安装一台安全的Linux课件.pptx
安装一台安全的安装一台安全的LinuxhwtonyxmubbsLinux的优点的优点n nLinux花费小，硬件要求低n n开放源码n n相对安全Linux的缺点的缺点n n学习成本高n n缺少技术支持n n特定服务无法满足要求选择依据选择依据n n根据应用选择操作系统n n利用linux为老机器延长寿命安全概述安全概述n n防范谁（天灾、病毒、人）n n需要什么样的措施n n授予最小的权限安装要点安装要点n n避免连接网络n n慎重规划文件系统n n仅安装必要程序规划文件系统规划文件系统n n选用日志文件系统n n独立/var、/home、/bootn n独立/usr、/tmp安装最小的操作系统安装最小的操作系统n n安装时选择安装时选择MinimalMinimal物理安全物理安全n n限制启动方式n n保护控制台限制启动方式限制启动方式n n更改启动顺序n n加上BIOS密码n n加上Loader密码给给GRUB加上密码加上密码n n获得加密串grub md5cryptgrub md5cryptPassword:*Password:*Encrypted:$1$qW/qn0$LOnxgnJ2eyQupw2i7aTtS1Encrypted:$1$qW/qn0$LOnxgnJ2eyQupw2i7aTtS1n n编辑/boot/grub/grub.conf，加入password-md5$1$b.0qn0$X7vUSPBqlznCPHzQQJJQ51password-md5$1$b.0qn0$X7vUSPBqlznCPHzQQJJQ51保护控制台保护控制台 禁用禁用ctrl+alt+deln n编辑/etc/inittabn n注释掉如下配置ca:ctrlaltdel:/sbin/shutdown-t3-r nowca:ctrlaltdel:/sbin/shutdown-t3-r now保护控制台保护控制台 禁用程序禁用程序n n执行以下命令rm f/etc/security/console.apps/haltrm f/etc/security/console.apps/haltrm f/etc/security/console.apps/rebootrm f/etc/security/console.apps/rebootrm f/etc/security/console.apps/poweroffrm f/etc/security/console.apps/powerofffor i in/etc/pam.d/*dofor i in/etc/pam.d/*do sed/#.*pam_console.so/s/#/temp&mv f temp$i sed/#.*pam_console.so/s/#/temp&mv f temp$i done done帐户安全帐户安全n n删除不必要帐户n n限制帐户权限n n保护超级管理员帐户删除不必要的帐户删除不必要的帐户n n用以下命令查看用户cat/etc/passwd|cut-f 1-1-d:-cat/etc/passwd|cut-f 1-1-d:-n n删除adm、lp、sync、shutdown、halt、news、mail、uucp、operator、games、gopher、ftp删除不必要的组删除不必要的组n n用以下命令查看用户cat/etc/group|cut-f 1-1-d:-cat/etc/group|cut-f 1-1-d:-n n删除adm、lp、news、mail、uucp、games、dip限制帐户权限限制帐户权限n n允许登陆？usermod-s/sbin/nologin usernameusermod-s/sbin/nologin usernamen n登陆方式，位置？n n避免创建默认组保护超级管理员帐户保护超级管理员帐户n n编辑/etc/profile，加入TMOUT=600TMOUT=600n n编辑/etc/pam.d/su，去掉下面的注释#auth required /lib/security/$ISA/pam_wheel.so use_uid#auth required /lib/security/$ISA/pam_wheel.so use_uid文件安全文件安全n n避免不必要的文件权限n n保护重要文件n n注意SUID程序避免不必要的文件权限避免不必要的文件权限n n修改fstabn n/var、/tmp加上noexec、nosuid、nodevn n/home加上nosuid、nodev保护重要的文件保护重要的文件n nchattr in n/etc/services/etc/servicesn n/etc/passwd/etc/passwdn n/etc/shadow/etc/shadown n/etc/group/etc/groupn n/etc/gshadow/etc/gshadown n去掉不必要的去掉不必要的SUIDn n查找SUID程序find/-type f(-perm-04000-o-perm-02000)find/-type f(-perm-04000-o-perm-02000)n n去掉权限chmod a-s/bin/mountchmod a-s/bin/mount网络安全网络安全n n配置防火墙n n删除不必要的服务n n设置内核参数IPTABLES(1)#export INET_IP=xxx.xxx.xxx.xxx#export INET_IP=xxx.xxx.xxx.xxx#iptables-N bad_tcp_packets#iptables-N bad_tcp_packets#iptables-N allowed#iptables-N allowed#iptables-A bad_tcp_packets-p tcp-tcp-flags#iptables-A bad_tcp_packets-p tcp-tcp-flags SYN,ACK SYN,ACK-m state-state NEW-j REJECT-reject-with tcp-reset SYN,ACK SYN,ACK-m state-state NEW-j REJECT-reject-with tcp-reset#iptables-A bad_tcp_packets-p tcp!-syn-m state-state NEW-j DROP#iptables-A bad_tcp_packets-p tcp!-syn-m state-state NEW-j DROP#iptables-A allowed-p TCP-syn-j ACCEPT#iptables-A allowed-p TCP-syn-j ACCEPT#iptables-A allowed-p TCP-m state-state ESTABLISHED,RELATED-j ACCEPT#iptables-A allowed-p TCP-m state-state ESTABLISHED,RELATED-j ACCEPT#iptables-A allowed-p TCP-j DROP#iptables-A allowed-p TCP-j DROP IPTABLES(2)#iptables-A INPUT-p tcp-j bad_tcp_packets#iptables-A INPUT-p tcp-j bad_tcp_packets#iptables-A INPUT-p ALL-i lo-s 127.0.0.1-j ACCEPT#iptables-A INPUT-p ALL-i lo-s 127.0.0.1-j ACCEPT#iptables-A INPUT-p ALL-i lo-s$INET_IP-j ACCEPT#iptables-A INPUT-p ALL-i lo-s$INET_IP-j ACCEPT#iptables-A INPUT-p ALL-d$INET_IP-m state-state#iptables-A INPUT-p ALL-d$INET_IP-m state-state ESTABLISHED,RELATED-j ACCEPT ESTABLISHED,RELATED-j ACCEPT#iptables-A OUTPUT-p tcp-j bad_tcp_packets#iptables-A OUTPUT-p tcp-j bad_tcp_packets#iptables-A OUTPUT-p ALL-o lo-d 127.0.0.1-j ACCEPT#iptables-A OUTPUT-p ALL-o lo-d 127.0.0.1-j ACCEPT#iptables-A OUTPUT-p ALL-o lo-d$INET_IP-j ACCEPT#iptables-A OUTPUT-p ALL-o lo-d$INET_IP-j ACCEPT#iptables-A OUTPUT-p ALL-s$INET_IP-m state-state#iptables-A OUTPUT-p ALL-s$INET_IP-m state-state ESTABLISHED,RELATED-j ACCEPT ESTABLISHED,RELATED-j ACCEPT IPTABLES(3)#iptables-A INPUT-p TCP-dport 22-j allowed#iptables-A INPUT-p TCP-dport 22-j allowed#iptables-A OUTPUT-p UDP-dport 53-j ACCEPT#iptables-A OUTPUT-p UDP-dport 53-j ACCEPT#iptables-A OUTPUT-p TCP-dport 53-j allowed#iptables-A OUTPUT-p TCP-dport 53-j allowed#iptables-A OUTPUT-p TCP-dport 21-j allowed#iptables-A OUTPUT-p TCP-dport 21-j allowed#iptables-P INPUT DROP#iptables-P INPUT DROP#iptables-P OUTPUT DROP#iptables-P OUTPUT DROP#iptables-P FORWARD DROP#iptables-P FORWARD DROP#service iptables save#service iptables save TCP_WRAPPERSn n/etc/hosts.denyALL:ALLALL:ALLn n/etc/hosts.allow，用ipsshd:xxx.xxx.xxx.xxxsshd:xxx.xxx.xxx.xxx删除不必要的服务删除不必要的服务n nchkconfig listn nchkconfig level 3 servicename offn n手工编辑/etc/rc.d/rc3.d设置内核参数设置内核参数n n/etc/sysctl.confnet.ipv4.icmp_echo_ignore_all=1net.ipv4.icmp_echo_ignore_all=1net.ipv4.icmp_echo_ignore_broadcasts=1net.ipv4.icmp_echo_ignore_broadcasts=1net.ipv4.conf.all.accept_source_route=0net.ipv4.conf.all.accept_source_route=0net.ipv4.tcp_syncookies=1net.ipv4.tcp_syncookies=1net.ipv4.conf.all.accept_redirects=0net.ipv4.conf.all.accept_redirects=0net.ipv4.ip_always_defrag=1net.ipv4.ip_always_defrag=1net.ipv4.icmp_ignore_bogus_error_responses=1net.ipv4.icmp_ignore_bogus_error_responses=1net.ipv4.conf.all.rp_filter=1net.ipv4.conf.all.rp_filter=1net.ipv4.conf.all.log_martians=1net.ipv4.conf.all.log_martians=1安全相关安全相关n nSecurity Through Obscurity（不公开、即安（不公开、即安全）全）n n日志&备份n n升级Security Through Obscurityn n删除/etc/issue、/etc/n n修改端口日志与备份日志与备份n n正确设置/var/log权限n n设置自动备份并测试(/etc、/var/log)n n备份/var/lib/rpm/与/var/lib/rpm/packages.rpm，用rpm Va检查谢谢谢谢1、有时候读书是一种巧妙地避开思考的方法。4月-234月-23Thursday,April 27,20232、阅读一切好书如同和过去最杰出的人谈话。02:49:3302:49:3302:494/27/2023 2:49:33 AM3、越是没有本领的就越加自命不凡。4月-2302:49:3302:49Apr-2327-Apr-234、越是无能的人，越喜欢挑剔别人的错儿。02:49:3302:49:3302:49Thursday,April 27,20235、知人者智，自知者明。胜人者有力，自胜者强。4月-234月-2302:49:3302:49:33April 27,20236、意志坚强的人能把世界放在手中像泥块一样任意揉捏。27四月20232:49:33上午02:49:334月-237、最具挑战性的挑战莫过于提升自我。四月232:49上午4月-2302:49April 27,20238、业余生活要有意义，不要越轨。2023/4/272:49:3302:49:3327 April 20239、一个人即使已登上顶峰，也仍要自强不息。2:49:33上午2:49上午02:49:334月-2310、你要做多大的事情，就该承受多大的压力。4/27/2023 2:49:33 AM02:49:3327-4月-2311、自己要先看得起自己，别人才会看得起你。4/27/2023 2:49 AM4/27/2023 2:49 AM4月-234月-2312、这一秒不放弃，下一秒就会有希望。27-Apr-2327 April 20234月-2313、无论才能知识多么卓著，如果缺乏热情，则无异纸上画饼充饥，无补于事。Thursday,April 27,202327-Apr-234月-2314、我只是自己不放过自己而已，现在我不会再逼自己眷恋了。4月-2302:49:3327 April 202302:49谢谢大家谢谢大家
