Centos基线自动化检查脚本

此脚本是一个用于检查Linux系统安全配置的Bash脚本。它通过多项安全标准对系统进行评估，主要检查以下内容：

  • IP地址获取：脚本首先获取主机的IP地址，确保其以10.115开头。

  • 密码策略检查：
    检查最小密码长度（PASS_MIN_LEN），确保至少为12。
    检查密码最大生存周期（PASS_MAX_DAYS），确保为90天。
    检查密码复杂度策略，确保满足特定要求。

  • 用户权限与账户管理：
    检查是否限制普通用户使用su命令切换到root用户。
    确认是否存在普通用户账户。
    检查是否删除了不必要的工作账户（如listen, gdm等）。

  • 系统安全配置：
    检查文件和目录的默认权限（umask），确保为027。
    检查命令行界面的超时退出设置（TMOUT），确保为300秒。
    确保启用了syslog日志审计。
    确认日志文件的权限设置。

  • FTP与SSH配置：
    检查FTP匿名用户是否禁用，VSFTP是否禁用匿名登录。
    确保root用户的FTP登录被禁用。
    检查SSH服务的状态，确保其启用。
    危险文件检查：查找潜在危险文件（如/etc/hosts.equiv等）并确认其不存在。

  • Telnet检查：确认Telnet服务未启用，检查相关配置文件。

  • 服务与端口管理：检查不必要的服务和端口是否关闭。

  • DNS配置检查：确保DNS配置符合指定的标准。

最后，脚本会输出不合格项和检查失败项的详细信息，并提供检查的汇总，包括总检查项数、合格数、不合格数和检查失败数。
该脚本适用于系统管理员定期审计和加强Linux系统的安全性。

脚本代码：

#!/bin/bash# 初始化计数器
total_checks=0
pass_checks=0
fail_checks=0
not_found_checks=0
declare -a results# 获取主机的IP地址（以10.123开头）
ip_address=$(ip addr | awk '/inet / && /10\.123\./ {gsub(/\/[0-9]+/, "", $2); print $2}')
echo "主机IP：$ip_address"# 检查口令最小长度
total_checks=$((total_checks + 1))
PASS_MIN_LEN=$(grep '^PASS_MIN_LEN' /etc/login.defs | awk '{print $2}')
if [[ -n $PASS_MIN_LEN ]]; thenif [[ $PASS_MIN_LEN -ge 12 ]]; thenpass_checks=$((pass_checks + 1))elseresults+=("PASS_MIN_LEN ($PASS_MIN_LEN) 不符合标准")fail_checks=$((fail_checks + 1))fi
elseresults+=("PASS_MIN_LEN 未找到")not_found_checks=$((not_found_checks + 1))
fi# 检查口令生存周期
total_checks=$((total_checks + 1))
PASS_MAX_DAYS=$(grep '^PASS_MAX_DAYS' /etc/login.defs | awk '{print $2}')
if [[ -n $PASS_MAX_DAYS ]]; thenif [[ $PASS_MAX_DAYS -eq 90 ]]; thenpass_checks=$((pass_checks + 1))elseresults+=("PASS_MAX_DAYS ($PASS_MAX_DAYS) 不符合标准")fail_checks=$((fail_checks + 1))fi
elseresults+=("PASS_MAX_DAYS 未找到")not_found_checks=$((not_found_checks + 1))
fi# 检查密码复杂度策略
total_checks=$((total_checks + 1))
PAM_CONFIG="/etc/pam.d/system-auth"# 检查未注释的密码复杂度策略
if grep -q "^[^#]*password\s\+requisite\s\+pam_pwquality.so" "$PAM_CONFIG"; then# 直接提取行并检查参数line=$(grep "^[^#]*password\s\+requisite\s\+pam_pwquality.so" "$PAM_CONFIG")# 提取每个参数ucredit=$(echo "$line" | grep -o 'ucredit=[-0-9]*' | cut -d'=' -f2)lcredit=$(echo "$line" | grep -o 'lcredit=[-0-9]*' | cut -d'=' -f2)dcredit=$(echo "$line" | grep -o 'dcredit=[-0-9]*' | cut -d'=' -f2)ocredit=$(echo "$line" | grep -o 'ocredit=[-0-9]*' | cut -d'=' -f2)# 检查参数值是否均为 -1if [[ "$ucredit" == "-1" && "$lcredit" == "-1" && "$dcredit" == "-1" && "$ocredit" == "-1" ]]; thenpass_checks=$((pass_checks + 1))elseresults+=("密码复杂度配置不符合标准: ucredit=$ucredit, lcredit=$lcredit, dcredit=$dcredit, ocredit=$ocredit")fail_checks=$((fail_checks + 1))fi
elseresults+=("未配置有效的密码复杂度策略")not_found_checks=$((not_found_checks + 1))
fi
# 检查是否限制用户su到root
total_checks=$((total_checks + 1))
# 检查 pam_rootok.so
if grep -q '^[^#]*auth\s\+sufficient\s\+pam_rootok.so' /etc/pam.d/su; thenpass_checks=$((pass_checks + 1))
elseecho "未找到: auth sufficient pam_rootok.so"
fi# 检查 pam_wheel.so
if grep -q '^[^#]*auth\s\+required\s\+pam_wheel.so\s\+group=wheel' /etc/pam.d/su; thenpass_checks=$((pass_checks + 1))
elseecho "未找到: auth required pam_wheel.so group=wheel"
fi# 根据找到的情况更新失败检查数
if [ "$pass_checks" -lt 2 ]; thenresults+=("用户su限制不符合标准")fail_checks=$((fail_checks + 1))
fi# 检查是否按用户分配账号
total_checks=$((total_checks + 1))
if grep -qE '^[^:]+:.*' /etc/passwd; thenpass_checks=$((pass_checks + 1))
elseresults+=("不存在普通用户账号")fail_checks=$((fail_checks + 1))
fi# 检查是否删除工作账号
for user in listen gdm webservd nobody nobody4 noaccess; dototal_checks=$((total_checks + 1))if grep -q "^$user:" /etc/passwd; thenresults+=("账号 $user 存在")fail_checks=$((fail_checks + 1))elsepass_checks=$((pass_checks + 1))fi
done# 检查是否设置文件与目录缺省权限
total_checks=$((total_checks + 1))
UMASK=$(grep '^umask' /etc/profile)
if [[ -n $UMASK ]]; thenif [[ $UMASK == *"027"* ]]; thenpass_checks=$((pass_checks + 1))elseresults+=("umask 设置不符合标准")fail_checks=$((fail_checks + 1))fi
elseresults+=("umask 未找到")not_found_checks=$((not_found_checks + 1))
fi# 检查命令行界面超时退出
total_checks=$((total_checks + 1))
TMOUT=$(grep '^export TMOUT=' /etc/profile)
if [[ -n $TMOUT ]]; then# 提取 TMOUT 的值TMOUT_VALUE=$(echo "$TMOUT" | cut -d'=' -f2 | tr -d ' ')# 检查是否设置为 300if [[ "$TMOUT_VALUE" == "300" ]]; thenpass_checks=$((pass_checks + 1))elseresults+=("TMOUT 设置不符合标准，当前值为: $TMOUT_VALUE")fail_checks=$((fail_checks + 1))fi
elseresults+=("TMOUT 未找到")not_found_checks=$((not_found_checks + 1))
fi# 检查是否启用syslog日志审计
total_checks=$((total_checks + 1))
if systemctl is-active --quiet rsyslog; thenpass_checks=$((pass_checks + 1))
elseresults+=("syslog 日志审计未启用")fail_checks=$((fail_checks + 1))
fi# 检查日志文件权限
declare -A expected_permissions=(["/var/log/cron"]="775"["/var/log/secure"]="775"["/var/log/messages"]="755"["/var/log/maillog"]="775"["/var/log/boot.log"]="775"["/var/log/mail"]="775"["/var/log/spooler"]="775"
)# 检查每个日志文件的权限
for file in "${!expected_permissions[@]}"; dototal_checks=$((total_checks + 1))if [[ -f $file ]]; thenperms=$(ls -ld "$file" | awk '{print $1}')# 检查其他用户权限if [[ ${perms:8:1} == "w" ]]; thenresults+=("$file 权限不符合标准")fail_checks=$((fail_checks + 1))elsepass_checks=$((pass_checks + 1))fielse# 文件不存在时将其视为符合标准pass_checks=$((pass_checks + 1))  # 符合标准fi
done# 检查FTP及SSH相关配置
total_checks=$((total_checks + 1))
if ! grep -q 'ftp' /etc/passwd; thenpass_checks=$((pass_checks + 1))
elseresults+=("FTP匿名用户未禁用")fail_checks=$((fail_checks + 1))
fi# 检查VSFTP配置
total_checks=$((total_checks + 1))
if [ ! -f /etc/vsftpd.conf ] || grep -q "anonymous_enable=NO" /etc/vsftpd.conf; thenpass_checks=$((pass_checks + 1))
elseresults+=("VSFTP未禁用匿名登录")fail_checks=$((fail_checks + 1))
fi# 检查root用户FTP登录
total_checks=$((total_checks + 1))
if [ ! -f /etc/ftpusers ] || grep -q 'root' /etc/ftpusers; thenpass_checks=$((pass_checks + 1))
elseresults+=("root 用户FTP登录未禁用")fail_checks=$((fail_checks + 1))
fi# 检查SSH服务状态
total_checks=$((total_checks + 1))
if systemctl is-active --quiet sshd; thenpass_checks=$((pass_checks + 1))
elseresults+=("SSH服务未启用")fail_checks=$((fail_checks + 1))
fi# 检查是否删除潜在危险文件
for file in /etc/hosts.equiv /etc/.rhosts /etc/.netrc; dototal_checks=$((total_checks + 1))if [[ -e $file ]]; thenresults+=("$file 存在")fail_checks=$((fail_checks + 1))elsepass_checks=$((pass_checks + 1))fi
done# 检查是否安装了 telnet 和 telnet-server
total_checks=$((total_checks + 1))
if rpm -qa | grep -qE "telnet|telnet-server"; then# 如果安装了，检查 /etc/xinetd.d/telnet 配置total_checks=$((total_checks + 1))if [[ -f /etc/xinetd.d/telnet ]]; thendisable_line=$(grep -E "^disable" /etc/xinetd.d/telnet)if [[ $disable_line == "disable = no" ]]; thenresults+=("Telnet服务仍在启用")fail_checks=$((fail_checks + 1))elsepass_checks=$((pass_checks + 1))fielsepass_checks=$((pass_checks + 1))fi
elsepass_checks=$((pass_checks + 1))
fi# 检查是否关闭不必要的服务和端口
total_checks=$((total_checks + 1))
if ps -ef | grep -q '[f]tp'; thenresults+=("FTP服务仍在运行")fail_checks=$((fail_checks + 1))
elsepass_checks=$((pass_checks + 1))
fi# 检查DNS配置
total_checks=$((total_checks + 1))
DNS_IPS=("114.114.114.114" "233.5.5.5") # 指定的DNS IP地址
DNS_CONFIG=$(grep -E '^nameserver' /etc/resolv.conf | awk '{print $2}')if [[ -n $DNS_CONFIG ]]; thenfound_ip=falsefor ip in "${DNS_IPS[@]}"; doif [[ "$DNS_CONFIG" == *"$ip"* ]]; thenfound_ip=truebreakfidoneif [[ $found_ip == false ]]; thenresults+=("DNS配置不符合标准: 未找到指定的DNS IP")fail_checks=$((fail_checks + 1))elsepass_checks=$((pass_checks + 1)) # 如果找到了至少一个IP，增加合格计数fi
elseresults+=("DNS配置未找到")not_found_checks=$((not_found_checks + 1))
fi# 输出不合格项和检查失败项
if [ ${#results[@]} -ne 0 ]; thenecho "不合格项和检查失败项:"for result in "${results[@]}"; doecho "$result"done
elseecho "所有检查项均符合标准。"
fi# 输出汇总
echo ""
echo "检查汇总:"
echo "总检查项数: $total_checks"
echo "合格数: $pass_checks"
echo "不合格数: $fail_checks"
echo "检查失败数: $not_found_checks"

检查结果示例：
在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/445965.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

yum仓库安装rabbitmq

yum仓库安装rabbitmq

yum仓库安装rabbitmq 1、配置yum仓库 vim /etc/yum.repos.d/rabbitmq.repo # In /etc/yum.repos.d/rabbitmq.repo## ## Zero dependency Erlang ##[rabbitmq_erlang] namerabbitmq_erlang baseurlhttps://packagecloud.io/rabbitmq/erlang/el/7/$basearch repo_gpgcheck1 gpg…
阅读更多...
甲方安全和乙方安全的区别

甲方安全和乙方安全的区别

信息安全工作，总会被人分成甲方和乙方，甲乙方原本只是商务层面需方和供方的代称，在安全领域，成了做公司内部安全和为客户提供安全的区别。 通常意义上，什么是甲方安全人员呢？就是在非安全业务的公司从事信…
阅读更多...
从秒级到小时级：TikTok等发布首篇面向长视频理解的多模态大语言模型全面综述

从秒级到小时级：TikTok等发布首篇面向长视频理解的多模态大语言模型全面综述

文章链接：https://arxiv.org/pdf/2409.18938 亮点直击 追踪并总结从图像理解到长视频理解的MM-LLMs的进展;回顾了各种视觉理解任务之间的差异，并强调了长视频理解中的挑战，包括更细粒度的时空细节、动态事件和长期依赖性;详细总结了MM-LLMs在…
阅读更多...
基于Raspberry Pi人脸识别自动门

基于Raspberry Pi人脸识别自动门

人脸识别自动门 简介 在当今数字化时代，智能家居安全变得越来越重要。今天，我要向大家介绍一个结合了安全性与便利性的项目——人脸识别自动门。这个项目通过在门上实施基于面部识别的高级安全系统，使用摄像头验证房主的面部，自…
阅读更多...
非线性降维方法与概率图模型

非线性降维方法与概率图模型

文章目录 摘要Abstract1.降维的动机1.1 线性方法方法1.1.1 主成分分析（PCA)1.1.2 线性判别分析(LDA)1.1.3 线性降维方法中的不足 2.基于流形学习的非线性降维2.1 ISOMAP(Isometric feature mapping)2.2 LLE(locally linear embedding)2.3 LE(Laplacian Eigenmap)拉普…
阅读更多...
Leetcode 1203. 项目管理

Leetcode 1203. 项目管理

1.题目基本信息 1.1.题目描述 有 n 个项目，每个项目或者不属于任何小组，或者属于 m 个小组之一。group[i] 表示第 i 个项目所属的小组，如果第 i 个项目不属于任何小组，则 group[i] 等于 -1。项目和小组都是从零开始编号的。可能…
阅读更多...
在docker的容器内如何查看Ubuntu系统版本

在docker的容器内如何查看Ubuntu系统版本

文章目录 写在前面一、问题描述二、解决方法参考链接 写在前面 自己的测试环境： docker 一、问题描述 由于 lsb_release -a 只能查看自己电脑（宿主机）的系统版本，如果在docker的容器内又应该如何查看Ubuntu系统版本呢&#xff…
阅读更多...
mac 桌面版docker no space left on device

mac 桌面版docker no space left on device

报错信息 docker pull镜像时报： failed to register layer: Error processing tar file(exit status 1): write /home/admin/oceanbase_bak/bin/observer: no space left on device 解决 增加 docker 虚拟磁盘大小。 调整完点击重启即可。
阅读更多...
高校学科竞赛平台开发：SpringBoot技术选型与应用

高校学科竞赛平台开发：SpringBoot技术选型与应用

3系统分析 3.1可行性分析 通过对本高校学科竞赛平台实行的目的初步调查和分析，提出可行性方案并对其一一进行论证。我们在这里主要从技术可行性、经济可行性、操作可行性等方面进行分析。 3.1.1技术可行性 本高校学科竞赛平台采用SSM框架，JAVA作为开发语…
阅读更多...
C#|.net core 基础 - 删除字符串最后一个字符的七大类N种实现方式

C#|.net core 基础 - 删除字符串最后一个字符的七大类N种实现方式

今天想通过和大家分享如何删除字符串最后一个字符的N种实现方法，来回顾一些基础知识点。 01第一类、字符串方式 这类方法是通过string类型自身方法直接实现。 1、Substring方法 相信大多数人第一个想到的可能就是这个方法。Substring方法是字符串内置方法&#…
阅读更多...
【网络基础知识】网络通信概述与TCPIP、UDP协议

【网络基础知识】网络通信概述与TCPIP、UDP协议

网络基础知识 介绍网络基础知识，譬如网络通信概述、OSI 七层模型、IP 地址、TCP/IP 协议族、TCP 和 UDP 协议等等， 旨在以引导入门、了解为主，其中并不会深入、详细地介绍这些内容； Linux网络编程入门移步：【Linux网络…
阅读更多...
Mac上强大的菜单栏管理工具

Mac上强大的菜单栏管理工具

想要Mac用的好，各种工具少不了，一款好用的软件对于提高使用效率和使用舒适度来说非常必要，iBar-强大的菜单栏图标管理工具 随着 Mac 运行的软件增加，状态栏中的图标也越来越多，不仅看得眼花缭乱，而且刘海屏…
阅读更多...
小米电机与STM32——CAN通信

小米电机与STM32——CAN通信

背景介绍：为了利用小米电机，搭建机械臂的关节，需要学习小米电机的使用方法。计划采用STM32驱动小米电机，实现指定运动，为此需要了解他们之间的通信方式，指令写入方法等。花了很多时间学习，但网络…
阅读更多...
怎么把音频的速度调慢？6个方法调节音频速度

怎么把音频的速度调慢？6个方法调节音频速度

怎么把音频的速度调慢？调慢音频速度不仅可以帮助我们更好地捕捉细节，还能让我们在分析和学习时更加从容。这对于音乐爱好者来说，尤其有助于理解复杂的旋律和和声，使学习过程变得更加高效。而在语言学习中，放慢语速则能…
阅读更多...
计算机网络第1章（概述）万字笔记详细版

计算机网络第1章（概述）万字笔记详细版

1.1、计算机网络在信息时代的作用 计算机网络已由一种通信基础设施发展成为一种重要的信息服务基础设施计算机网络已经像水，电，煤气这些基础设施一样，成为我们生活中不可或缺的一部分 我国互联网发展状况 中国互联网络信息中心CNNIC 1.2、…
阅读更多...
剪辑达人必备：四大抖音视频剪辑工具推荐！

剪辑达人必备：四大抖音视频剪辑工具推荐！

在抖音这个短视频平台上，一个好的剪辑可以让视频内容更加生动有趣，吸引更多的观众。今天，我们就来探讨一下如何利用几款强大的剪辑工具，让你的抖音视频脱颖而出。 福昕视频剪辑：专业与易用并存 直达链接：…
阅读更多...
RabbitMQ 入门(二)基本结构和消息模型

RabbitMQ 入门(二)基本结构和消息模型

一、RabbitMQ的基本结构、角色和消息模型 MQ的基本结构： RabbitMQ中的一些角色： - publisher：生产者 - consumer：消费者 - exchange个：交换机，负责消息路由 - queue：队列，存储消息…
阅读更多...
Linux下Docker方式Jenkins安装和配置

Linux下Docker方式Jenkins安装和配置

一、下载&安装 Jenkins官方Docker仓库地址：https://hub.docker.com/r/jenkins/jenkins 从官网上可以看到，当前最新的稳定版本是 jenkins/jenkins:lts-jdk17。建议下在新的，后面依赖下不来 所以，我们这里，执行doc…
阅读更多...
前端开发攻略---前端ocr图片文字提取功能

前端开发攻略---前端ocr图片文字提取功能

1、引入资源 通过链接引用 <script src"https://cdn.bootcdn.net/ajax/libs/tesseract.js/5.1.0/tesseract.min.js"></script> npm或其他方式下载 npm i tesseract 2、示例 <!DOCTYPE html> <html lang"en"><head><meta…
阅读更多...
【漏洞复现】SpringBlade menu/list SQL注入漏洞

【漏洞复现】SpringBlade menu/list SQL注入漏洞

》》》产品描述《《《 致远互联智能协同是一个信息窗口与工作界面,进行所有信息的分类组合和聚合推送呈现。通过面向角色化、业务化、多终端的多维信息空间设计,为不同组织提供协同门户,打破组织内信息壁垒,构建统一协同沟通的平台。 》》》漏洞描述《《《 致远互联 FE协作办公…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023