linux系统安全配置详解

《linux系统安全配置详解》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、Linux系统安全配置详解1.为LILO增加开机口令在/etc/lilo.conf文件屮增加选项，从而使L1L0启动时要求输入口令，以加强系统的安全性。具体设置如下：boot=/dev/hdamap=/boot/niapinstall=/boot/boot.btime-out=60#等待1分钟promptdefault二］inuxpassword=#U令设置image二/boot/vmlinuz-2.2.14~121abe1-1inuxinitrd=/boot/initrd-2.2.14-12.imgroot=/dev/hda6read-only此时需注意，由于在LILO中口令是以明码方式存

2、放的，所以还需要将lilo.ccmf的文件属性设置为只有root可以读写。#chmod600/etc/lilo.conf当然，还需要进行如卜设置，使lilo.conf的修改生效。#/sbin/lilo-v2.设罝口令最小长度和S短使用时间口令是系统中认证用户的主要手段，系统安装时默认的口令最小长度通常为5,但为保I正口令不易被猜测攻击，可增加口令的最小长度，至少等于8。力此，W修改文件/etc/login.defs中参数PASS_MIN_LEN。同时应限制口令使用时间，保证定期更换口令，建议修改参数PASS_MlhLDAYS。3.用户超吋注销如果用户离开吋忘记注销账户，则可能给系统安全带来隐

3、患。可修改/etc/profile文件，保证账户在一段时间没有操作后，自动从系统注销。编辑文件/etc/profile,在“HISTFILESIZE=”行的下一行增加如下一行：TM0LT=600则所有用户将在10分钟无操作后自动注销。4.禁止访M重要文件对于系统屮的某些关键性文件如inetd.conf、services和1ilo.conf等可修改其属性，防止意外修改和被普通用户查看。首先改变文件属性为600:#chmod600/etc/inetd.conf保证文件的属主为root,然后还可以将其设置为不能改变：#chattr+i/etc/inetd.conf这样，对该文件的任何改变都将被禁止

4、。只有root重新设置复位标志后方能进行修改：#chattr-i/etc/inetd.conf5.允许和禁止远程访问在Linux屮可通过/etc/hosts.allow和/etc/hosts.deny这2个文件允许•和禁止远程主机对本地服务的访问。通常的做法是：(1)编辑hosts,deny文件，加入下列行：#Denyaccesstoeveryone.ALL:ALL@ALL则所有服务对所有外部主机禁止，除非巾hosts,allow文件指明允许。(2)编辑hosts,allow文件，可加入下列行：#Justanexample:ftp:202.84.17.11xinhuanet.com则将允许I

5、P地址为202.84.17.11和主机名为xinhuanet.com的机器作为Client访问FTP服务。(3)设置完成后，可用tcpdchk检查设置是否正确。6.限制Shell命令记录大小默认情况下，bashshell会在文件卯01仆:/.bash_history屮存放多达500条命令记录(根掘具体的系统不同，默认记录条数不同)。系统中每个用户的主目录下都有一个这样的文件。在此笔者强烈建议限制该文件的大小。您可以编辑/etc/profile文件，修改其中的选项如下：HISTFILESIZE=30或HISTSIZE=30。7.注销时删除命令记录编辑/etc/skel/.bash_logou

6、t文件，增加如下行:rm-f$H0ME/.bashhistory这样，系统中的所有用户在注销时都会删除其命令记录。如果只耑要针对某个特定川户，如用户进行设置，则可只在该用户的主目录下修改/$H0ME/.bash_history文件，增加相同的一行即可。6.禁止不必要的SU1D程序SLID可以使普通用户以root权限执行某个程序，因此应严格控制系统中的此类程序。找出root所属的带s位的程序：#find/-typef(-perm-04000-o-perm-02000)-printless禁止其屮不必要的程序：#chmoda~sprogram_name7.检査开机时显示的信息Linux系统启

7、动吋，屏幕上会滚过一大串开机信息。如果开机吋发现有问题，需要在系统启动后进行检查，可输入下列命令：#dmesg>bootmessage该命令将把幵机时显示的信息重定向输出到一个文件bootmessage屮。8.磁盘空间的维护经常检查磁盘空间对维护Linux的文件系统非常必要。而Linux中对磁盘空间维护使用最多的命令就是df和du了。十招：第1招：取消不必要的服务早期的Unix版本中，每一个不同的网络服务都有