases -- these MUST be present. 
MAILER-DAEMON: postmaster 
postmaster: root 
# General redirections for pseudo accounts. 
bin: root 
daemon: root 
#games: root ?remove or comment out. 
#ingres: root ?remove or comment out. 
nobody: root 
#system: root ?remove or comment out. 
#toor: root ?remove or comment out. 
#uucp: root ?remove or comment out. 
# Well-known aliases. 
#manager: root ?remove or comment out. 
#dumper: root ?remove or comment out. 
#operator: root ?remove or comment out. 
# trap decode to catch security attacks 
#decode: root 
# Person who should get root's mail 
#root: marc 
最后更新后不要忘记运行/usr/bin/newaliases，使改变生效。 

9.阻止你的 系统 响应任何从外部/内部来的ping请求。 
既然没有人能ping通你的机器并收到响应，你可以大大增强你的站点的安全性。你可以加下面的一行命令到/etc/rc.d/rc.local，以使每次启动后自动运行。 

echo 1 >; /proc/sys/net/ipv4/icmp_echo_ignore_all 

10. 不要显示出 操作 系统 和版本信息。 
如果你希望某个人远程登录到你的 服务 器时不要显示 操作 系统 和版本信息，你能改变 
/etc/inetd.conf中的一行象下面这样： 

telnet stream tcp nowait root /usr/sbin/tcpd in.telnetd -h 

加-h标志在最后使得telnet后台不要显示 系统 信息，而仅仅显示login: 

11.The /etc/host.conf file 
编辑host.conf文件(vi /etc/host.conf)且加下面的行： 

# Lookup names via DNS first then fall back to /etc/hosts. 
order bind,hosts 
# We don't have machines with multiple IP addresses on the same card 
(like virtual server,IP Aliasing). 
multi off 
# Check for IP address spoofing. 
nospoof on 
IP Spoofing: IP-Spoofing is a security exploit that works by tricking 
computers in a trust relationship that you are someone that you really aren't. 

12. The /etc/securetty file 
该文件指定了允许root登录的tty设备，/etc/securetty被/bin/login程序读取,它的 
格式是一行一个被允许的名字列表，如你可以编辑/etc/securetty且注释出下面的行。 
tty1 
#tty2 
#tty3 
#tty4 
#tty5 
#tty6 
#tty7 
#tty8 
-意味着root仅仅被允许在tty1终端登录。 

13. 特别的帐号 
禁止所有默认的被 操作 系统 本身启动的且不需要的帐号，当你第一次装上 系统 时就应该做此检查，Linux提供了各种帐号，你可能不需要，如果你不需要这个帐号，就移走它，你有的帐号越多，就越容易受到攻击。
为删除你 系统 上的用户，用下面的命令： 
[root@deep]# userdel username 
为删除你 系统 上的组用户帐号，用下面的命令： 
[root@deep]# groupdel username 
在终端上打入下面的命令删掉下面的用户。 
[root@deep]# userdel adm 
[root@deep]# userdel lp 
[root@deep]# userdel sync 
[root@deep]# userdel shutdown 
[root@deep]# userdel halt 
[root@deep]# userdel mail 
如果你不用sendmail服务器，procmail.mailx,就删除这个帐号。 
[root@deep]# userdel news 
[root@deep]# userdel uucp 
[root@deep]# userdel operator 
[root@deep]# userdel games 
如果你不用X windows  服务 器，就删掉这个帐号。 
[root@deep]# userdel gopher 
[root@deep]# userdel ftp 
如果你不允许匿名FTP，就删掉这个用户帐号。 
=== 
打入下面的命令删除组帐号 
[root@deep]# groupdel adm 
[root@deep]# groupdel lp 
[root@deep]# groupdel mail 
如不用Sendmail服务器，删除这个组帐号 
[root@deep]# groupdel news 
[root@deep]# groupdel uucp 
[root@deep]# groupdel games 
如你不用X Windows，删除这个组帐号 
[root@deep]# groupdel dip 
[root@deep]# groupdel pppusers 
[root@deep]# groupdel popusers 
如果你不用POP服务器，删除这个组帐号 
[root@deep]# groupdel slipusers 
==== 
用下面的命令加需要的用户帐号 
[root@deep]# useradd username 
用下面的命令改变用户口令 
[root@deep]# passwd username 

用chattr命令给下面的文件加上不可更改属性。 
[root@deep]# chattr +i /etc/passwd 
[root@deep]# chattr +i /etc/shadow 
[root@deep]# chattr +i /etc/group 
[root@deep]# chattr +i /etc/gshadow 

14. 阻止任何人su作为root. 
如果你不想任何人能够su作为root,你能编辑/etc/pam.d/su加下面的行： 

auth sufficient /lib/security/pam_rootok.so debug 
auth required /lib/security/pam_wheel.so group=isd 

意味着仅仅isd组的用户可以su作为root. 
然后，如果你希望用户admin能su作为root.就运行下面的命令。 

[root@deep]# usermod -G10 admin 

16. 资源限制 
对你的 系统 上所有的用户 设置 资源限制可以防止DoS类型攻击（denial of service attacks） 
如最大进程数，内存数量等。例如，对所有用户的限制象下面这样： 
编辑/etc/security/limits.con加： 

* hard core 0 
* hard rss 5000 
* hard nproc 20 
你也必须编辑/etc/pam.d/login文件加/检查这一行的存在。 

session required /lib/security/pam_limits.so 

上面的命令禁止core files“core 0”，限制进程数为“nproc 50“，且限制内存使用 
为5M“rss 5000”。 

17. The /etc/lilo.conf file 

a) Add: restricted 
加这一行到每一个引导映像下面，就这表明如果你引导时用(linux single),则需要一个password. 

b) Add: password=some_password 
当与restricted联合用，且正常引导时，需要用户输入密码，你也要确保lilo.conf 
文件不能被不属于root的用户可读，也免看到密码明文。下面是例子： 
编辑/etc/lilo.conf加： 
==== 
boot=/dev/sda 
map=/boot/map 
install=/boot/boot.b 
prompt 
timeout=50 
Default=linux 
restricted ?add this line. 
password=some_password ?add this line. 
image=/boot/vmlinuz-2.2.12-20 
label=linux 
initrd=/boot/initrd-2.2.12-10.img 
root=/dev/sda6 
read-only 
[root@deep]# chmod 600 /etc/lilo.conf (不再能被其他用户可读). 
[root@deep]# /sbin/lilo -v (更新lilo配置). 
[root@deep]# chattr +i /etc/lilo.conf（阻止该文件被修改） 

18. 禁止 Control-Alt-Delete 重启动机器命令 

[root@deep]# vi /etc/inittab 
ca::ctrlaltdel:/sbin/shutdown -t3 -r now 
To 
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now 
[root@deep]# /sbin/init q 

19. 重新 设置 /etc/rc.d/init.d/目录下所有文件的许可权限 
[root@deep]# chmod -R 700 /etc/rc.d/init.d/* 
仅仅root可以读，写，执行上述所有script file. 

20. The /etc/rc.d/rc.local file 
默认地，当你login到linux server时，它告诉你linux版本名，内核版本名和 服务 器 
主机名。它给了你太多的信息，如果你就希望得到提示login: ,编辑 
/etc/rc.d/rc.local放#在下面的行前面： 
-- 
# This will overwrite /etc/issue at every boot. So, make any changes you 
# want to make to /etc/issue here or you will lose them when you reboot. 
#echo "" >; /etc/issue 
#echo "$R" >;>; /etc/issue 
#echo "Kernel $(uname -r) on $a $(uname -m)" >;>; /etc/issue 
# 
#cp -f /etc/issue /etc/issue.net 
#echo >;>; /etc/issue 
-- 
然后，做下面的事情: 
[root@deep]# rm -f /etc/issue 
[root@deep]# rm -f /etc/issue.net 
[root@deep]# touch /etc/issue 
[root@deep]# touch /etc/issue.net 

21. 被root拥有的程序的位。 
移走那些被root拥有程序的s位标志，当然有些程序需要这个，用命令‘chmod a-s’完成这个。 
注：前面带（*）号的那些程序一般不需要拥有s位标志。 

[root@deep]# find / -type f $-perm -04000 -o -perm -02000$ \-exec ls –lg {} \; 
-rwsr-xr-x 1 root root 33120 Mar 21 1999 /usr/bin/at 
*-rwsr-xr-x 1 root root 30560 Apr 15 20:03 /usr/bin/chage 
*-rwsr-xr-x 1 root root 29492 Apr 15 20:03 /usr/bin/gpasswd 
-rwsr-xr-x 1 root root 3208 Mar 22 1999 /usr/bin/disable-paste 
-rwxr-sr-x 1 root man 32320 Apr 9 1999 /usr/bin/man 
-r-s--x--x 1 root root 10704 Apr 14 17:21 /usr/bin/passwd 
-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/suidperl 
-rws--x--x 2 root root 517916 Apr 6 1999 /usr/bin/sperl5.00503 
-rwxr-sr-x 1 root mail 11432 Apr 6 1999 /usr/bin/lockfile 
-rwsr-sr-x 1 root mail 64468 Apr 6 1999 /usr/bin/procmail 
-rwsr-xr-x 1 root root 21848 Aug 27 11:06 /usr/bin/crontab 
-rwxr-sr-x 1 root slocate 15032 Apr 19 14:55 /usr/bin/slocate 
*-r-xr-sr-x 1 root tty 6212 Apr 17 11:29 /usr/bin/wall 
*-rws--x--x 1 root root 14088 Apr 17 12:57 /usr/bin/chfn 
*-rws--x--x 1 root root 13800 Apr 17 12:57 /usr/bin/chsh 
*-rws--x--x 1 root root 5576 Apr 17 12:57 /usr/bin/newgrp 
*-rwxr-sr-x 1 root tty 8392 Apr 17 12:57 /usr/bin/write 
-rwsr-x--- 1 root squid 14076 Oct 7 14:48 /usr/lib/squid/pinger 
-rwxr-sr-x 1 root utmp 15587 Jun 9 09:30 /usr/sbin/utempter 
*-rwsr-xr-x 1 root root 5736 Apr 19 15:39 /usr/sbin/usernetctl 
*-rwsr-xr-x 1 root bin 16488 Jul 6 09:35 /usr/sbin/traceroute 
-rwsr-sr-x 1 root root 299364 Apr 19 16:38 /usr/sbin/sendmail 
-rwsr-xr-x 1 root root 34131 Apr 16 18:49 /usr/libexec/pt_chown 
-rwsr-xr-x 1 root root 13208 Apr 13 14:58 /bin/su 
*-rwsr-xr-x 1 root root 52788 Apr 17 15:16 /bin/mount 
*-rwsr-xr-x 1 root root 26508 Apr 17 20:26 /bin/umount 
*-rwsr-xr-x 1 root root 17652 Jul 6 09:33 /bin/ping 
-rwsr-xr-x 1 root root 20164 Apr 17 12:57 /bin/login 
*-rwxr-sr-x 1 root root 3860 Apr 19 15:39 /sbin/netreport 
-r-sr-xr-x 1 root root 46472 Apr 17 16:26 /sbin/pwdb_chkpwd 
[root@deep]# chmod a-s /usr/bin/chage 
[root@deep]# chmod a-s /usr/bin/gpasswd 
[root@deep]# chmod a-s /usr/bin/wall 
[root@deep]# chmod a-s /usr/bin/chfn 
[root@deep]# chmod a-s /usr/bin/chsh 
[root@deep]# chmod a-s /usr/bin/newgrp 
[root@deep]# chmod a-s /usr/bin/write 
[root@deep]# chmod a-s /usr/sbin/usernetctl 
[root@deep]# chmod a-s /usr/sbin/traceroute 
[root@deep]# chmod a-s /bin/mount 
[root@deep]# chmod a-s /bin/umount 
[root@deep]# chmod a-s /bin/ping 
[root@deep]# chmod a-s /sbin/netreport 

你可以用下面的命令查找所有带s位标志的程序： 
[root@deep]# find / -type f $-perm -04000 -o -perm -02000$ \-exec ls -lg {} \; 
>; suid-sgid-results 
把结果输出到文件suid-sgid-results中。 

为了查找所有可写的文件和目录，用下面的命令： 
[root@deep]# find / -type f $-perm -2 -o -perm -20$ -exec ls -lg {} \; >; ww-files-results 
[root@deep]# find / -type d $-perm -2 -o -perm -20$ -exec ls -ldg {} \; >; ww-directories-results 

用下面的命令查找没有拥有者的文件： 
[root@deep]# find / -nouser -o -nogroup >; unowed-results 

用下面的命令查找所有的.rhosts文件： 
[root@deep]# find /home -name .rhosts >; rhost-results 


建议替换的常见 网络 服务 应用程序 

WuFTPD 
WuFTD从1994年就开始就不断地出现安全漏洞，黑客很容易就可以获得远程root访问（Remote Root Access）的权限，而且很多安全漏洞甚至不需要在FTP服务器上有一个有效的帐号。最近，WuFTP也是频频出现安全漏洞。 
它的最好的替代程序是ProFTPD。ProFTPD很容易配置，在多数情况下速度也比较快，而且它的源代码也比较干净（缓冲溢出的错误比较少）。有许多重要的站点使用ProFTPD。sourceforge.net就是一个很好的例子（这个站点共有3,000个开放源代码的项目，其负荷并不小啊！）。一些Linux的发行商在它们的主FTP站点上使用的也是ProFTPD，只有两个主要Linux的发行商（SuSE和Caldera）使用WuFTPD。 
ProFTPD的另一个优点就是既可以从inetd运行又可以作为单独的daemon运行。这样就可以很容易 解决 inetd带来的一些问题，如：拒绝 服务 的攻击（denial of service attack），等等。 系统 越简单，就越容易保证 系统 的安全。WuFTPD要么重新审核一遍全部的源代码（非常困难），要么完全重写一遍代码，否则WuFTPD必然要被ProFTPD代替。 

Telnet 
Telnet是非常非常不安全的，它用明文来传送密码。它的安全的替代程序是OpenSSH。 
OpenSSH在Linux上已经非常成熟和稳定了，而且在Windows平台上也有很多免费的客户端软件。Linux的发行商应该采用OpenBSD的策略： 安装 OpenSSH并把它 设置 为默认的， 安装 Telnet但是不把它 设置 成默认的。对于不在美国的Linux发行商，很容易就可以在Linux的发行版中加上OpenSSH。美国的Linux发行商就要想一些别的办法了（例如：Red Hat在德国的FTP服务器上（ftp.redhat.de）就有最新的OpenSSH的rpm软件包）。 
Telnet是无可救药的程序。要保证 系统 的安全必须用OpenSSH这样的软件来替代它。 

Sendmail 
最近这些年，Sendmail的安全性已经提高很多了（以前它通常是黑客重点攻击的程序）。然而，Sendmail还是有一个很严重的问题。一旦出现了安全漏洞（例如：最近出现的Linux内核错误），Sendmail就是被黑客重点攻击的程序，因为Sendmail是以root权限运行而且代码很庞大容易出问题。 
几乎所有的Linux发行商都把Sendmail作为默认的配置，只有少数几个把Postfix或Qmail作为可选的软件包。但是，很少有Linux的发行商在自己的邮件 服务 器上使用Sendmail。SuSE和Red Hat都使用基于Qmail的 系统 。 
Sendmail并不一定会被别的程序完全替代。但是它的两个替代程序Qmail和Postfix都比它安全、速度快，而且特别是Postfix比它容易配置和维护。 

su 
su是用来改变当前用户的ID，转换成别的用户。你可以以普通用户登录，当需要以root身份做一些事的时候，只要执行“su”命令，然后输入root的密码。su本身是没有问题的，但是它会让人养成不好的习惯。如果一个 系统 有多个管理员，必须都给他们root的口令。 
su的一个替代程序是sudo。Red Hat 6.2中包含这个软件。sudo允许你 设置 哪个用户哪个组可以以root身份执行哪些程序。你还可以根据用户登录的位置对他们加以限制（如果有人“破”了一个用户的口令，并用这个帐号从远程计算机登录，你可以限制他使用sudo）。Debian也有一个类似的程序叫super，与sudo比较各有优缺点。 
让用户养成良好的习惯。使用root帐号并让多个人知道root的密码并不是一个好的习惯。这就是www.apache.org被入侵的原因，因为它有多个 系统 管理员他们都有root的特权。一个乱成一团的 系统 是很容易被入侵的。 

named 
大部分Linux的发行商都 解决 了这个问题。named以前是以root运行的，因此当named出现新的漏洞的时候，很容易就可以入侵一些很重要的计算机并获得root权限。现在只要用命令行的一些参数就能让named以非root的用户运行。而且，现在绝大多数Linux的发行商都让named以普通用户的权限运行。命令格式通常为：named -u <user name>; -g <group name>; 

INN 
在INN的文档中已经明确地指出：“禁止这项功能（verifycancels），这项功能是没有用的而且将被除掉”。大约在一个月前，一个黑客发布了当“verifycancels”生效的时候入侵INN的 方法 。Red Hat是把“verifycancels”设为有效的。任何setuid/setgid的程序或 网络 服务 程序都要正确地 安装 并且进行检查以保证尽量没有安全漏洞。 





安全守则 

1. 废除 系统 所有默认的帐号和密码。 
2. 在用户合法性得到验证前不要显示公司题头、在线帮助以及其它信息。 
3. 废除“黑客”可以攻击 系统 的 网络 服务 。 
4. 使用6到8位的字母数字式密码。 
5. 限制用户尝试登录到 系统 的次数。 
6. 记录违反安全性的情况并对安全记录进行复查。 
7. 对于重要信息，上网传输前要先进行加密。 
8. 重视专家提出的建议， 安装 他们推荐的 系统 “补丁”。 
9. 限制不需密码即可访问的主机文件。 
10.修改 网络 配置文件，以便将来自外部的TCP连接限制到最少数量的端口。不允许诸如tftp,sunrpc,printer,rlogin或rexec之类的协议。 
11.用upas代替sendmail。sendmail有太多已知漏洞，很难修补完全。 
12.去掉对 操作 并非至关重要又极少使用的程序。 
13.使用chmod将所有 系统 目录变更为711模式。这样，攻击者们将无法看到它们当中有什么东西，而用户仍可执行。 
14.只要可能，就将磁盘 安装 为只读模式。其实，仅有少数目录需读写状态。 
15.将 系统 软件升级为最新版本。老版本可能已被研究并被成功攻击，最新版本一般包括了这些问题的补救。