2024年网络安全最全ubuntu 服务器安全加固的20条方案_ubuntu 安全加固_ubuntu cve-2024-1086

auth required pam_wheel.so use_uid

添加 wheel 组用户



1
2
3
4
5

添加 wheel 组

groupadd -r wheel

创建 hiwb 用户并加入到 wheel 组

useradd -r -m -s /bin/bash -g wheel -r hiwb

将 hiwb 添加到 wheel 组

usermod -G wheel hiwb

为 hiwb 用户设置密码

passwd hiwb

查看 wheel 组用户



1
2
3
4
5

cat /etc/group | grep wheel

### 5. 密码复杂度检查 | 身份鉴别


检查密码长度和密码是否使用多种字符类型  
 **加固建议**  
 安装 pam 的 cracklib 模块，cracklib 能提供额外的密码检查能力



1
2
3
4
5
6
7
8
9
10

apt install libpam-cracklib

编辑 `/etc/pam.d/common-password` 配置文件中包含 `password requisite pam_cracklib.so` 这一行。配置 `minlen`（密码最小长度）设置为 `9-32` 位，`ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1`，它表示密码必须至少包含一个大写字母(ucredit)，一个小写字母(lcredit)，一个数字(dcredit)和一个标点符号(ocredit)。如



1
2
3
4
5

vim /etc/pam.d/common-password

password requisite pam_cracklib.so retry=3 minlen=11 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

### 6. 检查密码重用是否受限制 | 身份鉴别


强制用户不重用最近使用的密码，降低密码猜测攻击风险  
 **加固建议**  
 在 `/etc/pam.d/common-password` 中 `password [success=1 default=ignore] pam_unix.so` 这行的末尾配置 `remember` 参数为 `5-24` 之间，原来的内容不用更改，只在末尾加了 `remember=5`。



1
2
3
4
5
6
7
8
9
10

password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512 remember=5

### 7. 确保 SSH MaxAuthTries 设置为 3 到 6 之间 | SSH 服务配置


设置较低的 Max AuthTrimes 参数将降低 SSH 服务器被暴力攻击成功的风险  
 **加固建议**  
 在 `/etc/ssh/sshd_config` 中取消 `MaxAuthTries` 注释符号 `#`，设置最大密码尝试失败次数 `3-6`，建议为 `4`：



1
2
3
4
5
6
7
8
9
10

MaxAuthTries 4

### 8. 设置 SSH 空闲超时退出时间 | SSH 服务配置


设置 SSH 空闲超时退出时间，可降低未授权用户访问其他用户 ssh 会话的风险  
 **加固建议**  
 编辑 `/etc/ssh/sshd_config`，将 `ClientAliveInterval` 设置为 `300` 到 `900`，即 `5-15` 分钟，将 `ClientAliveCountMax` 设置为 `0-3` 之间。



1
2
3
4
5
6
7
8
9
10

ClientAliveInterval 600
ClientAliveCountMax 2

### 9. 确保 SSH LogLevel 设置为 INFO | SSH 服务配置


确保 SSH LogLevel 设置为 INFO，记录登录和注销活动  
 **加固建议**  
 编辑 `/etc/ssh/sshd_config` 文件以按如下方式设置参数(取消注释):



1
2
3
4
5
6
7
8
9
10

LogLevel INFO

### 10. 检查系统空密码账户 | 身份鉴别


检查系统空密码账户  
 **加固建议**  
 为用户设置一个非空密码，或者执行 passwd -l 锁定用户


### 11. 禁止 SSH 空密码用户登录 | SSH 服务配置


禁止 SSH 空密码用户登录  
 **加固建议**  
 编辑文件 `/etc/ssh/sshd_config`，将 `PermitEmptyPasswords` 配置为 `no`:



1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

PermitEmptyPasswords no

### 12. SSHD 强制使用 V2 安全协议 | SSH 服务配置


SSHD 强制使用V2安全协议  
 **加固建议**  
 编辑 `/etc/ssh/sshd_config` 文件，在 `#ListenAddress ::` 下方式设置参数：



1
2
3
4
5
6
7
8
9
10

#ListenAddress ::
Protocol 2

### 13. SSHD 修改端口号 | SSH 服务配置


SSHD 修改远程访问端口  
 **加固建议**  
 编辑 `/etc/ssh/sshd_config` 文件，设置参数：



1
2
3
4
5
6
7
8
9
10

Port 8379

### 14. 确保rsyslog服务已启用 | 安全审计


确保 rsyslog 服务已启用，记录日志用于审计  
 **加固建议**  
 运行以下命令启用 `rsyslog`：



1
2
3
4
5
6
7
8
9
10

systemctl enable rsyslog.service

### 15. 访问控制配置文件的权限设置 | 文件权限


访问控制配置文件的权限设置  
 **加固建议**  
 运行以下 4 条命令：



1
2
3
4
5
6
7
8
9
10

chown root:root /etc/hosts.allow
chown root:root /etc/hosts.deny
chmod 644 /etc/hosts.allow
chmod 644 /etc/hosts.deny

### 16. 设置用户权限配置文件的权限 | 文件权限


设置用户权限配置文件的权限  
 **加固建议**  
 执行以下 `5` 条命令



1
2
3
4
5
6
7
8
9
10

chown root:root /etc/group /etc/passwd /etc/shadow /etc/gshadow
chmod 644 /etc/group /etc/passwd /etc/shadow /etc/gshadow

### 17. 服务器禁 ping | 入侵防范


禁止通过 ping ip 来访问服务器，其实没必要禁止 ping，为了减少大流量的 ping 包对网络设备 CPU 资源的影响，会采用 CoPP (Control Plane Policy) 限速机制来限制 ICMP 发送速率。比如限制 ICMP rate 为 1 秒一个，这样的速率既便于排错又可以避免通过 ICMP 的网络攻击  
 **加固建议**  
 在 `/etc/sysctl.conf` 文件最后一行追加 ：



1
2
3
4
5
6
7
8
9
10

net.ipv4.icmp_echo_ignore_all = 1

### 18. 开启地址空间布局随机化 | 入侵防范


它将进程的内存空间地址随机化来增大入侵者预测目的地址难度，从而降低进程被成功入侵的风险  
 **加固建议**  
 在 `/etc/sysctl.conf` 或 `/etc/sysctl.d/*` 文件中设置以下参数： `kernel.randomize_va_space = 2` 执行命令：



1
2
3
4
5
6
7
8
9
10

sysctl -w kernel.randomize_va_space=2

执行命令 (配置文件才能生效)：



1
2
3
4
5

sysctl -p

### 19. 确保 root 是唯一的 UID 为 0 的帐户 | 身份鉴别


除 root 以外其他 UID 为 0 的用户都应该删除，或者为其分配新的 UID  
 **加固建议**  
 除 `root` 以外其他 `UID` 为 `0` 的用户(查看命令 `cat /etc/passwd | awk -F: '($3 == 0) { print $1 }'|grep -v '^root$'` 都应该删除，或者为其分配新的 `UID`


### 20. 禁用邮件服务 | 服务配置


禁止非必要的服务  
 **加固建议**



1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

systemctl disable postfix

本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。

最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。

最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！下面就开始进入正题，如何从一个萌新一步一步进入网络安全行业。

学习路线图

其中最为瞩目也是最为基础的就是网络安全学习路线图，这里我给大家分享一份打磨了3个月，已经更新到4.0版本的网络安全学习路线图。

相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。

网络安全工具箱

当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份我自己整理的网络安全入门工具以及使用教程和实战。

项目实战

最后就是项目实战，这里带来的是SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

面试题

归根结底，我们的最终目的都是为了就业，所以这份结合了多位朋友的亲身经验打磨的面试题合集你绝对不能错过！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！