用户安全

标签：user

1. 锁定系统中多余的自建帐号

# cp -p /etc/passwd /etc/passwd_bak

# cp -p /etc/shadow /etc/shadow_bak

加固方法:

使用命令passwd -l <用户名>锁定不必要的账号。

使用命令passwd -u <用户名>解锁需要恢复的账号。

2. 设置系统口令策略

# cp -p /etc/login.defs /etc/login.defs_bak

加固方法：

# vi /etc/login.defs修改配置文件

PASS_MAX_DAYS 90 #新建用户的密码最长使用天数

PASS_MIN_DAYS 0 #新建用户的密码最短使用天数

PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

PASS_MIN_LEN 8 #最小密码长度9

注：如果需要单独对某个用户密码不限制最长时间，使用命令

# passwd –x 99999 用户名；或者passwd –x -1 用户名

3.禁用root之外的超级用户

# cp -p /etc/passwd /etc/passwd_bak

加固方法：

使用命令passwd -l <用户名>锁定不必要的超级账户。

使用命令passwd -u <用户名>解锁需要恢复的超级账户。

4. 检查shadow中空口令帐号

# cp -p /etc/shadow /etc/shadow_bak

加固方法：对空口令账号进行锁定（passwd –l 用户名），或要求增加密码.

clip_image001

注：当新增加账号还没有设置密码的时候，该账号默认为锁定状态。

clip_image001

5. 设置合理的初始文件权限

#cp -p /etc/profile /etc/profile_bak

加固方法：

# vi /etc/profile

umask 022

6. 设置访问控制策略限制能够管理本机的IP地址

# cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

加固方法：

# vi /etc/ssh/sshd_config，添加以下语句

AllowUsers *@10.138.*.* 此句意为：仅允许10.138.0.0/16网段所有用户通过ssh访问

# service sshd restart

7. 禁止root用户远程登陆

# cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

加固方法：

# vi /etc/ssh/sshd_config

PermitRootLogin no

# service sshd restart

clip_image002

clip_image002

8. 限定信任主机

# cp -p /etc/hosts.equiv /etc/hosts.equiv_bak

# cp -p /$HOME/.rhosts /$HOME/.rhosts_bak

加固方法：

# vi /etc/hosts.equiv 删除其中不必要的主机

# vi /$HOME/.rhosts 删除其中不必要的主机

9. 屏蔽登录banner信息

检查方法：

# cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak

# cp -p /etc/motd /etc/motd_bak

加固方法：

# vi /etc/ssh/sshd_config

banner NONE

# vi /etc/motd

删除全部内容或更新成自己想要添加的内容

10. 防止误使用Ctrl+Alt+Del重启系统

检查方法：

# cp -p /etc/inittab /etc/inittab_bak

加固方法：

# vi /etc/inittab

在行开头添加注释符号“#”

#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

clip_image003

clip_image003

11. 禁止ping命令

# echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all ##注：如果是0的话是允许ping的。

还有另外一种方法：

修改/etc/sysconfig/iptables文件：

# iptables -A RH-Firewall-1-INPUT -p icmp --icmp-type any -j DROP

12. 修改帐户TMOUT值，设置自动注销时间

# cp -p /etc/profile /etc/profile_bak

加固方法：

# vi /etc/profile

增加

TMOUT=600 无操作600秒后自动退出

13. 设置Bash保留历史命令的条数

# cp -p /etc/profile /etc/profile_bak

加固方法：

# vi /etc/profile

修改HISTSIZE=20即保留最新执行的20条命令

用户安全

标签：user

原文地址：http://xinyixzy001.blog.51cto.com/340837/1900879