Linux 서버 운영 체제를 강화하는 방법-리눅스 운영 및 유지 관리-php.cn

이 문서는 주로 Linux 서버 운영 체제를 강화하는 방법을 공유합니다. 이 도움말 매뉴얼은 시스템 관리자 또는 보안 검사자가 보안 준수 검사를 수행하도록 안내하고 Linux 운영 체제를 강화하는 데 도움이 될 수 있도록 설계되었습니다. 모두에게 도움이 되기를 바랍니다.

1. 계정 및 비밀번호

1.1 쓸모없는 계정 비활성화 또는 삭제

시스템에서 쓸모없는 계정을 줄이고 보안 위험을 줄입니다.

작업 단계

불필요한 계정을 삭제하려면 userdel <username> 명령을 사용하세요. userdel <用户名> 删除不必要的账号。
使用命令 passwd -l <用户名> 锁定不必要的账号。
使用命令 passwd -u <用户名> 解锁必要的账号。

1.2 检查特殊账号

检查是否存在空口令和root权限的账号。

操作步骤

查看空口令和root权限账号，确认是否存在异常账号：

使用命令 awk -F: '(=="")' /etc/shadow 查看空口令账号。
使用命令 awk -F: '(==0)' /etc/passwd 查看UID为零的账号。

加固空口令账号：

使用命令 passwd <用户名> 为空口令账号设定密码。
确认UID为零的账号只有root账号。

1.3 添加口令策略

加强口令的复杂度等，降低被猜解的可能性。

操作步骤

使用命令 vi /etc/login.defs 修改配置文件。

PASS_MAX_DAYS 90 #新建用户的密码最长使用天数
PASS_MIN_DAYS 0 #新建用户的密码最短使用天数
PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

使用chage命令修改用户设置。
例如，chage -m 0 -M 30 -E 2000-01-01 -W 7 <用户名>表示将此用户的密码最长使用天数设为30，最短使用天数设为0，密码2000年1月1日过期，过期前七天警告用户。

设置连续输错三次密码，账号锁定五分钟。使用命令 vi /etc/pam.d/common-auth修改配置文件，在配置文件中添加 auth required pam_tally.so onerr=fail deny=3 unlock_time=300。

1.4 限制用户su

限制能su到root的用户。

操作步骤

使用命令 vi /etc/pam.d/su修改配置文件，在配置文件中添加行。例如，只允许test组用户su到root，则添加 auth required pam_wheel.so group=test。

1.4 禁止root用户直接登录

限制root用户直接登录。

操作步骤

创建普通权限账号并配置密码,防止无法远程登录;
使用命令 vi /etc/ssh/sshd_config修改配置文件将PermitRootLogin的值改成no，并保存，然后使用service sshd restart重启服务。

2. 服务

2.1 关闭不必要的服务

关闭不必要的服务（如普通服务和xinetd服务），降低风险。

操作步骤

使用命令 chkconfig --level <init级别> <服务名> on|off|reset 设置服务在指定init级别下开机是否启动。

2.2 SSH服务安全

对SSH服务进行安全加固，防止暴力破解成功。

操作步骤

使用命令 vim /etc/ssh/sshd_config 编辑配置文件。

不允许root账号直接登录系统。
设置 PermitRootLogin 的值为 no。
修改SSH使用的协议版本。
设置 Protocol 的版本为 2。
修改允许密码错误次数（默认6次）。
设置 MaxAuthTries 的值为 3。

配置文件修改完成后，重启sshd服务生效。

3. 文件系统

3.1 设置umask值

设置默认的umask值，增强安全性。

操作步骤

使用命令 vi /etc/profile 修改配置文件，添加行 umask 027，即新创建的文件属主拥有读写执行权限，同组用户拥有读和执行权限，其他用户无权限。

3.2 设置登录超时

设置系统登录后，连接超时时间，增强安全性。

操作步骤

使用命令 vi /etc/profile 修改配置文件，将以 TMOUT= 开头的行注释，设置为TMOUT=180

🎜 불필요한 계정을 잠그려면 passwd -l <username> 명령을 사용하세요. 🎜🎜🎜 passwd -u <username> 명령을 사용하여 필요한 계정을 잠금 해제하세요. 🎜🎜1.2 특수 계정 확인🎜🎜비밀번호가 비어 있고 루트 권한이 있는 계정이 있는지 확인하세요. 🎜🎜🎜작업 단계🎜🎜

awk -F: '($3==0)' /etc/passwd

passwd <username>

🎜1.3 비밀번호 전략 추가🎜🎜 비밀번호의 복잡성을 높이고 추측 가능성을 줄입니다. 🎜🎜🎜작업 단계🎜🎜

vi /etc/login.defs

PASS_MAX_DAYS 90 #신규 사용자의 비밀번호 최대 일수

PASS_MIN_DAYS 0 #최소 사용자 비밀번호 일수 새 사용자의 비밀번호

PASS_WARN_AGE 7 #새 사용자에게 비밀번호 만료를 미리 알리는 일수

chage -m 0 -M 30 -E 2000-01-01 -W 7 <Username>

vi /etc/pam.d/common-auth

🎜1.4 사용자 su 제한🎜🎜 루트로 su할 수 있는 사용자를 제한합니다. 🎜🎜🎜작업 단계🎜🎜🎜 vi /etc/pam.d/su 명령을 사용하여 구성 파일을 수정하고 구성 파일에 줄을 추가합니다. 예를 들어, 테스트 그룹의 사용자만 루트로 su할 수 있도록 허용하려면 auth require pam_wheel.so group=test를 추가하세요. 🎜🎜1.4 루트 사용자가 직접 로그인하는 것을 금지합니다🎜🎜루트 사용자가 직접 로그인하는 것을 제한합니다. 🎜🎜🎜작업 단계🎜🎜

vi / 명령을 사용하세요. etc/ ssh/sshd_config

service sshd restart

🎜2. 서비스🎜🎜2.1 불필요한 서비스 종료🎜🎜위험을 줄이기 위해 불필요한 서비스(예: 일반 서비스, xinetd 서비스)를 종료합니다. 🎜🎜🎜작업 단계🎜🎜🎜서비스가 지정된 init 수준에서 시작되는지 여부를 설정하려면 chkconfig --level <init level> <service name> on|off|reset 명령을 사용하세요. 🎜🎜2.2 SSH 서비스 보안🎜🎜 성공적인 무차별 대입 크래킹을 방지하기 위해 SSH 서비스의 보안 강화. 🎜🎜🎜작업 단계🎜🎜🎜 vim /etc/ssh/sshd_config 명령을 사용하여 구성 파일을 편집하세요. 🎜🎜🎜🎜루트 계정은 시스템에 직접 로그인할 수 없습니다. 🎜 PermitRootLogin 값을 no로 설정합니다. 🎜🎜🎜SSH에서 사용하는 프로토콜 버전을 수정하세요. 🎜 프로토콜 버전을 2로 설정합니다. 🎜🎜🎜허용되는 비밀번호 오류 수를 수정합니다(기본값 6). 🎜 MaxAuthTries 값을 3으로 설정합니다. 🎜🎜구성 파일 수정이 완료된 후 sshd 서비스를 다시 시작하면 적용됩니다. 🎜🎜3. 파일 시스템🎜🎜3.1 umask 값 설정🎜🎜보안 강화를 위해 기본 umask 값을 설정하세요. 🎜🎜🎜작업 단계🎜🎜🎜vi /etc/profile 명령을 사용하여 구성 파일을 수정하고 umask 027 줄, 즉 새로의 소유자를 추가합니다. 생성된 파일에는 읽기, 쓰기 및 실행 권한이 있으며, 동일한 그룹의 사용자는 읽기 및 실행 권한이 있지만 다른 사용자에게는 권한이 없습니다. 🎜🎜3.2 로그인 시간 초과 설정🎜🎜보안 강화를 위해 시스템 로그인 후 연결 시간 초과를 설정하세요. 🎜🎜🎜작업 단계🎜🎜🎜vi /etc/profile 명령을 사용하여 구성 파일을 수정합니다. TMOUT=로 시작하는 줄을 주석 처리하고 로 설정합니다. TMOUT=180 , 즉 시간 초과 기간은 3분입니다. 🎜

4. Log

4.1 syslogd log

로깅 기능을 활성화하고 로깅을 구성합니다.

작업 단계

Linux 시스템은 기본적으로 다음 유형의 로그를 활성화합니다.

시스템 로그(기본값)/var/log/messages
cron 로그(기본값)/var/log/cron
보안 로그(기본값) /var/log/secure

참고: 일부 시스템에서는 syslog-ng 로그를 사용할 수 있으며 구성 파일은 /etc/syslog-ng/syslog-ng.conf입니다.

필요에 따라 세부 로그를 구성할 수 있습니다.

4.2 모든 사용자의 로그인 및 작업 로그를 기록합니다.

모든 사용자의 로그인 작업 로그를 스크립트 코드를 통해 기록하여 보안 사고가 방치되는 것을 방지합니다.

작업 단계

1. [root@xxx /]# vim /etc/profile을 실행하여 구성 파일을 엽니다.

2. 구성 파일에 다음 내용을 입력합니다.

history
USER=`whoami`
USER_IP=`who -u am i 2>/dev/null| awk &#39;{print $NF}&#39;|sed -e &#39;s/[()]//g&#39;`
if [ "$USER_IP" = "" ]; then
USER_IP=`hostname`
fi
if [ ! -d /var/log/history ]; then
mkdir /var/log/history
chmod 777 /var/log/history
fi
if [ ! -d /var/log/history/${LOGNAME} ]; then
mkdir /var/log/history/${LOGNAME}
chmod 300 /var/log/history/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date +"%Y%m%d_%H:%M:%S"`
export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null

로그인 후 복사

3. [root@xxx /]# source /etc/profile을 실행하여 구성을 로드하고 적용합니다.
참고: /var/log/history는 로그 저장 위치이며 사용자 정의할 수 있습니다.

위 단계를 통해 /var/log/history 디렉터리에 각 사용자 이름 아래에 새 폴더를 만들 수 있습니다. 사용자가 로그아웃할 때마다 사용자 이름, 로그인 IP 및 시간이 포함된 로그 파일이 생성됩니다. 사용자의 ID를 포함한 모든 작업(루트 사용자 제외)이 생성됩니다.

동시에 OSS 서비스를 사용하여 스토리지 로그를 수집하는 것이 좋습니다.