linux基线整改方法

来源 https://mp.weixin.qq.com/s/XTDfpec1Xe2-BZuEJ0veOg

前言

配置安全基线是网络、基础设备安全维护的基础，基线合规可以有效的防护大部分已知的攻击手段

本次介绍的整改方式均为以root权限在shell环境执行

制作脚本仅将所需命令组合成.sh即可，不做赘述

基线配置涉及多项功能的开启/关闭，切勿在已投产机器上执行，以免影响正常使用！！！

基线整改

账号口令

• 账户密码最小长度大于8

if grep -q '^PASS_MIN_LEN' /etc/login.defs;then sed -i 's/^PASS_MIN_LEN.*/PASS_MIN_LEN   8/g' /etc/login.defs; else echo "PASS_MIN_LEN   8" >> /etc/login.defs; fi

• 账户密码最大可用周期为90天

if grep -q '^PASS_MAX_DAYS' /etc/login.defs;then sed -i 's/^PASS_MAX_DAYS.*/PASS_MAX_DAYS   90/g' /etc/login.defs; else echo "PASS_MAX_DAYS   90" >> /etc/login.defs; fi

• 账户密码必须包含大小写、数字、特殊字符

sed -i '/^password requisite/s/[[:space:]]*.credit=[^[:space:]]*//g' /etc/pam.d/system-auth && key=`echo {u,l,d,o}credit=-1` && sed -i 's/^password requisite.*/& '"$key"'/g' /etc/pam.d/system-auth 
# 其中ucredit为大写字母个数，lcredit为小写个数，dcredit为数字个数，ocredit为特殊字符个数
# 设置为-1代表必须包含一至多个

• 删除与设备运行、维护等工作无关的账号

for i in {listen,gdm,webservd,nobody,nobody4,noaccess};do if grep -q "$i" /etc/passwd ;then if ! grep -q "$i":! /etc/shadow;then usermod -L $i ;fi;fi;done

认证授权

• 文件/etc/profile中umask设置为027

if grep -iq ^umask /etc/profile; then sed -i "s/^umask.*/umask 027/g" /etc/profile; else sed -i '1i\umask 027' /etc/profile ;fi
# 即默认文件权限为750，所属用户rwx，所属组rx，其他用户无权限

• 命令行界面超时时间设置为300S

if grep -iq '^export TMOUT' /etc/profile; then sed -i "s/^export TMOUT.*/export TMOUT=300/g" /etc/profile; else echo "export TMOUT=300" >> /etc/profile ;fi

• 禁止root用户远程ssh登录

if grep -iq '^PermitRootLogin' /etc/ssh/sshd_config; then sed -i "s/^PermitRootLogin.*/PermitRootLogin no/g" /etc/ssh/sshd_config; else echo "PermitRootLogin no" >> /etc/ssh/sshd_config ;fi

日志审计

• 启用syslog日志审计

if grep -iq '^authpriv.\*' /etc/*syslog.conf; then sed -i "s/^authpriv.\*.*/authpriv.* \/var\/log\/secure/g" /etc/*syslog.conf; else echo "authpriv.* /var/log/secure" >> /etc/*syslog.conf ;fi && service rsyslog restart

• 日志文件设置为其他用户不可写入

chmod 775 /var/log/mail /var/log/boot.log /var/log/secure /var/log/messages /var/log/cron /var/log/spooler /var/log/maillog 2>/dev/null

协议安全

• 禁止匿名VSFTP用户登录FTP

for i in `find /etc/ -name vsftpd.conf 2>/dev/null`;do if grep -iq '^anonymous_enable' $i; then sed -i "s/^anonymous_enable.*/anonymous_enable=NO/g" $i; else echo "anonymous_enable=NO" >> $i ;fi;done

• 禁止root登录VSFTP

for i in `find /etc/ -name ftpusers 2>/dev/null`;do if ! grep -iq root $i; then echo root >> $i ;fi;done 

• 禁用telnet

if  [ -f /etc/xinetd.d/telnet ] ;then if grep -iq ^disable /etc/xinetd.d/telnet ; then sed -i  's/^disable.*/disable = yes/g' /etc/xinetd.d/telnet; else echo "disable = yes" >> /etc/xinetd.d/telnet; fi; fi && service xinetd restart 2>/dev/null

其它安全

• 删除隐患风险文件(.netrc、hosts.equiv、.rhosts)

for i in .netrc hosts.equiv .rhosts; do find / -maxdepth 4 -name "$i" -exec mv {} {}.bak \; 2>/dev/null ; done; 

• 设置用户管理文件权限

chmod 644 /etc/group && chmod 600 /etc/shadow && chmod 644 /etc/passwd

• 清除系统banner

mv /etc/issue /etc/issue.bak 2>/dev/null; mv /etc/issue.net /etc/issue.net.bak 2>/dev/null

========== End