Linux安全配置步骤大全( 2)

    12. The /etc/securetty file
   
    该文件指定了允许root登录tty设备/etc/securetty被/bin/login读取,它
   
    格式是行个被允许名字列表如你可以编辑/etc/securetty且注释出下面行
   
    tty1 #tty2 #tty3 #tty4 #tty5 #tty6 #tty7 #tty8
   
   
   
    意味着root仅仅被允许在tty1终端登录
    13. 特别帐号
   
    禁止所有默认被操作系统本身启动且不需要帐号当你第次装上系统时就应该做此检查Linux提供了各种帐号你可能不需要如果你不需要这 个帐号就移走它你有帐号越多就越容易受到攻击
   
    为删除你系统上用户用下面命令:
   
    [root@deep]# userdel username 为删除你系统上组用户帐号用下面命令: [root@deep]# groupdel username 在终端上打入下面命令删掉下面用户 [root@deep]# userdel adm [root@deep]# userdel lp [root@deep]# userdel sync [root@deep]# userdel shutdown [root@deep]# userdel halt [root@deep]# userdel mail 如果你不用sendmail服务器procmail.mailx,就删除这个帐号 [root@deep]# userdel s [root@deep]# userdel uucp [root@deep]# userdel operator [root@deep]# userdel games 如果你不用X windows 服务器就删掉这个帐号 [root@deep]# userdel gopher [root@deep]# userdel ftp 如果你不允许匿名FTP就删掉这个用户帐号打入下面命令删除组帐号 [root@deep]# groupdel adm [root@deep]# groupdel lp [root@deep]# groupdel mail 如不用Sendmail服务器删除这个组帐号 [root@deep]# groupdel s [root@deep]# groupdel uucp [root@deep]# groupdel games 如你不用X Windows删除这个组帐号 [root@deep]# groupdel dip [root@deep]# groupdel pppusers [root@deep]# groupdel popusers 如果你不用POP服务器删除这个组帐号 [root@deep]# groupdel slipusers 用下面命令加需要用户帐号 [root@deep]# useradd username 用下面命令改变用户口令 [root@deep]# passwd username 用chattr命令给下面文件加上不可更改属性 [root@deep]# chattr +i /etc/passwd [root@deep]# chattr +i /etc/shadow [root@deep]# chattr +i /etc/group [root@deep]# chattr +i /etc/gshadow
   
    14. 阻止任何人su作为root.
   
    如果你不想任何人能够su作为root,你能编辑/etc/pam.d/su加下面行:
   
    auth sufficient /lib/security/pam_rootok.so debug
    auth required /lib/security/pam_wheel.so group=isd
   
    意味着仅仅isd组用户可以su作为root.
   
    然后如果你希望用户admin能su作为root.就运行下面命令
   
    [root@deep]# usermod -G10 admin
   
    16. 资源限制
   
    对你系统上所有用户设置资源限制可以防止DoS类型攻击(denial of service attacks)
   
    如最大进程数内存数量等例如对所有用户限制象下面这样:
   
    编辑/etc/security/limits.con加: * hard core 0 * hard rss 5000 * hard nproc 20
   
    你也必须编辑/etc/pam.d/login文件加/检查这行存在
   
    session required /lib/security/pam_limits.so
   
    上面命令禁止core files“core 0”限制进程数为“nproc 50“且限制内存使用    为5M“rss 5000”
   
    17. The /etc/lilo.conf file
   
    a) Add: restricted
   
    加这行到每个引导映像下面就这表明如果你引导时用(linux single),则需要个password.
   
    b) Add: password=some_password
   
    当和restricted联合用且正常引导时需要用户输入密码你也要确保lilo.conf　　文件不能被不属于root用户可读也免看到 密码明文下面是例子:
   
    编辑/etc/lilo.conf加: boot=/dev/sda map=/boot/map =/boot/boot.b prompt timeout=50 Default=linux restricted ?add this line. password=some_password ?add this line. image=/boot/vmlinuz-2.2.12-20 label=linux initrd=/boot/initrd-2.2.12-10.img root=/dev/sda6 read-only [root@deep]# chmod 600 /etc/lilo.conf (不再能被其他用户可读). [root@deep]# /sbin/lilo -v (更新lilo配置). [root@deep]# chattr +i /etc/lilo.conf(阻止该文件被修改)
   
    18. 禁止 Control-Alt-Delete 重启动机器命令
   
    [root@deep]# vi /etc/inittab
    ca::ctrlaltdel:/sbin/shutdown -t3 -r now
    To
    #ca::ctrlaltdel:/sbin/shutdown -t3 -r now
    [root@deep]# /sbin/init q
    19. 重新设置/etc/rc.d/init.d/目录下所有文件许可权限
    [root@deep]# chmod -R 700 /etc/rc.d/init.d/*
   
    仅仅root可以读写执行上述所有script file.
   
    20. The /etc/rc.d/rc.local file
   
    默认地当你login到linux server时它告诉你linux版本名内核版本名和服务器
   
    主机名它给了你太多信息如果你就希望得到提示login: ,编辑/etc/rc.d/rc.local放#在下面行前面
   
   
    # This will overwrite /etc/issue at every boot. So, make any changes you
    # want to make to /etc/issue here or you will lose them when you reboot.
    #echo "" >; /etc/issue
    #echo "$R" >;>; /etc/issue
    #echo "Kernel $(uname -r) _disibledevent=>http://chentu.info/2010/06/04/linux安全配置步骤大全 2/

延伸阅读