Linux サーバー オペレーティング システムを強化する方法

この記事では、主に Linux サーバー オペレーティング システムを強化する方法について説明します。このヘルプ マニュアルは、システム管理者やセキュリティ検査官が Linux オペレーティング システムのセキュリティ コンプライアンス検査と強化を行うためのガイドとなるように設計されています。皆さんのお役に立てれば幸いです。

1. アカウントとパスワード

1.1 不要なアカウントを無効化または削除します

システム内の不要なアカウントを減らし、セキュリティリスクを軽減します。

操作手順

• コマンド userdel <username> を使用して、不要なアカウントを削除します。 userdel <用户名> 删除不必要的账号。

• 使用命令 passwd -l <用户名> 锁定不必要的账号。

• 使用命令 passwd -u <用户名> 解锁必要的账号。

1.2 检查特殊账号

检查是否存在空口令和root权限的账号。

操作步骤

1. 查看空口令和root权限账号，确认是否存在异常账号：

• 使用命令 awk -F: '(=="")' /etc/shadow 查看空口令账号。

• 使用命令 awk -F: '(==0)' /etc/passwd 查看UID为零的账号。

加固空口令账号：

• 使用命令 passwd <用户名> 为空口令账号设定密码。

• 确认UID为零的账号只有root账号。

1.3 添加口令策略

加强口令的复杂度等，降低被猜解的可能性。

操作步骤

1. 使用命令 vi /etc/login.defs 修改配置文件。

• PASS_MAX_DAYS 90 #新建用户的密码最长使用天数

• PASS_MIN_DAYS 0 #新建用户的密码最短使用天数

• PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

コマンド passwd -l <username> を使用して、不要なアカウントをロックします。

chage -m 0 -M 30 -E 2000-01-01 -W 7 <用户名>表示将此用户的密码最长使用天数设为30，最短使用天数设为0，密码2000年1月1日过期，过期前七天警告用户。

设置连续输错三次密码，账号锁定五分钟。使用命令 vi /etc/pam.d/common-auth修改配置文件，在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。

1.4 限制用户su

限制能su到root的用户。

操作步骤

使用命令 vi /etc/pam.d/su修改配置文件，在配置文件中添加行。例如，只允许test组用户su到root，则添加 auth required pam_wheel.so group=test。

1.4 禁止root用户直接登录

限制root用户直接登录。

操作步骤

1. 创建普通权限账号并配置密码,防止无法远程登录;

2. 使用命令 vi /etc/ssh/sshd_config修改配置文件将PermitRootLogin的值改成no，并保存，然后使用service sshd restart重启服务。

2. 服务

2.1 关闭不必要的服务

关闭不必要的服务（如普通服务和xinetd服务），降低风险。

操作步骤

使用命令 chkconfig --level <init级别> <服务名> on|off|reset 设置服务在指定init级别下开机是否启动。

2.2 SSH服务安全

对SSH服务进行安全加固，防止暴力破解成功。

操作步骤

使用命令 vim /etc/ssh/sshd_configコマンド passwd -u <username> を使用して、必要なアカウントのロックを解除します。

• 1.2 特別なアカウントを確認する
  

  空のパスワードと root 権限を持つアカウントが存在するかどうかを確認します。

• 操作手順
  
• 空のパスワードとroot特権アカウントをチェックして、異常なアカウントがあるかどうかを確認します:

  
  

コマンドawkを使用します。 -F: ' ($2=="")' /etc/shadow 空のパスワード アカウントを確認します。

コマンド awk -F: '($3==0)' /etc/passwd を使用して、UID 0 のアカウントを表示します。

空のパスワード アカウントを強化します:

vi /etc/profile 修改配置文件，添加行 umask 027， 即新创建的文件属主拥有读写执行权限，同组用户拥有读和执行权限，其他用户无权限。

3.2 设置登录超时

设置系统登录后，连接超时时间，增强安全性。

操作步骤

使用命令 vi /etc/profile 修改配置文件，将以 TMOUT= 开头的行注释，设置为TMOUT=180コマンド passwd <username> を使用して、空のパスワード アカウントのパスワードを設定します。

🎜🎜🎜UID 0 のアカウントが root アカウントのみであることを確認します。 🎜🎜🎜🎜1.3 パスワード戦略の追加 🎜🎜パスワードの複雑さを強化し、推測される可能性を減らします。 🎜🎜🎜操作手順🎜🎜

🎜🎜コマンド vi /etc/login.defs を使用して構成ファイルを変更します。 🎜🎜🎜🎜🎜PASS_MAX_DAYS 90 #新しいユーザーのパスワードの最大日数🎜🎜🎜🎜PASS_MIN_DAYS 0 #新しいユーザーのパスワードの最小日数🎜🎜🎜🎜<code>PASS_WARN_AGE 7 #新しいユーザーにパスワードの有効期限を通知する日数🎜🎜🎜🎜🎜 ユーザー設定を変更するには、chage コマンドを使用します。 🎜 たとえば、chage -m 0 -M 30 -E 2000-01-01 -W 7 <Username> は、このユーザーのパスワードの最大日数が 30 に設定され、最小日数が 30 に設定されていることを意味します。日数は 30 に設定されます。0 の場合、パスワードは 2000 年 1 月 1 日に期限切れになり、期限切れの 7 日前にユーザーに警告が表示されます。 🎜🎜🎜🎜 間違ったパスワードを 3 回連続で入力すると、アカウントは 5 分間ロックされます。コマンド vi /etc/pam.d/common-auth を使用して構成ファイルを変更し、auth required pam_tally.so onerr=faildeny=3unlock_time=300 を追加します。設定ファイル。 🎜🎜

🎜1.4 ユーザー su を制限する🎜🎜 su できるユーザーを root に制限します。 🎜🎜🎜操作手順🎜🎜🎜 コマンド vi /etc/pam.d/su を使用して、構成ファイルを変更し、構成ファイルに行を追加します。たとえば、テスト グループのユーザーにのみ root への su 権限を許可するには、auth required pam_wheel.so group=test を追加します。 🎜🎜1.4 root ユーザーの直接ログインを禁止する🎜🎜 root ユーザーの直接ログインを制限します。 🎜🎜🎜操作手順🎜🎜

🎜🎜通常の権限アカウントを作成し、リモートログインを防ぐためのパスワードを設定します🎜🎜🎜🎜 コマンド vi /etc/ssh を使用します。 /sshd_config 構成ファイルを変更して PermitRootLogin の値を no に変更し、保存してから、service sshd restart を使用してサービスを再起動します。 🎜🎜

🎜2. サービス🎜🎜2.1 不要なサービスを閉じる🎜🎜 リスクを軽減するために、不要なサービス (通常のサービスや xinetd サービスなど) を閉じます。 🎜🎜🎜操作手順🎜🎜🎜 コマンド chkconfig --level <init level> <service name> on|off|reset を使用して、指定した init レベルでサービスを開始するかどうかを設定します。 🎜🎜2.2 SSH サービスのセキュリティ🎜🎜 ブルートフォースクラッキングの成功を防ぐための SSH サービスのセキュリティ強化。 🎜🎜🎜操作手順🎜🎜🎜コマンド vim /etc/ssh/sshd_config を使用して、構成ファイルを編集します。 🎜🎜🎜🎜 root アカウントはシステムに直接ログインすることを許可されていません。 🎜 PermitRootLogin の値を no に設定します。 🎜🎜🎜🎜 SSH で使用されるプロトコルのバージョンを変更します。 🎜 プロトコルのバージョンを 2 に設定します。 🎜🎜🎜🎜許可されるパスワードエラーの回数を変更します (デフォルトは 6 回)。 🎜 MaxAuthTries の値を 3 に設定します。 🎜🎜🎜🎜設定ファイルの変更が完了したら、sshd サービスを再起動して有効にします。 🎜🎜3. ファイルシステム🎜🎜3.1 umask値の設定🎜🎜セキュリティを強化するためにデフォルトのumask値を設定します。 🎜🎜🎜操作手順🎜🎜🎜 コマンド vi /etc/profile を使用して構成ファイルを変更し、行 umask 027 (つまり、新しいファイルの所有者) を追加します。作成されたファイルには読み取り、書き込み、実行のアクセス許可があり、同じグループ内のユーザーには読み取りと実行のアクセス許可がありますが、他のユーザーにはアクセス許可がありません。 🎜🎜3.2 ログインタイムアウトの設定🎜🎜セキュリティを強化するために、システムログイン後の接続タイムアウトを設定します。 🎜🎜🎜操作手順🎜🎜🎜コマンド vi /etc/profile を使用して、TMOUT= で始まる行をコメント化し、それを に設定します。 TMOUT=180 、つまりタイムアウト期間は 3 分です。 🎜

4. ログ

4.1 syslogd log

ログ機能を有効にし、ログを設定します。

操作手順

Linuxシステムでは、デフォルトで次のタイプのログが有効になります:

• システムログ(デフォルト)/var/log/messages

• cronログ(デフォルト)/var/log/cron

• セキュリティ ログ (デフォルト) /var/log/secure

注: 一部のシステムでは syslog-ng ログが使用される場合があります。設定ファイルは /etc/syslog-ng/syslog-ng.conf です。

必要に応じて詳細なログを設定できます。

4.2 全ユーザーのログイン・操作ログを記録する

セキュリティインシデントの放置を防ぐため、スクリプトコードにより全ユーザーのログイン操作ログを記録します。

操作手順

1. [root@xxx /]# vim /etc/profile を実行して設定ファイルを開きます。

2. 設定ファイルに次の内容を入力します。

history
USER=`whoami`
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]; then
USER_IP=`hostname`
fi
if [ ! -d /var/log/history ]; then
mkdir /var/log/history
chmod 777 /var/log/history
fi
if [ ! -d /var/log/history/${LOGNAME} ]; then
mkdir /var/log/history/${LOGNAME}
chmod 300 /var/log/history/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date +"%Y%m%d_%H:%M:%S"`
export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null

3. [root@xxx /]#source /etc/profile を実行して設定をロードし、有効にします。
注: /var/log/history はログの保存場所であり、カスタマイズできます。

上記の手順により、/var/log/history ディレクトリに各ユーザーの名前で新しいフォルダーを作成でき、ユーザーがログアウトするたびに、ユーザー名、ログイン IP、時刻が記録されたログ ファイルが作成されます。ユーザーの ID を含むすべての操作 (root ユーザーを除く)。

同時に、OSS サービスを使用してストレージ ログを収集することをお勧めします。

関連する推奨事項:

php サーバー オペレーティング システム情報を取得するための最も完全な基本コマンドの詳細な説明

php サーバー オペレーティング システム関連情報を取得するメソッド

php サーバー オペレーティング システムの種類を決定する_PHP チュートリアル

以上がLinux サーバー オペレーティング システムを強化する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。