Linux服务器主机安全方案.doc

《Linux服务器主机安全方案.doc》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、如某项主机安全要求涉及到系统配置和服务状态的更改，则需要依次执行如下操作1）查看和记录相关服务的初始状态2）备份相关的系统配置3）更改系统配置和服务状态4）生成恢复系统配置和服务状态的命令或shell脚本。操作之前先备份系统的如下文件：/etc/login.defs/etc/passwd/etc/shadow/etc/pam.d/system-auth/etc/ssh/sshd_config1.1身份鉴别1.1.1a)是否对登录操作系统和数据库系统的用户进行身份标识和鉴别登录操作系统和数据库系统，均需要通过用户名和密码进行验证1.1.2

2、b)操作系统和数据库系统管理用户身份标识是否具有不易被冒用的特点，口令是否有复杂度要求并定期更换1.口令复杂度口令必须具备采用3种以上字符、长度不少于8位并定期更换；#vi/etc/pam.d/system_authpasswordrequisitepam_cracklib.sominlen=8ucredit=1lcredit=1dcredit=1ocredit=1意思为最少有1个大写字母，1个小写字符，1个数字，1个符号2.口令有效期#vi/etc/login.defsPASS_MAX_DAYS601.1.3c)是否启用登录失败处理功

3、能，可采取结束会话、限制非法登录次数和自动退出等措施设置6次登陆失败后锁定帐户，锁定时间3000秒#vi/etc/pam.d/system-authauthrequiredpam_tally.soonerr=faildeny=6unlock_time=3000(放在system-auth文件的第一行，若对root用户起作用，加上even_deny_rootroot_unlock_time=3000)解锁用户faillog-u<用户名》-r1.1.4d)当对服务器进行远程管理时，是否采取必要措施，防止鉴别信息在网络传输过程中被窃听远程管理

4、时应启用SSH等管理方式，加密管理数据，防止被网络窃听。查看sshd服务状态：#servicesshdstatus1.1.5e)是否为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作系统的管理员用户为rootOracle数据库系统的用户为oracle，Oraclegrid用户为grid1.2访问控制1.2.1a)是否启用访问控制功能，依据安全策略控制用户对资源的访问制定严格的访问控制安全策略，根据策略控制用户对应用系统的访问，特别是文件操作、数据库访问等，控制粒度主体为用户级、客体为文件或数据库表级。1.2.2b

5、)是否根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限操作系统的管理员用户为root（组为root），Oracle数据库系统的用户为oracle（组为oinstall等），cluster用户为grid设置umask，系统缺省值为022。查看用户的umask：#umask如需修改，在/etc/profile或用户home目录下的.profile中加入如下一行内容（以027为例）：umask0271.2.3c)是否实现操作系统和数据库系统特权用户的权限分离区分root和oracle用户权限1.2.4d)是否限

6、制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令为每一个系统默认帐户重设口令。1.2.5e)是否及时删除多余的、过期的帐户，避免共享帐户的存在检查多余和过期的帐户并删除。以test用户为例：#rmusertest1.3安全审计1.3.1a)审计范围是否覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户操作系统用户的审计由主机的审计服务进行管理，数据库用户的审计由Oracle数据库系统来管理。开启内核audit系统#auditctl–e1开启审计服务守护进程：#serviceauditdstart设置开机自动启动，用

7、root用户执行：#chkconfigauditdon查看audit运行状态#auditctl–sAUDIT_STATUS：enabled=1flag=1pid=1585rate_limit=0backlog_limit=256lost=0backlog=01.3.2b)审计内容是否包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件查看已有的audit规则#auditctl–lToseeunsuccessfulopencalls:#auditctl-aexit,always-Sopen-Fsuccess=

8、0Towatchafileforchanges(2waystoexpress):#auditctl-w/etc/shadow-pwa#auditctl-aexit,always-Fpath=/etc/sha