<menu id="ycqsw"></menu><nav id="ycqsw"><code id="ycqsw"></code></nav>
<dd id="ycqsw"><menu id="ycqsw"></menu></dd>
  • <nav id="ycqsw"></nav>
    <menu id="ycqsw"><strong id="ycqsw"></strong></menu>
    <xmp id="ycqsw"><nav id="ycqsw"></nav>
  • linux系統加固后如何解封u盤(linux解除U盤限制的方法)


    1、 設置登錄超時時間

    編輯文件/etc/profile

    #vi /etc/profile

    文件末尾增加如下行:

    TMOUT=180

    export TMOUT

    2、 記錄用戶登錄信息

    編輯/etc/login.defs:

    #vi /etc/login.defs

    修改LASTLOG_ENAB的屬性:

    LASTLOG_ENAB yes

    #Last驗證

    3、 刪除root之外 UID 為0 的用戶

    awk -F: ‘($3 == 0) { print $1 }’ /etc/passwd

    實施步驟

    刪除 除root 以外的 UID 為 0 的用戶。

    4、 缺省密碼長度限制

    # vi /etc/login.defs

    按如下設置

    PASS_MIN_LEN 8

    5、 修改ssh默認端口號

    Ssh默認端口號22,修改為2233

    Vim /etc/ssh/sshd_config Port 2233

    防火墻添加放行端口2233

    iptables -I INPUT -p tcp -m state –state NEW -m tcp –dport 2233 -j ACCEPT

    iptables -nL –line-number

    查看22222端口是否已經正常開放

    6、Centos7 用戶登錄失敗N次后鎖定用戶禁止登陸

    6.1備份sshd配置文件

    cp /etc/pam.d/sshd /etc/pam.d/sshd.bak

    cp /etc/pam.d/login /etc/pam.d/login.bak

    6.2 vi /etc/pam.d/sshd

    auth required pam_tally2.so deny=4 unlock_time=36000 even_deny_root root_unlock_time=36000

    注意添加的位置,要寫在第一行,即#%PAM-1.0的下面。

    以上策略表示:普通帳戶和 root 的帳戶登錄連續 3 次失敗,就統一鎖定 40 秒, 40 秒后可以解鎖。如果不想限制 root 帳戶,可以把 even_deny_root root_unlock_time;這兩個參數去掉, root_unlock_time 表示 root 帳戶的 鎖定時間,onerr=fail 表示連續失敗,deny=3,表示 超過3 次登錄失敗即鎖定。

    6.3重啟sshd服務

    systemctl restart sshd.service

    #pam_tally2 -r -u root ###解鎖之后隨即失敗次數歸零,此時即可登錄系統

    Login Failures Latest failure From

    root 0

    1、編輯防火墻配置:vi /etc/sysconfig/iptables

    防火墻增加新端口2222

    -A INPUT -m state –state NEW -m tcp -p tcp –dport 2222 -j ACCEPT

    ======================================================================

    # Firewall configuration written by system-config-firewall

    # Manual customization of this file is not recommended.

    *filter

    :INPUT ACCEPT [0:0]

    :FORWARD ACCEPT [0:0]

    :OUTPUT ACCEPT [0:0]

    -A INPUT -m state –state ESTABLISHED,RELATED -j ACCEPT

    -A INPUT -p icmp -j ACCEPT

    -A INPUT -i lo -j ACCEPT

    -A INPUT -m state –state NEW -m tcp -p tcp –dport 22 -j ACCEPT

    -A INPUT -m state –state NEW -m tcp -p tcp –dport 2222 -j ACCEPT

    -A INPUT -j REJECT –reject-with icmp-host-prohibited

    -A FORWARD -j REJECT –reject-with icmp-host-prohibited

    COMMIT

    重啟防火墻,使配置生效:

    /etc/init.d/iptables restart

    service iptables restart

    =======================================================================

    2、備份ssh端口配置文件

    cp /etc/ssh/ssh_config /etc/ssh/ssh_configbak

    cp /etc/ssh/sshd_config /etc/ssh/sshd_configbak

    修改ssh端口為:2222

    vi /etc/ssh/sshd_config

    在端口#Port 22下面增加Port 2222

    vi /etc/ssh/ssh_config

    在端口#Port 22下面增加Port 2222

    重啟:/etc/init.d/sshd restart

    service sshd restart

    systemctl start sshd.service centos 7.4重啟服務

    用2222端口可以正常連接之后,再返回去重復上面的步驟。把22端口禁用了,以后ssh就只能用2222端口連接了!增強了系統的安全性。

    3、禁止root通過ssh遠程登錄

    vi /etc/ssh/sshd_config

    找到PermitRootLogin,將后面的yes改為no,把前面的注釋#取消,這樣root就不能遠程登錄了!

    可以用普通賬號登錄進去,要用到root的時候使用命令su root 切換到root賬戶

    =======================================================================

    4、限制用戶的SSH訪問

    假設我們只要root,user1和user2用戶能通過SSH使用系統,向sshd_config配置文件中添加

    vi /etc/ssh/sshd_config

    AllowUsers root user1 user2

    =======================================================================

    5、配置空閑超時退出時間間隔

    用戶可以通過ssh登錄到服務器,你可以設置一個空閑超時時間間隔。

    打開sshd_config配置文件,設置為如下。

    vi /etc/ssh/sshd_config

    ClientAliveInterval 600

    ClientAliveCountMax 0

    上面的例子設置的空閑超時時間間隔是600秒,即10分鐘,

    過了這個時間后,空閑用戶將被自動踢出出去(可以理解為退出登錄/注銷)。

    (2)、linux操作系統加固

    1. 賬號和口令

    1.1 禁用或刪除無用賬號

    減少系統無用賬號,降低安全風險。

    操作步驟

    · 使用命令 userdel <用戶名> 刪除不必要的賬號。

    · 使用命令 passwd -l <用戶名> 鎖定不必要的賬號。

    · 使用命令 passwd -u <用戶名> 解鎖必要的賬號。

    1.2 檢查特殊賬號

    檢查是否存在空口令和root權限的賬號。

    操作步驟

    1. 查看空口令和root權限賬號,確認是否存在異常賬號:

    o 使用命令 awk -F: ‘($2==””)’ /etc/shadow 查看空口令賬號。

    o 使用命令 awk -F: ‘($3==0)’ /etc/passwd 查看UID為零的賬號。

    2. 加固空口令賬號:

    o 使用命令 passwd <用戶名> 為空口令賬號設定密碼。

    o 確認UID為零的賬號只有root賬號。

    1.3 添加口令策略

    加強口令的復雜度等,降低被猜解的可能性。

    操作步驟

    1. 使用命令 vi /etc/login.defs 修改配置文件。

    o PASS_MAX_DAYS 90 #新建用戶的密碼最長使用天數

    o PASS_MIN_DAYS 0 #新建用戶的密碼最短使用天數

    o PASS_WARN_AGE 7 #新建用戶的密碼到期提前提醒天數

    2. 使用chage命令修改用戶設置。

    例如,chage -m 0 -M 30 -E 2000-01-01 -W 7 <用戶名>表示將此用戶的密碼最長使用天數設為30,最短使用天數設為0,密碼2000年1月1日過期,過期前七天警告用戶。

    3. 設置連續輸錯三次密碼,賬號鎖定五分鐘。使用命令 vi /etc/pam.d/common-auth修改配置文件,在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。

    1.4 限制用戶su

    限制能su到root的用戶。

    操作步驟

    使用命令 vi /etc/pam.d/su修改配置文件,在配置文件中添加行。例如,只允許test組用戶su到root,則添加 auth required pam_wheel.so group=test。

    2. 服務

    2.1 關閉不必要的服務

    關閉不必要的服務(如普通服務和xinetd服務),降低風險。

    操作步驟

    使用命令 chkconfig –level <init級別> <服務名> on|off|reset 設置服務在指定init級別下開機是否啟動。

    2.2 SSH服務安全

    對SSH服務進行安全加固,防止暴力破解成功。

    操作步驟

    使用命令 vim /etc/ssh/sshd_config 編輯配置文件。

    · 不允許root賬號直接登錄系統。

    設置 PermitRootLogin 的值為 no。

    · 修改SSH使用的協議版本。

    設置 Protocol 的版本為 2。

    · 修改允許密碼錯誤次數(默認6次)。

    設置 MaxAuthTries 的值為 3。

    配置文件修改完成后,重啟sshd服務生效。

    3. 文件系統

    3.1 設置umask值

    設置默認的umask值,增強安全性。

    操作步驟

    使用命令 vi /etc/profile 修改配置文件,添加行 umask 027, 即新創建的文件屬主擁有讀寫執行權限,同組用戶擁有讀和執行權限,其他用戶無權限。

    3.2 設置登錄超時

    設置系統登錄后,連接超時時間,增強安全性。

    操作步驟

    使用命令 vi /etc/profile 修改配置文件,將以 TMOUT= 開頭的行注釋,設置為TMOUT=180,即超時時間為三分鐘。

    4. 日志

    4.1 syslogd日志

    啟用日志功能,并配置日志記錄。

    操作步驟

    Linux系統默認啟用以下類型日志:

    · 系統日志(默認)/var/log/messages

    · cron日志(默認)/var/log/cron

    · 安全日志(默認)/var/log/secure

    注意:部分系統可能使用syslog-ng日志,配置文件為:
    /etc/syslog-ng/syslog-ng.conf。

    您可以根據需求配置詳細日志。

    4.2 記錄所有用戶的登錄和操作日志

    通過腳本代碼實現記錄所以用戶的登錄操作日志,防止出現安全事件后無據可查。

    操作步驟

    1. 運行 [root@xxx /]# vim /etc/profile打開配置文件。

    2. 在配置文件中輸入以下內容:

    0. history

    1. USER=`whoami`

    2. USER_IP=`who -u am i 2>/dev/null| awk ‘{print $NF}’|sed -e ‘s/[()]//g’`

    3. if [ “$USER_IP” = “” ]; then

    4. USER_IP=`hostname`

    5. fi

    6. if [ ! -d /var/log/history ]; then

    7. mkdir /var/log/history

    8. chmod 777 /var/log/history

    9. fi

    10. if [ ! -d /var/log/history/${LOGNAME} ]; then

    11. mkdir /var/log/history/${LOGNAME}

    12. chmod 300 /var/log/history/${LOGNAME}

    13. fi

    14. export HISTSIZE=4096

    15. DT=`date +”%Y%m%d_%H:%M:%S”`

    16. export HISTFILE=”/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT”

    17. chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null

    1. 運行 [root@xxx /]# source /etc/profile 加載配置生效。

    注意: /var/log/history 是記錄日志的存放位置,可以自定義。

    通過上述步驟,可以在 /var/log/history 目錄下以每個用戶為名新建一個文件夾,每次用戶退出后都會產生以用戶名、登錄IP、時間的日志文件,包含此用戶本次的所有操作(root用戶除外)。

    同時,建議您使用OSS服務收集存儲日志。

    版權聲明:本文內容由互聯網用戶自發貢獻,該文觀點僅代表作者本人。本站僅提供信息存儲空間服務,不擁有所有權,不承擔相關法律責任。如發現本站有涉嫌抄襲侵權/違法違規的內容, 請發送郵件至 舉報,一經查實,本站將立刻刪除。

    發表評論

    登錄后才能評論
    国产精品区一区二区免费