centos 安全配置基线

centos 安全配置基线

  • 一、系统防火墙及SE系统
    • 1. 系统自带防火墙iptables（Centos6）
      • 基础命令
      • 查看防火墙设置
      • 使用命令查看防火墙设置
      • 使用命令清除防火墙
      • 设置防火墙策略
      • 开放指定的端口
      • 屏蔽IP
    • 2. 系统自带防火墙firewalled（Centos7）
      • 基础命令
    • 3. 开启SELinux服务（Centos7）
      • 查看命令
  • 二、身份鉴别
    • 1.设置密码复杂度策略
    • 2.设置登录策略
      • （1）修改`/etc/pam.d/system-auth`，修改复杂度策略。
      • （2）记录用户登录失败次数并锁定
      • （3）如果启用了SSH远程登录，可以通过命令看配置
  • 三、访问控制
    • 1.设置root用户ssh登录策略
      • 禁止root用户远程ssh登录
    • 2.禁止无用的系统用户登录
    • 3.检查是否存在除root以外的UID=0的用户
    • 4.允许或禁止用户或组通过ssh登录
    • 5.检查新建文件系统权限默认值
    • 6.查看重点文件权限是否合理
  • 四、安全审计
    • 1. 查看进程运行是否正常
    • 2.系统默认日志记录范围是否覆盖
    • 3. 查看系统登录日志
  • 五、入侵防范
    • 1. 查看自身入侵可疑日志
    • 2. 最小安装原则
    • 3. 检查运行服务
    • 4. 检查服务运行情况
  • 六、资源控制
    • 1.TCP Wrappers程序管控
    • 2.设置登录超时时间
    • 3. 设置普通用户最大进程数、CPU、内存等
    • 4.适当关闭外设-U盘、光盘等

CentOS 是一个广泛使用的操作系统，为了确保系统的安全性，需要遵循一系列的安全基线。以下是详细的 CentOS 安全基线配置建议：

一、系统防火墙及SE系统

1. 系统自带防火墙iptables（Centos6）

防火墙会从上至下的顺序来读取配置的策略规则，在找到匹配项后就立即结束匹配工作并去执行匹配项中定义的行为（即放行或阻止）。如果在读取完所有的策略规则之后没有匹配项，就去执行默认的策略。
  一般而言，防火墙策略规则的设置有两种：一种是“通”（即放行），一种是“堵”（即阻止）。当防火墙的默认策略为拒绝时（堵），就要设置允许规则（通），否则谁都进不来；如果防火墙的默认策略为允许时，就要设置拒绝规则，否则谁都能进来，防火墙也就失去了防范的作用

基础命令

  • 启动： service iptables start
  • 关闭： service iptables stop
  • 查看状态：iptables -V
  • 重启 ： service iptables restart

查看防火墙设置

主要分为5种规则类型数据包：
  进行路由选择前处理数据包（PREROUTING）；
  处理流入的数据包（INPUT）；
  处理流出的数据包（OUTPUT）；
  处理转发的数据包（FORWARD）；
  进行路由选择后处理数据包（POSTROUTING）

使用命令查看防火墙设置

iptables -L

使用命令清除防火墙

iptables -F

设置防火墙策略

使用iptables命令进行添加删减。

开放指定的端口

iptables -A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT   #允许本地回环接口(即运行本机访问本机)
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT   #允许已建立的或相关连的通行
iptables -A OUTPUT -j ACCEPT   #允许所有本机向外的访问
iptables -A INPUT -p tcp --dport 22 -j ACCEPT   #允许访问22端口
iptables -A INPUT -p tcp --dport 80 -j ACCEPT   #允许访问80端口
iptables -A INPUT -p tcp --dport 21 -j ACCEPT   #允许ftp服务的21端口
iptables -A INPUT -p tcp --dport 20 -j ACCEPT   #允许FTP服务的20端口
iptables -A INPUT -j reject   #禁止其他未允许的规则访问
iptables -A FORWARD -j REJECT   #禁止其他未允许的规则访问

屏蔽IP

iptables -I INPUT -s 123.45.6.7 -j DROP   #屏蔽单个IP的命令
iptables -I INPUT -s 123.0.0.0/8 -j DROP   #封整个段即从123.0.0.1到123.255.255.254的命令
iptables -I INPUT -s 124.45.0.0/16 -j DROP   #封IP段即从123.45.0.1到123.45.255.254的命令
iptables -I INPUT -s 123.45.6.0/24 -j DROP   #封IP段即从123.45.6.1到123.45.6.254的命令

或者直接在路径/etc/sysconfig下,对文件iptables编辑。

配置完成记得重启防火墙命令

2. 系统自带防火墙firewalled（Centos7）

基础命令

  • 启动： systemctl start firewalld
  • 重启： systemctl restart firewalld
  • 关闭： systemctl stop firewalld
  • 查看状态： systemctl status firewalld
  • 开机禁用 ： systemctl disable firewalld
  • 开机启用 ： systemctl enable firewalld

前台可视化界面-防火墙设置也可以设置

3. 开启SELinux服务（Centos7）

SELinux（Security-Enhanced Linux)是美国国家安全局在Linux开源社区的帮助下开发的一个强制访问控制（MAC，Mandatory Access Control)的安全子系统。RHEL7系统使用SELinux技术的目的是为了让各个服务进程都受到约束，使其仅获取到本应获取的资源。

简单概述下基本的三种安全访问控制类型

  • MAC（强制访问控制类型）
  • DAC（自主访问控制类型） --通常就是ACL策略居多
  • RABC（基于角色访问控制类型）

安全性MAC>RABC>DAC

SELinux 有三种工作模式，分别是

enforcing：强制模式。违反 SELinux 规则的行为将被阻止并记录到日志中，并且自动拦截

permissive：宽容模式。违反 SELinux 规则的行为只会记录到日志中，只告警不拦截。一般为调试用。

disabled：关闭 SELinux。不拦截不告警。

配置文件路径：/etc/selinux,通过查看config，了解目前运行状态

查看命令

cat config

或者使用命令进行查询

[root@localhost selinux]# getenforce 
Enforcing
[root@localhost selinux]#
临时修改命令（不用重启机器）：[root@localhost selinux]# setenforce 0  --0设为宽容莫斯
[root@localhost selinux]# getenforce 
Permissive
[root@localhost selinux]# setenforce 1  --1设为强制模式
[root@localhost selinux]# getenforce 
Enforcing
[root@localhost selinux]#

二、身份鉴别

1.设置密码复杂度策略

通过设置/etc/login.defs文件，进行密码策略设置

PASS_MAX_DAYS 90

#密码最大有效期

PASS_MIN_DAYS 2

#两次修改密码的最小间隔时间

PASS_MIN_LEN 12

#密码最小长度

PASS_WARN_AGE 7

#密码过期前多少天开始提示
上述对新增用户有效，如需修改现有策略，需使用
chage命令

2.设置登录策略

使用cracklib模块设置密码复杂度
通过命令

rpm -qa|grep cracklib --查看服务是否运行

（1）修改/etc/pam.d/system-auth，修改复杂度策略。

centos 6 找到 password requisite pam_cracklib.so这么一行替换成如下：

password requisite pam_cracklib.so retry=3 difok=3 minlen=12 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

centos 7 找到password requisite pam_pwquality.so这么一行替换成如下：

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=12 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 enforce_for_root

参数含义：
#retry 允许重试的次数

#difok=N:新密码必需与旧密码不同的位数 difok=3 新密码必须与旧密码有3位不同

#ucredit=N 当N>0时表示新密码中大写字母出现的最多次数；当N<0时表示新密码中大写字母出现最少次数

#lcredit=N 当N>0时表示新密码中小写字母出现的最多次数；当N<0时表示新密码中小写字母出现最少次数

#dcredit=N: N >= 0:密码中最多有多少个数字;N < 0密码中最少有多少个数字. dcredit=-1 密码中最少有1个数字

#ocredit=N:特殊字母的个数 ocredit=-1 密码中至少有1个特殊字符

#enforce_for_root 确保即使是root用户设置密码，也应强制执行复杂性策略。

（2）记录用户登录失败次数并锁定

在/etc/pam.d/system-auth中“#%PAM-1.0”下面一行加入
auth required pam tally2.so onerr=fail deny=10 no magic root unlock time=300
注意：一定要加在#%PAM-1.0下面一行

参数说明：

  • deny[=n] 最大尝试次数，超过锁定
  • unlock_time 解锁时间
  • even_deny_root 同时限制root用户
  • root_unlock_time[=n] 设定root锁定后，多少时间解锁
  • quiet 不对已锁定用户发出提示消息
    root策略建议谨慎设置，否则很容易导致无法解锁root

设置了unlock_time会自动解锁。否则需要手动解锁。

运行命令pam_tally2 -u 用户 -r

（3）如果启用了SSH远程登录，可以通过命令看配置

more /etc/ssh/sshd_config

设置LoginGraceTime 15m #账号锁定时间15分钟
MaxAuthTries 3 #账号锁定阈值

三、访问控制

1.设置root用户ssh登录策略

禁止root用户远程ssh登录

通过修改 /etc/ssh/sshd_config，将参数修改#PermitRootLogin no
重启ssh服务

service sshd restart

2.禁止无用的系统用户登录

通过命令 usermod -s /sbin/nologin 用户 --禁止用户远程登录
通过命令 usermod -s /bin/bash 用户名 --恢复允许用户远程登录
查看/etc/passwd 表示用户是否可以登录。

3.检查是否存在除root以外的UID=0的用户

通过命令 awk -F: '($3==0){print $1}' /etc/passwd --输出当前uid=0的用户

4.允许或禁止用户或组通过ssh登录

设置ssh用户白名单、黑名单

vi /etc/ssh/sshd_config

增加用户（允许、白名单）
AllowUsers 用户1 用户2
或
添加用户组
AllowGroups 组1 组2

PS:取交集，意思两个同时允许才可以。其他禁止

取消用户（禁止、黑名单）
DenyUsers 用户1
或
DenyGroups 组1
PS：取并集,有一个设置了不允许都会不允许。

5.检查新建文件系统权限默认值

通过umask，权限掩码值检查当前用户新建文件、文件夹默认权限。root用户正常是022。
022的意思是，用文件夹最大权限777(rwxrwxrwx)-当前设置权限755(rwx-r-xr-x) = 022，为什么文件夹默认配置了执行-x权限，因为文件夹没执行的话进不去，就没意义了。
而文件权限默认都没有执行，所以就是默认最大666(rw-rw-rw)-644(rw-r–r–=002)。
普通用户默认值是002

6.查看重点文件权限是否合理

如/etc/shadow /etc/passwd(744)
/etc/group
/etc/inittab
/etc/lilo.conf
/etc/grub.conf
/etc/xinetd.conf
/etc/crontab
/etc/securetty
/etc/rc.d/init.d
/var/log/messages
/var/log/wtmp
/var/run/utmp
/var/spool/cron
/usr/sbin/init

/etc/login.defs(644)
/etc/*.conf
/sbin/bin
/etc/init.d
/etc/xinetd.d 等等

四、安全审计

本地安全审计日志功能是否正常打开运行
安装第三方工具等

1. 查看进程运行是否正常

[root@localhost selinux]# ps -ef |grep syslogd --查看进程服务情况
[root@localhost selinux]# ps aux|grep syslogd
[root@localhost selinux]# ps -ef|grep auditd  --查看守护进程情况

2.系统默认日志记录范围是否覆盖

查看/etc/rsyslog.conf配置文件。

3. 查看系统登录日志

命令lastlog --查询登录用户、端口、时间等
命令last -x --显示系统关闭、用户登录和退出的历史
命令lastb --列出失败尝试的登录信息

五、入侵防范

能记录、检测到入侵行为，能记录入侵者ip、主机名、时间等。建议有条件安装第三方设备如HIDS、NIDS等。

1. 查看自身入侵可疑日志

通过查看日志，可疑识别非法访问或可疑的暴力破解。

 more /var/log/secure | grep fail

2. 最小安装原则

3. 检查运行服务

命令service --status-all --检查是否有非必要服务，如ftp、smtp等

4. 检查服务运行情况

netstat-lp(查看开启服务）
netstat -an(查看开启的端口）
netstat-anlp(查看开启的端口及服务）

六、资源控制

1.TCP Wrappers程序管控

通过设置/etc/hosts.allow和/etc/hosts.deny文件

顺序：
1./etc/hosts.allow
2./etc/hosts.deny
3.以上都不符合，则放行

/etc/hosts.allow#ssh允许单个ip
sshd:192.168.220.1#ssh允许ip段
sshd:192.168.220.#telnet允许单个ip
in.telnetd:192.168.220.1#telnet允许ip段
in.telnetd:192.168.221.

/etc/hosts.deny
sshd:ALL
in.telnetd:ALL
#禁止相关服务

2.设置登录超时时间

通过命令查看cat /etc/profile |grep TMOUT

vi /etc/profile 添加export TMOUT=600 --600秒超时

3. 设置普通用户最大进程数、CPU、内存等

进入 /etc/security/limits.conf 文件下，

增加代码

roxy soft nproc 10240 
roxy hard nproc 10240 
roxy soft nofile 10240 
roxy hard nofile 10240

注：roxy 为需要修改线程数的用户名，10240 为设置的进程数和文件数限制，可根据需要修改。

也可以用ulimit命令

4.适当关闭外设-U盘、光盘等

在vi /etc/modprobe.d/blacklist.conf里添加一行：

blacklist usb-storage

执行命令生效modprobe -r usb-storage

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/3214.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

【React】插槽渲染机制

【React】插槽渲染机制

目录 通过 children 属性结合条件渲染通过 children 和 slot 属性实现具名插槽通过 props 实现具名插槽 在 React 中&#xff0c;并没有直接类似于 Vue 中的“插槽”机制&#xff08;slot&#xff09;。但是&#xff0c;React 可以通过 props和 children 来实现类似插槽的功能…
阅读更多...
LoadBalancer负载均衡服务调用

LoadBalancer负载均衡服务调用

LoadBalancer LoadBalancer&#xff08;负载均衡器&#xff09;是Spring Cloud中的一个关键组件&#xff0c;用于在微服务架构中实现服务请求的负载均衡。它的主要作用是将客户端的请求分发到多个服务实例上&#xff0c;以提高系统的可用性、性能和容错能力。通过LoadBalancer&…
阅读更多...
Linux操作命令之云计算基础命令

Linux操作命令之云计算基础命令

一、图形化界面/文本模式 ctrlaltF2-6 图形切换到文本 ctrlalt 鼠标跳出虚拟机 ctrlaltF1 文本切换到图形 shift ctrl "" 扩大 ctrl "-" 缩小 shift ctrl "n" 新终端 shift ctrl "t" 新标签 alt 1,…
阅读更多...
简历_使用优化的Redis自增ID策略生成分布式环境下全局唯一ID，用于用户上传数据的命名以及多种ID的生成

简历_使用优化的Redis自增ID策略生成分布式环境下全局唯一ID，用于用户上传数据的命名以及多种ID的生成

系列博客目录 文章目录 系列博客目录WhyRedis自增ID策略 Why 我们需要设置全局唯一ID。原因&#xff1a;当用户抢购时&#xff0c;就会生成订单并保存到tb_voucher_order这张表中&#xff0c;而订单表如果使用数据库自增ID就存在一些问题。 问题&#xff1a;id的规律性太明显、…
阅读更多...
企业邮箱iRedMail搭建

企业邮箱iRedMail搭建

用自己的域名作为邮箱的后缀&#xff0c;好看、有面子&#xff01;只要域名不过期&#xff0c;那么&#xff0c;你的邮箱就永远存在&#xff01; 邮件系统很多&#xff0c;宝塔自带的邮局更是简单&#xff0c;但是若想邮箱可靠&#xff08;丢邮件、发送邮件进入对方垃圾箱等&a…
阅读更多...
在 Fluent 网格划分中使用薄网格特征

在 Fluent 网格划分中使用薄网格特征

薄体模型的网格划分策略 薄体网格划分对于有效模拟薄壁结构或厚度明显小于其他尺寸的几何形状非常有利。当使用此类几何结构时&#xff0c;传统的体积网格划分技术可能会导致单元数量增加&#xff0c;因为它们试图捕获具有许多不必要单元的薄尺寸。薄体网格划分通过专门沿薄方…
阅读更多...
Windows重装后NI板卡LabVIEW恢复正常

Windows重装后NI板卡LabVIEW恢复正常

在重新安装Windows系统后&#xff0c;NI&#xff08;National Instruments&#xff09;板卡能够恢复正常工作&#xff0c;通常是由于操作系统的重新配置解决了之前存在的硬件驱动、兼容性或配置问题。操作系统重装后&#xff0c;系统重新加载驱动程序、清理了潜在的冲突或损坏的…
阅读更多...
Html5 video标签学习

Html5 video标签学习

<video> 标签的属性 autoplay布尔属性声明该属性后&#xff0c;视频会尽快自动开始播放&#xff0c;不会停下来等待数据全部加载完成。controls布尔属性如果存在该属性&#xff0c;浏览器会在视频底部提供一个控制面板&#xff0c;允许用户控制视频的播放。controlslist…
阅读更多...
OpenAI推出首个AI Agent！日常事项自动化处理！

OpenAI推出首个AI Agent！日常事项自动化处理！

2025 年1月15日&#xff0c;OpenAI 正式宣布推出一项名为Tasks的测试版功能 。 该功能可以根据你的需求内容和时间实现自动化处理。比方说&#xff0c;你可以设置每天早晨 7 点获取天气预报&#xff0c;或定时提醒遛狗等日常事项。 看到这里&#xff0c;有没有一种熟悉的感觉&a…
阅读更多...
【Linux】Socket编程-TCP构建自己的C++服务器

【Linux】Socket编程-TCP构建自己的C++服务器

&#x1f308; 个人主页&#xff1a;Zfox_ &#x1f525; 系列专栏&#xff1a;Linux 目录 一&#xff1a;&#x1f525; Socket 编程 TCP &#x1f98b; TCP socket API 详解&#x1f98b; 多线程远程命令执行&#x1f98b; 网络版计算器&#xff08;应用层自定义协议与序列化…
阅读更多...
web开发工具之：三、JWT的理论知识，java的支持，封装的工具类可以直接使用

web开发工具之：三、JWT的理论知识，java的支持，封装的工具类可以直接使用

文章目录 前言一、JWT的理论知识1. 什么是 JWT&#xff08;JSON Web Token&#xff09;&#xff1f;2. **JWT 的组成**3. **JWT 的特点**4. **JWT 的使用场景**5. **JWT 的生命周期**6. **JWT 的优点**7. **JWT 的注意事项**5. **JWT 示例**总结 二、java的springboot支持1. po…
阅读更多...
Jira中bug的流转流程

Jira中bug的流转流程

Jira中bug的状态 1. 处理Bug的流程2. bug状态流转详述bug的状态通常包括 1. 处理Bug的流程 2. bug状态流转详述 bug的状态通常包括 未解决 1. 测试人员创建一个bug&#xff0c;填写bug的详细信息&#xff0c;如概要、bug级别、复现步骤、现状、预期结果等 2. 定位bug&#x…
阅读更多...
ChatGPT结合Excel辅助学术数据分析详细步骤分享！

ChatGPT结合Excel辅助学术数据分析详细步骤分享！

目录 一.Excel在学术论文中的作用✔ 二.Excel的提示词✔ 三. 编写 Excel 命令 四. 编写宏 五. 执行复杂的任务 六. 将 ChatGPT 变成有用的 Excel 助手 一.Excel在学术论文中的作用✔ Excel作为一种广泛使用的电子表格软件&#xff0c;在学术论文中可以发挥多种重要作用&a…
阅读更多...
Vue篇-07

Vue篇-07

Vue UI组件库 一、移动端常用的UI组件库 1.1、Vant 1.2、Cube UI 1.3、Mint UI 二、PC端常用的UI组件库 2.1、Element UI Element - The worlds most popular Vue UI framework 安装&#xff1a; 按需引入&#xff1a; 135_尚硅谷Vue技术_element-ui按需引入_哔哩哔哩_b…
阅读更多...
LabVIEW实现油浸式变压器自主监测与实时报告

LabVIEW实现油浸式变压器自主监测与实时报告

油浸式变压器广泛应用于电力系统中&#xff0c;尤其是在电力传输和分配领域。为了确保变压器的安全、稳定运行&#xff0c;及时监测其工作状态至关重要。传统的变压器监测方法通常依赖人工巡检和定期检查&#xff0c;但这不能及时发现潜在的故障隐患&#xff0c;且效率较低。随…
阅读更多...
测试工程师的linux 命令学习（持续更新中）

测试工程师的linux 命令学习（持续更新中）

1.ls """1.ls""" ls -l 除文件名称外&#xff0c;亦将文件型态、权限、拥有者、文件大小等资讯详细列出 ls -l等同于 ll第一列共10位&#xff0c;第1位表示文档类型&#xff0c;d表示目录&#xff0c;-表示普通文件&#xff0c;l表示链接文件。…
阅读更多...
如何使用Ultralytics训练自己的yolo5 yolo8 yolo10 yolo11等目标检测模型

如何使用Ultralytics训练自己的yolo5 yolo8 yolo10 yolo11等目标检测模型

Ultralytics正在以惊人的速度吸收优秀的CV算法&#xff0c;之前Ultralytics定位于YOLOV8&#xff0c;但逐渐地扩展到支持其他版本的YOLO&#xff0c;最新版本的ultralytics全面支持yolo5 yolo7 yolo8 yolo9 yolo10 yolo11&#xff0c;包含模型的训练、验证、预测、部署等。毫无…
阅读更多...
使用 Java 实现基于 DFA 算法的敏感词检测

使用 Java 实现基于 DFA 算法的敏感词检测

使用 Java 实现基于 DFA 算法的敏感词检测 1. 引言 敏感词检测在内容审核、信息过滤等领域有着广泛的应用。本文将介绍如何使用 DFA&#xff08;Deterministic Finite Automaton&#xff0c;确定有限状态自动机&#xff09; 算法&#xff0c;在 Java 中实现高效的敏感词检测。…
阅读更多...
Digital Document System (DDS）

Digital Document System (DDS）

Digital Document System (DDS&#xff09; 数字档案平台 信息注入
阅读更多...
将图像输入批次扁平化为CNN

将图像输入批次扁平化为CNN

将图像输入批次扁平化为CNN 欢迎回到这个神经网络编程系列。在这篇文章中&#xff0c;我们将可视化一个单一灰度图像的张量扁平化操作&#xff0c;并且我们将展示如何扁平化特定的张量轴&#xff0c;这在使用CNN时通常是必需的&#xff0c;因为我们处理的是输入批次&#xff0…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023