linux系统检查列表模板

1、linux Security CheckListLinux主机检查流程二O二二年四月第1第1页共21页Linux Security CheckListlinux Security CheckList系统信息主机名域名信息检查说明：得到系统主机名、域名检查方法：hostname domainname结果分析方法：hostnamedomainname(none)L4系统版本信息检查说明：得到系统版本信息检查方法：uname -aL5网卡信息以及混杂模式检查第2第2页共21页linux Security CheckList说明：得到网卡信息检查方法：ifconfig -a系统路由信息检查说明：得到系

2、统路由信息检查方法：netstat -r系统加载模块信息检查说明：查看系统已加载的模块检查方法：lsmod2补丁安装情况系统已安装的rpm包信息检查说明：得到系统已经安装的rpm包列表检查方法：第3第3页共21页Linux Security CheckListlinux Security CheckList结果分析方法：# rpm -qa3帐号和口令系统空密码帐号信息检查1说明：查看系统是否存在空密码帐号.2检查方法：awk -F: （$2 = = ） print $1 /etc/shadow系统uid=0帐号信息检查321说明：分析系统是否存在uid=0帐号 以及其他uid相同帐号322检查

3、方法：cat /etc/passwd |awk -F: OFS二|;print $1,$3,$4,$7系统缺省用户（组）信息检查331说明：得到系统缺省用户（组）332检查方法：cat /etc/passwdcat /etc/group333结果分析方法：查看是否存在系统缺省帐号以及缺省系统组，如：lp, sync, shutdown, halt, news, uucp, operator, games, gopher 等系统帐号shell变量以及noshell文件真实性信息检查Linux Security CheckList第4页共21页Linux Security CheckListlin

4、ux Security CheckList说明：得到系统帐号shell变量检查方法：cat /etc/passwd lawk -F: print $7 Ixargs Is -alpasswd、shadow 文件检查说明：检查系统passwd. shadow文件，确保系统中每个用户都有密码，并且密码被 shadow o检查方法：pwck结果分析方法：# pwck系统缺省密码最短长度检查说明：得到系统缺省密码最短长度检查方法：cat /etc/login.defs | grep PASS_MIN_LEN系统自动注销帐号登录检查说明：得到超时后系统自动注销帐号登录信息检查方法：cat /etc/pr

5、ofile | grep TMOUT结果分析方法：# cat /etc/profile | grep TMOUTLinux Security CheckList第5页共21页Linux Security CheckListlinux Security CheckList备 3.7.5 注：本例输出表示并未对自动注销帐号登录作设置root PATH环境变量检查说明：得到root PATH环境变量，是否包含当前目录“.”检查方法：echo $PATH | grep :.”结果分析方法：# echo $PATH | grep :.”备 3.8.5 注：此检查有一定的局限性，只检查了当前用户的路径设置

6、。禁止使用ftp的帐号检查说明：得到禁止使用ftp的帐号检查方法：cat /etc/ftpusersftp localhostftpenter允许su为root的帐号信息检查说明：检查是否允许任何人su为root检查方法：vi /etc/pam.d/su第6页共21页bash shell保存少量命令检查 以及第6页共21页Linux Security CheckListlinux Security CheckList径检查说明：得到bash shell能保存的命令条数检查方法：cat /etc/profile I grep HISTSIZEcat /etc/profile |grep HIST

7、FILE用户对主机使用的限制检查说明：得到系统限制用户对主机使用的信息检查方法检查是否加载了/lib/security/pam_limits.so动态连接库cat /etc/pam.d/login|grep “/lib/security/pam_limits.so”若存在检查cat /etc/security/limits.conf系统是否允许guest或匿名3.14连接信息检查说明：查看系统是否允许guest或匿名连接检查方法：cat /etc/ftpaccess | grep class结果分析方法：cat /etc/ftpaccess | grep classUser classes.c

8、la l jreg,guep,anonymous *系统运行r进程检查Linux Security CheckList第7页共21页Linux Security CheckListlinux Security CheckList说明：得到系统运行进程检查方法：ps -aux结果分析方法：# ps -aux备 5.1.5 注：计算系统运行进程个数：# ps -aux I wc -l系统打开端口信息检查说明：得到系统打开的端口信息检查方法：netstat -anxinetd/inetd服5.6 务信息检查说明：查看系统是否运行xinetd/inetd服务检查方法：ps -ef| grep inet

9、d ; grep -v # /etc/inetd.conf;ps -ef | grep xinetd;grep “disable” /etc/xinetd.d/*/etc/hosts.conf 信息检查说明：第8第8页共21页Linux Security CheckListlinux Security CheckList检查方法：cat /etc/host.conf/etc/hosts.equiv 信息检查说明：查看是否存在/etc/hosts.equiv文件检查方法：ls -al /etc/hosts.equiv & cat /etc/hosts.equiv检查/etc/rc,d/rc.d自

10、动运行脚本文件权限修日期分析说明：得到当前系统运行等级ps ef| grep init检查方法：ls -al /etc/rc.d/若发现不正常启动脚本 检查其中包含字符串string文件路径开放端口与进程信息检查说明：查看某个开放端口由哪个进程打开检查方法：假设要查看的开放端口是2401，执行fuser -n tcp 2401，返回的进程ID为pid，-u参数查看当前进程uid相关的所有进程再执行 ps -ef | grep pid/etc/rc.d/rc0-6.d各个等级脚本运行/关闭第9第9页共21页Linux Security CheckListlinux Security CheckL

11、ist说明：查看/etc/rc.d/rc0-6.d下运行的脚本检查方法：chkconfig -list系统ping响应信息检查说明：查看系统是否响应ICMP请求检查方法：cat /proc/sys/net/ipv4/icmp_echo_ignore_all输出为0不使用该功能输出为1使用该功能系统是否安装ftp以及当前使用版本信息检查说明：查看系统是否安装ftp软件包检查方法：rpm -qa | grep ftp ftp localhost系统是否存在sendmail服务.极其版本检查说明：查看系统是否存在sendmail服务或relay进程检查方法：ps -ef|grep sendmail6

12、 telnet locglhost 5Linux Security CheckList第10页共21页Linux Security CheckListlinux Security CheckList初始文件创建权限信息检查说明：查看系统初始文件创建权限检查方法:touch /tmp/testls -al /tmp/test或者umask -S关键文件极其目录属性信息检查说明：查看系统关键文件属性检查方法：ls -al file_name结果分析方法：应对于如下系统关键文件属性进行检查：/etc/shadow /var/log/messages /var/log/wtmp /var/run/ut

13、mp/etc/rc.d/init.d /etc/inittab /etc/group /etc/crontab /var/spool/cron/etc/securetty /etc/lilo.conf /etc/grub.conf /usr/sbin/init/tmp属性信息检查说明：查看/tmp目录属性ls -al / |grep tmp备 6.4.5 注：本例输出表示/tmp目录已设置sticky位系统特殊文件信息检查Linux Security CheckList第11页共21页Linux Security CheckListlinux Security CheckList说明：查看系统

14、存在的特殊文件(SUID/SGID程序，/dev下的非设备文件，非/dev下 的设备文件，所有可写的文件，没有属主的文件)检查方法：查找SUID/SGID程序：find / -type f ( -perm -04000 -o -perm -02000 ) -ls查找/dev下的非设备文件：find /dev -type f -exec ls -l ;查找非/dev下的设备文件：find / ( -type b -o -type c) -print I grep -v，A/dev/查找所有可写的文件：find / -perm -2 ! -type l -ls查找没有属主的文件：find / (

15、-nouser -o -ongroup) -print系统分区加载信息检查说明：查看系统分区加载情况检查方法：mountcat /etc/fstab结果分析方法：mountcat /etc/fstabNFS共享文件系统信息检查说明：Linux Security CheckList第12页共21页Linux Security CheckListlinux Security CheckList查看本地是否存在NFS服务shoumount e若成功则检查cat /etc/exportt是否挂载载nfs文件系统信息检查说明：查看系统加载的nfs文件系统信息检查方法：df -k结果分析方法：# df -

16、k7日志审核系统AUTH日志信息检查说明：查看系统AUTH日志信息检查方法：cat syslog.conf | grep auth结果分析方法：cat syslog.conf | grep auth/var/log/messages/var/log/secureDont log private authentication messages!/var/log/messages/var/log/secure*.info;mail.none;authpriv.none;cron.noneThe authpriv file has restricted access.authpriv.*备 7.1.

17、5 注：本例输出表示AUTH日志信息均发往/var/log/secure8本地安全增强性Linux Security CheckList第Linux Security CheckList第13页共21页linux Security CheckList系统启动LILO密码设置检查说明：查看系统启动LILO是否设置密码检查方法：cat /etc/lilo.conf I grep passwd系统禁止Control-Alt-Delete键盘关闭命令信息检查说明：查看系统是否禁止Control-Alt-Delete键盘关闭命令检查方法：cat /etc/inittab | grep ca检查以下文件是

18、否为空 防止login泄露系统版本说明：查看系统是否屏蔽提示信息检查方法：查看/etc/issue、/etc/ 以及/etc/redhat-release 文件系统启动时默认init运行等级信息检查说明：查看系统启动时默认init运行等级检查方法：cat /etc/inittab | grep id结果分析方法：# cat /etc/inittab | grep idid:3:initdefault:Linux Security CheckList第14页共21页Linux Security CheckListlinux Security CheckList系统控制台访问信息检查说明：查看哪些

19、系统帐号可以从控制台登录检查方法：检查pam验证模块是否使用了该功能cat /etc/pam.d/login Igrep /lib/security/pam_access.so若存在则检查是否设置了 access用户登陆控制列表cat /etc/security/access.conf | grep v #系统虚拟设备8.8检查说明：查看哪些系统虚拟设备允许远程连接检查方法：cat /etc/securetty I grep -v tty结果分析方法：cat /etc/securetty I grep -v tty说明查看当前模块符号列表是否和核心export 一至性检查是否有非法插入模块/s

20、bin/lsmod |grep unused检查是否存在失效模块/sbin/lsmod |grep autoclean检查核心内存符号输出表然后比对/sbin/lsmod符号表输出表export的模块命是否一至/sbin/ksyms -a |grep insmod检查是否劫持syscall表调用cat /proc/ksyms Igrep sys_call彻底检查第三方检测工具kstat将直接检查/dev/kmem核心内存输出正确核Linux Security CheckList第15页共21页Linux Security CheckListlinux Security CheckList心符号

21、列表地址防止有些非法模块劫持核心符号输出kstat是第三方检测工具 请从下载原代码版本编译然后执行 kstat |grep insmod 比对 /sbin/ksyms -a |grep insmod 结果使用usermod的L参数来锁定用户口令查看根用户是否限制了 SHELL HISTORY记录大小以及是否清空HISTFILE中储存的shell命令记录检查方法echo $HISTSIZE对于本地网络协议层安全性配置参数检查检查方法proc/sys/net/ipv4/ip_local_port_range 向夕卜发送数 tcp/udp 连接 端口发 起范围 /proc/sys/net/ipv4/

22、ip_forward 是否禁止 ip 转发/proc/sys/net/ipv4/icmp_echo_ignore_all 是否禁止本地主机 icmp 数据包响 /proc/sys/net/ipv4/conf/all/log_martians 是否将伪造地址等消息记录到/var/log/messages/proc/sys/net/ipv4/conf/eth0/forwarding 是否接受含有原路由信息的 ip 包检查本地默认连接的网关是否静态配置了 MAC/IP绑定说明减少arp欺骗可能检查方法cat /etc/ether & arp - aLinux Security CheckList第1

23、6页共21页Linux Security CheckListlinux Security CheckList初步审核wtmp wtmpx日志审核查看每个用户连接时间统计ac -p查讯该用户上次登陆时间lastlog用户名lastlog -t 10查看离现在10天前的用户log情况last -u指定uid用户登陆情况若安装 TCP_Wrappers 请检查 tcpd.log若syslog.conf为默认值 请检查/var/log/maillog i记录日志安全性评估极其系统默认输出日志检查 检查本地syslog是否默认记录到默认目录检查方法more /etc/syslog.conf特别是auth

24、以及kernel等记录输出位置检查/var/log/srcure文件中服务层登陆情况检查核心错误输出极其消息 根据/etc/syslog.conf中kernel输出文件来检查检查/var/log/sulog审核用户su成功和失败记录Linux Security CheckList第17页共21页Linux Security CheckListlinux Security CheckList检查本地sysctl配置文件查看是否严格限制了本地网络配置参 数检查方法检查判断本地网络数据层安全性极其是否为默认不安全配置more /etc/sysctl.conf检查是否存在这两个核心模块和核心函数漏洞重

25、要漏洞一 ptrace/kmod漏洞本地提升权限检查方法more /proc/sys/kernel/modprobe重要漏洞二brk() do brk()本地提升权限检查方法查看当前内核版本uname a来确定是否肯能存在上述漏洞小于2.4.23版本 基本都存在这两个问题查看普通用户内存分布map图cat /proc/self/maps是否为默认map结构Linux Security CheckList第18页共21页Linux Security CheckListlinux Security CheckList检查rpc服务开放状态说明linux rpc服务中许多服务都存在远程利用检查方法r

26、pcinfo -p检查以下关键字 walld statd mount lock cmsd passwd对openssh安全性做检查检查方法telnet localhost 22more openssh 安装 目录/sshd_config more openssh 安装 目录/ssh_host_key more openssh 安装 目录/ssh_host_keyls -al openssh 安装 目录/备注 若使用openssh请检查openssh版本是否为3.6p1以上请 确保 sshd_config ssh_config ssh_host_key 文件为属性为 0440检查apache安全性说明apa