linux 服務器安全配置

假如你想要搭建一個 Linux 服務器，並且希望可以長期維護的話，就需要考慮安全性能與速度等衆多因素。一份正確的
linux 基本安全配置手冊就顯得格外重要。在我本文中就向大家介紹在 edhat/centos 4,5 下的 Linux服務器基本安全
配置手冊。
安裝注意
1.刪除系統特殊的的用戶帳號：
禁止所有默認的被操作系統本身啓動的且不需要的帳號，當你第一次裝上系統時就應該做此檢查，Linux提供了各種帳
號，你可能不需要，如果你不需要這個帳號，就移走它，你有的帳號越多，就越容易受到攻擊。
#爲刪除你係統上的用戶，用下面的命令：
# userdel username
#批量刪除方式
#這裏刪除"adm lp sync shutdown halt mail news uucp operator games gopher ftp "賬號
#如果你開着 ftp 等服務可以把 ftp 賬號保留下來。
for i in adm lp sync shutdown halt mail news uucp ope
rator games gopher ftp ;do userdel $i ;done
2.刪除系統特殊的組帳號
# groupdel groupname
#批量刪除方式
for i in adm lp mail news uucp games dip pppusers pop
users slipusers ;do groupdel $i ;done
3.用戶密碼設置
安裝 linux時默認的密碼最小長度是 5個字節，但這並不夠，要把它設爲 8個字節。修改最短密碼長度需要編輯 login.defs
文件#vi /etc/login.defs
PASS_MAX_DAYS 99999 ##密碼設置最長有效期（默認值）
PASS_MIN_DAYS 0 ##密碼設置最短有效期
PASS_MIN_LEN 5 ##設置密碼最小長度，將 5 改爲 8
PASS_WARN_AGE 7 ##提前多少天警告用戶密碼即將過期。
然後修改 Root 密碼
#passwd root
New UNIX password:
Retype new UNIX password:
passwd: all authentication tokens updated successfully.
4.修改自動註銷帳號時間
自動註銷帳號的登錄，在 Linux 系統中 root 賬戶是具有最高特權的。如果系統管理員在離開系統之前忘記註銷 root 賬
戶，那將會帶來很大的安全隱患，應該讓系統會自動註銷。通過修改賬戶中“TMOUT”參數，可以實現此功能。TMOUT
按秒計算。編輯你的 profile 文件（vi /etc/profile）,在"HISTSIZE="後面加入下面這行：
TMOUT=300
300，表示 300 秒，也就是表示 5 分鐘。這樣，如果系統中登陸的用戶在 5 分鐘內都沒有動作，那麼系統會自動註銷這
個賬戶。

5.限制 Shell 命令記錄大小
默認情況下，bash shell 會在文件$HOME/.bash_history 中存放多達 500 條命令記錄(根據具體的系統不同，默認記
錄條數不同)。系統中每個用戶的主目錄下都有一個這樣的文件。在此筆者強烈建議限制該文件的大小。
您可以編輯/etc/profile 文件，修改其中的選項如下:
HISTFILESIZE=30 或 HISTSIZE=30
#vi /etc/profile
HISTSIZE=30
6.註銷時刪除命令記錄
編輯/etc/skel/.bash_logout 文件，增加如下行:
rm -f $HOME/.bash_history
這樣，系統中的所有用戶在註銷時都會刪除其命令記錄。
如果只需要針對某個特定用戶，如 root 用戶進行設置，則可只在該用戶的主目錄下修改/$HOME/.bash_history 文件，
增加相同的一行即可。
7.用下面的命令加需要的用戶組和用戶帳號
# groupadd
例如：增加 website 用戶組，groupadd website
然後調用 vigr 命令查看已添加的用戶組
用下面的命令加需要的用戶帳號
# useradd username –g website //添加用戶到 website 組（作爲 webserver 的普通管理員，而非
root 管理員）
然後調用 vipw 命令查看已添加的用戶
用下面的命令改變用戶口令（至少輸入 8 位字母和數字組合的密碼，並將密碼記錄於本地機的專門文檔中，以防遺忘）
# passwd username
8.阻止任何人 su 作爲 root
如果你不想任何人能夠 su 作爲 root,你能編輯/etc/pam.d/su 加下面的行：
#vi /etc/pam.d/su
auth sufficient /lib/security/$ISA/pam_rootok.so debug
auth required /lib/security/$ISA/pam_wheel.so group=website
意味着僅僅 website 組的用戶可以 su 作爲 root.
9.修改 ssh 服務的 root 登錄權限
修改 ssh 服務配置文件，使的 ssh 服務不允許直接使用 root 用戶來登錄，這樣減少系統被惡意登錄攻擊的機會。
#vi /etc/ssh/sshd_config
PermitRootLogin yes
將這行前的＃去掉後，修改爲：
PermitRootLogin no
10.修改 ssh 服務的 sshd 端口
ssh 默認會監聽在 22 端口，你可以修改至 6022 端口以避過常規的掃描。
注意：修改端口錯誤可能會導致你下次連不到服務器，可以先同時開着 22 和 6022 兩個端口，然後再關掉 22 端口；
重啓 sshd 不會彈掉你當前的連接，可以另外開一個客戶端來測試服務;
#vi /etc/ssh/sshd_config
#增加修改
#Port 22 #關閉 22 端口
Port 6022 #增加 6022 端口
#重啓 sshd 服務
service sshd restart
檢查一下 sshd 的監聽端口對不對
netstat -lnp|grep ssh
#iptables 開放 sshd 的 6022 端口
vi /etc/sysconfig/iptables
#如果使用 redhat 默認規則則增加
-A RH-Firewall-1-INPUT -m state --state NEW -m tcp -p tcp --dport 6022 -j ACCEPT
#或
iptables -A INPUT -p tcp --dport 6022 -j ACCEPT
iptables -A OUTPUT -p udp --sport 6022 -j ACCEPT
重啓 iptables 服務
service iptables restart
#測試兩個端口是否都能連上，連上後再將 22 端口刪除
詳細參考：
Linux 操作系統下 SSH 默認 22 端口修改方法

11.關閉系統不使用的服務：
cd /etc/init.d #進入到系統 init 進程啓動目錄
在這裏有兩個方法，可以關閉 init 目錄下的服務，
一、將 init 目錄下的文件名 mv 成*.old 類的文件名，即修改文件名，作用就是在系統啓動的時候找不到這個服務的啓
動文件。
二、使用 chkconfig 系統命令來關閉系統啓動等級的服務。
注：在使用以下任何一種方法時，請先檢查需要關閉的服務是否是本服務器特別需要啓動支持的服務，以防關閉正常使
用的服務。
使用 chkcofig 命令來關閉不使用的系統服務 (level前面爲 2 個減號)要想在修改啓動腳本前瞭解有多少服務正在運行，
輸入：
ps aux | wc -l
然後修改啓動腳本後，重啓系統，再次輸入上面的命令，就可計算出減少了多少項服務。越少服務在運行，安全性就越
好。另外運行以下命令可以瞭解還有多少服務在運行：
netstat -na --ip
批量方式先停止服務
for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups
dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl
netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do service $i stop;done
關閉啓動服務
for i in acpid anacron apmd atd auditd autofs avahi-daemon avahi-dnsconfd bluetooth cpuspeed cups
dhcpd firstboot gpm haldaemon hidd ip6tables ipsec isdn kudzu lpd mcstrans messagebus microcode_ctl
netfs nfs nfslock nscd pcscd portmap readahead_early restorecond rpcgssd rpcidmapd rstatd sendmai
l setroubleshoot snmpd sysstat xfs xinetd yppasswdd ypserv yum-updatesd ;do chkconfig $i off;done
以下爲手動方式及解釋,執行批量方式後不需再執行了
chkconfig --level 345 apmd off ##筆記本需要
chkconfig --level 345 netfs off ## nfs 客戶端
chkconfig --level 345 yppasswdd off ## NIS 服務器，此服務漏洞很多
chkconfig --level 345 ypserv off ## NIS 服務器，此服務漏洞很多
chkconfig --level 345 dhcpd off ## dhcp 服務
chkconfig --level 345 portmap off ##運行 rpc(111 端口)服務必需
chkconfig --level 345 lpd off ##打印服務
chkconfig --level 345 nfs off ## NFS 服務器，漏洞極多
chkconfig --level 345 sendmail off ##郵件服務, 漏洞極多
chkconfig --level 345 snmpd off ## SNMP，遠程用戶能從中獲得許多系統信息
chkconfig --level 345 rstatd off ##避免運行 r 服務，遠程用戶可以從中獲取很多信息
chkconfig --level 345 atd off ##和 cron 很相似的定時運行程序的服務
注：以上 chkcofig 命令中的 3 和 5 是系統啓動的類型，以下爲數字代表意思
0:開機(請不要切換到此等級)
1:單人使用者模式的文字界面
2:多人使用者模式的文字界面,不具有網絡檔案系統(NFS)功能
3:多人使用者模式的文字界面,具有網絡檔案系統(NFS)功能
4:某些發行版的 linux 使用此等級進入 x windows system
5:某些發行版的 linux 使用此等級進入 x windows system
6:重新啓動
如果不指定--level 單用 on 和 off 開關，系統默認只對運行級 3，4，5 有效
chkconfig cups off #打印機
chkconfig bluetooth off # 藍牙
chkconfig hidd off # 藍牙
chkconfig ip6tables off # ipv6
chkconfig ipsec off # vpn
chkconfig auditd off #用戶空間監控程序
chkconfig autofs off #光盤軟盤硬盤等自動加載服務
chkconfig avahi-daemon off #主要用於 Zero Configuration Networking ，一般沒什麼用建議關閉
chkconfig avahi-dnsconfd off #主要用於 Zero Configuration Networking ,同上,建議關閉
chkconfig cpuspeed off #動態調整 CPU 頻率的進程，在服務器系統中這個進程建議關閉
chkconfig isdn off #isdn
chkconfig kudzu off #硬件自動監測服務
chkconfig nfslock off #NFS 文檔鎖定功能。文檔共享支持，無需的能夠關了
chkconfig nscd off #負責密碼和組的查詢，在有 NIS 服務時需要
chkconfig pcscd off #智能卡支持，,如果沒有可以關了
chkconfig yum-updatesd off #yum 更新
chkconfig acpid off
chkconfig autofs off
chkconfig firstboot off
chkconfig mcstrans off #selinux
chkconfig microcode_ctl off
chkconfig rpcgssd off
chkconfig rpcidmapd off
chkconfig setroubleshoot off
chkconfig xfs off
chkconfig xinetd off
chkconfig messagebus off
chkconfig gpm off #鼠標
chkconfig restorecond off #selinux
chkconfig haldaemon off
chkconfig sysstat off
chkconfig readahead_early off
chkconfig anacron off
需要保留的服務
crond , irqbalance , microcode_ctl ,network , sshd ,syslog
因爲有些服務已運行，所以設置完後需重啓
chkconfig
/*
語法：chkconfig [--add][--del][--list][系統服務] 或 chkconfig [--level <等級代號>][系統服務][on/off/reset]
補充說明：這是 Red Hat 公司遵循 GPL 規則所開發的程序，它可查詢操作系統在每一個執行等級中會執行哪些系統服
務，其中包括各類常駐服務。
參數：
--add 增加所指定的系統服務，讓 chkconfig 指令得以管理它，並同時在系統啓動的敘述文件內增加相關數據。
--del 刪除所指定的系統服務，不再由 chkconfig 指令管理，並同時在系統啓動的敘述文件內刪除相關數據。
--level<等級代號> 指定讀系統服務要在哪一個執行等級中開啓或關畢
*/

12.阻止系統響應任何從外部/內部來的 ping 請求
既然沒有人能 ping 通你的機器並收到響應，你可以大大增強你的站點的安全性。你可以加下面的一行命令到
/etc/rc.d/rc.local，以使每次啓動後自動運行。
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
#這個可以不做哈
13.修改“/etc/host.conf”文件
“/etc/host.conf”說明了如何解析地址。編輯“/etc/host.conf”文件（vi /etc/host.conf），加入下面這行：
# Lookup names via DNS first then fall back to /etc/hosts.
order hosts,bind
# We have machines with multiple IP addresses.
multi on
# Check for IP address spoofing.
nospoof on
第一項設置首先通過 DNS 解析 IP 地址，然後通過 hosts 文件解析。第二項設置檢測是否“/etc/hosts”文件中的主機是
否擁有多個 IP 地址（比如有多個以太口網卡）。第三項設置說明要注意對本機未經許可的電子欺騙。
14.不允許從不同的控制檯進行 root 登陸
"/etc/securetty"文件允許你定義 root 用戶可以從那個 TTY 設備登陸。你可以編輯"/etc/securetty"文件，再不需要
登陸的 TTY 設備前添加“#”標誌，來禁止從該 TTY 設備進行 root 登陸。
在/etc/inittab 文件中有如下一段話：
# Run gettys in standard runlevels
1:2345:respawn:/sbin/mingetty tty1
2:2345:respawn:/sbin/mingetty tty2
#3:2345:respawn:/sbin/mingetty tty3
#4:2345:respawn:/sbin/mingetty tty4
#5:2345:respawn:/sbin/mingetty tty5
#6:2345:respawn:/sbin/mingetty tty6
系統默認的可以使用 6 個控制檯，即 Alt+F1,Alt+F2...，這裏在 3，4，5，6 前面加上“#”，註釋該句話，這樣現在只
有兩個控制檯可供使用，最好保留兩個。然後重新啓動 init 進程，改動即可生效！
15.禁止 Control-Alt-Delete 鍵盤關閉命令
在"/etc/inittab" 文件中註釋掉下面這行（使用#）：
ca::ctrlaltdel:/sbin/shutdown -t3 -r now
改爲：
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now
爲了使這項改動起作用，輸入下面這個命令：
# /sbin/init q
16.用 chattr 命令給下面的文件加上不可更改屬性。
# chattr +i /etc/passwd
# chattr +i /etc/shadow
# chattr +i /etc/group
# chattr +i /etc/gshadow
【注：chattr是改變文件屬性的命令，參數 i 代表不得任意更動文件或目錄,此處的 i爲不可修改位(immutable)。查看
方法：lsattr /etc/passwd，撤銷爲 chattr –i /etc/group】
補充說明：這項指令可改變存放在 ext2 文件系統上的文件或目錄屬性，這些屬性共有以下 8 種模式：
a：讓文件或目錄僅供附加用途。
b：不更新文件或目錄的最後存取時間。
c：將文件或目錄壓縮後存放。
d：將文件或目錄排除在傾倒操作之外。
i：不得任意更動文件或目錄。
s：保密性刪除文件或目錄。
S：即時更新文件或目錄。
u：預防以外刪除。
參數：
-R 遞歸處理，將指定目錄下的所有文件及子目錄一併處理。
-v<版本編號> 設置文件或目錄版本。
-V 顯示指令執行過程。
+<屬性> 開啓文件或目錄的該項屬性。
-<屬性> 關閉文件或目錄的該項屬性。
=<屬性> 指定文件或目錄的該項屬性。

17.給系統服務端口列表文件加鎖
主要作用：防止未經許可的刪除或添加服務
chattr +i /etc/services
【查看方法：lsattr /etc/ services，撤銷爲 chattr –i /etc/ services】
18.系統文件權限修改
Linux 文件系統的安全主要是通過設置文件的權限來實現的。每一個 Linux的文件或目錄，都有 3 組屬性，分別定義文
件或目錄的所有者，用戶組和其他人的使用權限（只讀、可寫、可執行、允許 SUID、允許 SGID 等）。特別注意，權
限爲 SUID 和 SGID 的可執行文件，在程序運行過程中，會給進程賦予所有者的權限，如果被黑客發現並利用就會給系
統造成危害。
(1)修改 init 目錄文件執行權限：
chmod -R 700 /etc/init.d/* （遞歸處理，owner 具有 rwx，group 無，others 無）
(2)修改部分系統文件的 SUID 和 SGID 的權限：
chmod a-s /usr/bin/chage
chmod a-s /usr/bin/gpasswd
chmod a-s /usr/bin/wall
chmod a-s /usr/bin/chfn
chmod a-s /usr/bin/chsh
chmod a-s /usr/bin/newgrp
chmod a-s /usr/bin/write
chmod a-s /usr/sbin/usernetctl
chmod a-s /usr/sbin/traceroute
chmod a-s /bin/mount
chmod a-s /bin/umount
chmod a-s /sbin/netreport
(3)修改系統引導文件
chmod 600 /etc/grub.conf
chattr +i /etc/grub.conf
【查看方法：lsattr /etc/grub.conf，撤銷爲 chattr –i /etc/grub.conf】
19.增加 dns
#vi /etc/resolv.conf
nameserver 8.8.8.8 #google dns
nameserver 8.8.4.4
20.hostname 修改
#注意需先把 mysql、postfix 等服務停了
1.hostname servername
2.vi /etc/sysconfig/network
service network restart
3.vi /etc/hosts
21.selinux 修改
開啓 selinux 可以增加安全性，但裝軟件時可能會遇到一些奇怪問題
以下是關閉方法
#vi /etc/selinux/config
改成 disabled
22.關閉 ipv6
echo "alias net-pf-10 off" >> /etc/modprobe.conf
echo "alias ipv6 off" >> /etc/modprobe.conf
#vi /etc/sysconfig/network
NETWORKING_IPV6=no
重啓服務
Service ip6tables stop
Service network restart
關閉自動啓動
chkconfig --level 235 ip6tables off
23.設置 iptables
iptables 默認安全規則腳本
重啓系統
以上大部分設置可以運行腳本來完成。linux 安全設置快捷腳本
設置完成後重啓系統
其它設置項
linux 調整系統時區/時間的方法
把/usr/share/zoneinfo 裏相應的時區與/etc/localtime 做個軟 link.比如使用上海時區的時間:ln -s
/usr/share/zoneinfo/Asia/Shanghai /etc/localtime 如果要使用 UTC 計時方式，則應在/etc/sysconfig/clock 文
件裏改 UTC=TRUE 時間的設置: 使用 date 命令加 s 參數修改，注意 linux 的時間格式爲"月日時分年",也可以只修改
時間 date -s 22:30:20,如果修改的是年月日和時間，格式爲"月日時分年.秒",2007-03-18 11:01:56 則應寫爲"date
-s 031811012007.56 硬件時間與當前時間更新: hwclock --systohc 如果硬件記時用 UTC,則爲 hwclock
--systohc --utc
linux 調整系統時區/時間的方法
1) 找到相應的時區文件
/usr/share/zoneinfo/Asia/Shanghai
用這個文件替換當前的/etc/localtime 文件。
步驟： cp –i /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
選擇覆蓋
2) 修改/etc/sysconfig/clock 文件，修改爲：
ZONE="Asia/Shanghai"
UTC=false
ARC=false
3)
時間設定成 2005 年 8 月 30 日的命令如下：
#date -s 08/30/2005
將系統時間設定成下午 6 點 40 分 0 秒的命令如下：
#date -s 18:40:00
4)同步 BIOS 時鐘，強制把系統時間寫入 CMOS，命令如下：
#clock -w
安裝 ntpd
#yum install ntp
#chkconfig --levels 235 ntpd on
#ntpdate ntp.api.bz #先手動校準下
#service ntpd start
設置語言
英文語言，中文支持
#vi /etc/sysconfig/i18n
LANG="en_US.UTF-8"
SUPPORTED="zh_CN.UTF-8:zh_CN:zh"
SYSFONT="latarcyrheb-sun16"
tmpwatch 定時清除
假設服務器自定義了 php 的 session 和 upload 目錄
#vi /etc/cron.daily/tmpwatch
在 240 /tmp 前增加
-x /tmp/session -x /tmp/upload
#mkdir /tmp/session
#mkdir /tmp/upload
#chown nobody:nobody /tmp/upload
#chmod 0770 /tmp/upload