安装一台安全的Linux

1、安装一台安全的Linux何伟平hwtonyxmubbsLinux的优点Linux花费小，硬件要求低开放源码相对安全Linux的缺点学习成本高缺少技术支持特定服务无法满足要求选择依据根据应用选择操作系统利用linux为老机器延长寿命安全概述防范谁（天灾、病毒、人）需要什么样的措施授予最小的权限安装要点避免连接网络慎重规划文件系统仅安装必要程序规划文件系统选用日志文件系统独立/var、/home、/boot独立/usr、/tmp安装最小的操作系统安装时选择Minimal物理安全限制启动方式保护控制台限制启动方式更改启动顺序加上BIOS密码加上Loader密码给GRUB加上密码获得加密串grub m

2、d5cryptPassword: *Encrypted: $1$qW/qn0$LOnxgnJ2eyQupw2i7aTtS1编辑/boot/grub/grub.conf，加入password -md5 $1$b.0qn0$X7vUSPBqlznCPHzQQJJQ51保护控制台 禁用ctrl+alt+del编辑/etc/inittab注释掉如下配置ca:ctrlaltdel:/sbin/shutdown -t3 -r now保护控制台 禁用程序执行以下命令rm f /etc/security/console.apps/haltrm f /etc/security/console.apps/rebo

3、otrm f /etc/security/console.apps/powerofffor i in /etc/pam.d/* do sed /#.*pam_console.so/s/#/ temp & mv f temp $i done帐户安全删除不必要帐户限制帐户权限保护超级管理员帐户删除不必要的帐户用以下命令查看用户cat /etc/passwd| cut -f 1-1 -d: -删除adm、lp、sync、shutdown、halt、news、mail、uucp、operator、games、gopher、ftp删除不必要的组用以下命令查看用户cat /etc/group| cut -

4、f 1-1 -d: -删除adm、lp、news、mail、uucp、games、dip限制帐户权限允许登陆？usermod -s /sbin/nologin username登陆方式，位置？避免创建默认组保护超级管理员帐户编辑/etc/profile，加入TMOUT=600编辑/etc/pam.d/su，去掉下面的注释#auth required /lib/security/$ISA/pam_wheel.so use_uid文件安全避免不必要的文件权限保护重要文件注意SUID程序避免不必要的文件权限修改fstab/var、/tmp加上noexec、nosuid、nodev/home加上nos

5、uid、nodev保护重要的文件chattr i/etc/services/etc/passwd/etc/shadow/etc/group/etc/gshadow去掉不必要的SUID查找SUID程序find / -type f ( -perm -04000 -o -perm -02000 )去掉权限chmod a-s /bin/mount网络安全配置防火墙删除不必要的服务设置内核参数IPTABLES (1)# export INET_IP=xxx.xxx.xxx.xxx # iptables -N bad_tcp_packets# iptables -N allowed# iptables -

6、A bad_tcp_packets -p tcp -tcp-flags SYN,ACK SYN,ACK -m state -state NEW -j REJECT -reject-with tcp-reset # iptables -A bad_tcp_packets -p tcp ! -syn -m state -state NEW -j DROP # iptables -A allowed -p TCP -syn -j ACCEPT # iptables -A allowed -p TCP -m state -state ESTABLISHED,RELATED -j ACCEPT # ip

7、tables -A allowed -p TCP -j DROP IPTABLES (2)# iptables -A INPUT -p tcp -j bad_tcp_packets # iptables -A INPUT -p ALL -i lo -s -j ACCEPT # iptables -A INPUT -p ALL -i lo -s $INET_IP -j ACCEPT # iptables -A INPUT -p ALL -d $INET_IP -m state -state ESTABLISHED,RELATED -j ACCEPT # iptables -A OUTPUT -p

8、 tcp -j bad_tcp_packets# iptables -A OUTPUT -p ALL -o lo -d -j ACCEPT# iptables -A OUTPUT -p ALL -o lo -d $INET_IP -j ACCEPT# iptables -A OUTPUT -p ALL -s $INET_IP -m state -state ESTABLISHED,RELATED -j ACCEPT IPTABLES (3)# iptables -A INPUT -p TCP -dport 22 -j allowed # iptables -A OUTPUT -p UDP -d

9、port 53 -j ACCEPT# iptables -A OUTPUT -p TCP -dport 53 -j allowed# iptables -A OUTPUT -p TCP -dport 21 -j allowed # iptables -P INPUT DROP# iptables -P OUTPUT DROP# iptables -P FORWARD DROP # service iptables save TCP_WRAPPERS/etc/hosts.denyALL:ALL/etc/hosts.allow，用ipsshd:xxx.xxx.xxx.xxx删除不必要的服务chkc

10、onfig listchkconfig level 3 servicename off手工编辑/etc/rc.d/rc3.d设置内核参数/etc/sysctl.confnet.ipv4.icmp_echo_ignore_all = 1net.ipv4.icmp_echo_ignore_broadcasts = 1net.ipv4.conf.all.accept_source_route = 0net.ipv4.tcp_syncookies = 1net.ipv4.conf.all.accept_redirects = 0net.ipv4.ip_always_defrag = 1net.ipv4.icmp_ignore_bogus_error_responses = 1net.ipv4.conf.all.rp_filter = 1net.ipv4.conf.all.log_martians = 1安全相关Security Through Obscurity（不公开、即安全）日志&备份升级Sec