linux系统安全加固手册 0.9

RedHat Linux: http://www.redhat.com/support/

Caldera OpenLinux: http://www.calderasystems.com/support/security/

Conectiva Linux: http://www.conectiva.com.br/atualizacoes/

Debian GNU/Linux: http://www.debian.org/security/

Mandrake Linux: http://www.linux-mandrake.com/en/fupdates.php3

LinuxPPC: http://www.linuxppc.com/support/updates/security/

S.u.S.E. : http://www.suse.de/security/index.html

Yellow Dog Linux : http://www.yellowdoglinux.com/resources/errata.shtml

先把所有通过ineted/xineted运行的网络服务关闭,再打开确实需要的服务

only_from=/ / …

每个/(比如192.168.1.0/24)对表示允许的源地址

运行 chkconfig nfs off

运行 chkconfig nfslock off

chkconfig autofs off

chkconfig ypbind off

运行 chkconfig ypserv off

chkconfig yppasswd off

运行 chkconfig portmap off

运行 chkconfig smb off

chkconfig netfs off

chkconfig lpd off

sed 's/id:5:initdefault:/id:3:initdefault:/' \

< /etc/inittab > /etc/inittab.new

mv /etc/inittab.new /etc/inittab

chown root:root /etc/inittab

chmod 0600 /etc/inittab

chkconfig postfix off

chkconfig httpd off

chkconfig snmpd off

chkconfig named off

chkconfig postgresql off

chkconfig routed off

chkconfig gated off

chkconfig webmin off

chkconfig squid off

chkconfig inetd off 或

chkconfig xinetd off

cd /etc/rc.d/init.d

if [ "`grep -l umask functions`" = "" ]; then

echo "umask 022" >> functions

fi

cat <>/etc/security/limits.conf

* soft core 0

* hard core 0

END_ENTRIES

perl -i.orig -pe \

'next if (/^\\s*#/ || /^\\s*$/);

($res, @hst) = split(" ");

foreach $ent (@hst) {

undef(%set);

($optlist) = $ent =~ /\\((.*?)\\)/;

foreach $opt (split(/,/, $optlist)) {

$set{$opt} = 1;

}

delete($set{"insecure"});

$set{"secure"} = 1;

$ent =~ s/\\(.*?\\)//;

$ent .= "(" . join(

}

$hst[0] = "(secure)" unless (@hst);

$_ = "$res\" . join(" ", @hst) . "\\n";' \

/etc/exports

cat <> /etc/sysctl.conf

net.ipv4.ip_forward = 0

net.ipv4.conf.all.accept_source_route = 0

net.ipv4.tcp_max_syn_backlog = 4096

net.ipv4.conf.all.rp_filter = 1

END_SCRIPT

cat <> /etc/sysctl.conf

net.ipv4.conf.all.send_redirects = 0

net.ipv4.conf.all.accept_redirects = 0

net.ipv4.conf.default.accept_redirects = 0

END_SCRIPT

chown root:root /etc/sysctl.conf

chmod 0600 /etc/sysctl.conf

或http://www.linuxhq.com/kernel/v2.2/doc/networking/ip-sysctl.txt.html

if [ `grep -c 'auth\\.' /etc/syslog.conf` -eq 0 ]

then

echo -e "auth.*\\\\/var/log/secure" \

>>/etc/syslog.conf

fi

if [ `grep -c 'authpriv\\.' /etc/syslog.conf` eq 0 ]

then

echo -e "authpriv.*\\\\/var/log/secure" \

>>/etc/syslog.conf

fi

touch /var/log/secure

chown root:root /var/log/secure

chmod 600 /var/log/secure

awk '($2 ~ /^\/m.*\/(floppy|cdrom)$/ && \

$3 != "supermount") \

{ $4 = sprintf("%s,nosuid", $4) }; \

{ print }' /etc/fstab >/etc/fstab.new

mv /etc/fstab.new /etc/fstab

chown root:root /etc/fstab

chmod 04 /etc/fstab

cd /etc/security

egrep -v '(floppy|cdrom)' console.perms \

> console.perms.new

mv console.perms.new console.perms

grep -v supermount /etc/fstab > /etc/fstab.new

mv /etc/fstab.new /etc/fstab

chown root:root console.perms /etc/fstab

chmod 0600 console.perms

chmod 04 /etc/fstab

cd /etc

chown root:root passwd shadow group

chmod 4 passwd group

chmod 400 shadow

chmod +t /tmp

find /var -type d -perm -0222 -xdev -exec chmod +t {} \\;

for part in \

`awk '($3 == "ext2" || $3 == “ext3”) \

{ print $2 }' /etc/fstab`

do

find $part \\( -perm -04000 -o -perm -02000 \\) \

-type f -xdev -print

done

for file in `echo /etc/pam.d/*` ; do

grep -v rhosts_auth $file > ${file}.new

mv ${file}.new $file

chown root:root $file

chmod 4 $file

done

rm /etc/hosts.equiv

cd /etc/

rm -f cron.deny at.deny

echo root >cron.allow

echo root >at.allow

chown root:root cron.allow at.allow

chmod 400 cron.allow at.allow

chown root:root /etc/crontab

chmod 400 /etc/crontab

chown -R root:root /var/spool/cron

chmod -R go-rwx /var/spool/cron

chown -R root:root /etc/cron.*

chmod -R go-rwx /etc/cron.*

echo "Authorized uses only. All activity may be \

monitored and reported." >>/etc/motd

chown root:root /etc/motd

chmod 4 /etc/motd

cat <> /etc/rc.d/rc.local

echo "Authorized uses only. All activity may be \

monitored and reported." >> /etc/issue

echo "Authorized uses only. All activity may be \

monitored and reported." >> /etc/issue.net

END

cat </etc/securetty

tty1

tty2

tty3

tty4

tty5

tty6

END_FILE

chown root:root /etc/securetty

chmod 400 /etc/securetty

在/etc/lilo.conf文件的开头加入如下行:

restricted

password=

以root身份执行如下命令:

chown root:root /etc/lilo.conf

chmod 600 /etc/lilo.conf

lilo

对于GRUB:

加入本行到/etc/grub.conf:

password 

以root身份执行如下命令:

chown root:root /etc/grub.conf

chmod 600 /etc/grub.conf

for user in uucp operator

do

/usr/sbin/userdel $user

done

for user in adm alias apache axfrdns bin daemon dhcpd \

dnscache dnslog ftp games gdm gopher halt htdig ident \

lp mail mailnull named news nobody nscd postfix \

postgres qmaild qmaill qmailp qmailq qmailr qmails \

rpc rpcuser squid sympa sync tinydns xfs

do

/usr/sbin/usermod -L -s /dev/null $user

done

grep ^+: /etc/passwd /etc/shadow /etc/group

awk -F: '($2 == "") { print $1 }' /etc/shadow

awk -F: '($3 == 0) { print $1 }' /etc/passwd

rm -f /.[rs]hosts /.netrc /root/.[rs]hosts /root/.netrc

for dir in \

`awk -F: '($3 >= 500) { print $6 }' /etc/passwd`

do

chmod go-w $dir

done

for dir in \

`awk -F: '($3 >= 500) { print $6 }' /etc/passwd`

do

for file in $dir/.[A-Za-z0-9]*

do

if [ -f $file ]; then

chmod o-w $file

fi

done

done

for dir in `cut -f6 -d: /etc/passwd`

do

rm -f $dir/.netrc

done

cd /etc

for file in profile csh.login csh.cshrc bashrc

do

if [ `grep -c umask $file` -eq 0 ];

then

echo "umask 022" >> $file

fi

chown root:root $file

chmod 444 $file

done