CISP-10-UNIX操作系统安全-new.pptVIP

* * * * * * * * * * * 名片网 * * * * * * * * * * * * LILO的安全配置 /etc/lilo.conf的例子 boot=/dev/hda? map=/boot/map? install=/boot/boot.b? prompt? timeout=00?default=linux? image=/boot/vmlinuz-2.2.12-20 label=linux? root=/dev/hda1? read-only? restricted? password=kpAsSb0rv_f timeout=00 把这行该为00，这样系统启动时将不在等待，而直接启动LINUX 加如下面两个参数：restricted,password。这三个参数可以使你的系统在启动lilo时就要求密码验证。 LILO的安全配置 设置权限 因为/etc/lilo.conf文件中包含明文密码 # chmod 600 /etc/lilo.conf /etc/lilo.conf设置为不可变 ?#?chattr?+i?/etc/lilo.conf linux账号安全 设置一个合适的密码 推荐最短8位 必须足够复杂 必须定期更换 linux账号安全 密码长度的强制定义 修改 /etc/login.defs 将PASS_MIN_LEN 5改为PASS_MIN_LEN 8 自动注销帐号的登录 Vi /etc/profile 在HISTFILESIZE=后面加入下面这行： TMOUT=300 5分钟内都没有动作，那么系统会自动注销这个账户 linux账号安全 修改一些系统帐号的Shell变量 例如uucp,ftp和news等 在/etc/passwd中将它们的Shell变量置空，例如设为/bin/false或者/dev/null等 linux账号安全 使用PAM（可插拔认证模块）禁止任何人通过su命令改变为root #vi /etc/pam.d/su，在开头添加下面两行： auth sufficient /lib/security/pam_rootok.so auth required /lib/security/Pam_wheel.so group=wheel #usermod –G10 username 这表明只有wheel组的成员可以使用su命令成为root用户 linux账号安全 删除不需要的特殊的帐号 # userdel adm # userdel lp # userdel sync # userdel shutdown # userdel halt # userdel news # userdel uucp # userdel operator # userdel gopher linux账号安全 删除不需要的特殊的组 [root@kcn]# groupdel adm [root@kcn]# groupdel lp [root@kcn]# groupdel news [root@kcn]# groupdel uucp [root@kcn]# groupdel dip [root@kcn]# groupdel pppusers [root@kcn]# groupdel popusers (delete this group if you don’t use pop server for email). [root@kcn]# groupdel slipusers linux账号安全 chattr命令给口令和组文件加上不可更改属性 # chattr +i /etc/passwd # chattr +i /etc/shadow # chattr +i /etc/group # chattr +i /etc/gshadow linux系统及网络服务 检查 /etc/inetd.conf服务 #chmod 600 /etc/inetd.conf #chattr +i /etc/inetd.conf 关闭无用的服务 取消下列服务中不需要的：ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger, auth等 配置TCP wrapper linux系统及网络服务 修改“/etc/host.conf”文件,防止IP欺骗 加入下面这行： # Lookup names via DNS first then fall back to /etc/hosts. order bind,hosts # We have machines with m