Linux的安全合规性检查和加固

本文旨在指导系统管理人员或安全检查人员进行Linux操作系统的安全合规性检查和加固。
1. 账号和口令
1.1 禁用或删除无用账号
减少系统无用账号，降低安全风险。
操作步骤
使用命令 删除不必要的账号。
使用命令 锁定不必要的账号。
使用命令 解锁必要的账号。
1.2 检查特殊账号
检查是否存在空口令和root权限的账号。
操作步骤
查看空口令和root权限账号，确认是否存在异常账号：
使用命令 查看空口令账号。
使用命令 查看UID为零的账号。
加固空口令账号：
使用命令 为空口令账号设定密码。
确认UID为零的账号只有root账号。
1.3 添加口令策略
加强口令的复杂度等，降低被猜解的可能性。
操作步骤
使用命令 修改配置文件。
使用chage命令修改用户设置。
例如，表示将此用户的密码最长使用天数设为30，最短使用天数设为0，密码2000年1月1日过期，过期前七天警告用户。
设置连续输错三次密码，账号锁定五分钟。使用命令 修改配置文件，在配置文件中添加 。
1.4 限制用户su
限制能su到root的用户。
操作步骤
使用命令 修改配置文件，在配置文件中添加行。例如，只允许test组用户su到root，则添加 。
1.5 禁止root用户直接登录
限制root用户直接登录。
操作步骤
创建普通权限账号并配置密码,防止无法远程登录;
使用命令 修改配置文件将PermitRootLogin的值改成no，并保存，然后使用重启服务。
2. 服务
2.1 关闭不必要的服务
关闭不必要的服务（如普通服务和xinetd服务），降低风险。
操作步骤
使用命令设置服务在开机时不自动启动。
说明：对于部分老版本的Linux操作系统（如CentOS 6），可以使用命令设置服务在指定init级别下开机时不自动启动。
2.2 SSH服务安全
对SSH服务进行安全加固，防止暴力破解成功。
操作步骤
使用命令 编辑配置文件。
不允许root账号直接登录系统。
设置 PermitRootLogin 的值为 no。
修改SSH使用的协议版本。
设置 Protocol 的版本为 2。
修改允许密码错误次数（默认6次）。
设置 MaxAuthTries 的值为 3。
配置文件修改完成后，重启sshd服务生效。
3. 文件系统
3.1 设置umask值
设置默认的umask值，增强安全性。
操作步骤
使用命令 修改配置文件，添加行 ， 即新创建的文件属主拥有读写执行权限，同组用户拥有读和执行权限，其他用户无权限。
3.2 设置登录超时
设置系统登录后，连接超时时间，增强安全性。
操作步骤
使用命令 修改配置文件，将以 开头的行注释，设置为，即超时时间为三分钟。
4. 日志
4.1 syslogd日志
启用日志功能，并配置日志记录。
操作步骤
Linux系统默认启用以下类型日志：
系统日志（默认）/var/log/messages
cron日志（默认）/var/log/cron
安全日志（默认）/var/log/secure
注意：部分系统可能使用syslog-ng日志，配置文件为：/etc/syslog-ng/syslog-ng.conf。
您可以根据需求配置详细日志。
4.2 记录所有用户的登录和操作日志
通过脚本代码实现记录所有用户的登录操作日志，防止出现安全事件后无据可查。
操作步骤
1.打开配置文件
2.在配置文件中输入以下内容：
运行加载配置生效。
注意：/var/log/history 是记录日志的存放位置，可以自定义。
通过上述步骤，可以在 /var/log/history 目录下以每个用户为名新建一个文件夹，每次用户退出后都会产生以用户名、登录IP、时间的日志文件，包含此用户本次的所有操作（root用户除外）。
作者：William92