系统安全配置技术规范-aix

《系统安全配置技术规范-aix》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、设备安全配置规范系统安全配置技术规范—AIX版本V0.9日期2013-06-03文档编号文档发布22设备安全配置规范文档说明（一）变更信息版本号变更日期变更者变更理由/变更内容备注（二）文档审核人姓名职位签名日期22设备安全配置规范目录1适用范围52帐号管理与授权52.1【基本】按照用户角色分配不同权限的帐号52.2【基本】删除或锁定无用帐户52.3【基本】禁止超级管理员帐户远程登录62.4【基本】将用户帐号分配到相应的帐户组72.5【基本】设置口令策略满足复杂度要求72.6【基本】检查是否存在空口令帐

2、号82.7【基本】检查口令生存周期要求92.8【基本】检查口令重复次数限制92.9连续认证失败次数102.10设置文件权限102.11删除除root外的UID为0的用户112.12系统umask设置112.13只允许root用户使用at/cron123日志配置要求123.1【基本】对用户登录认证进行记录123.2【基本】设置日志服务器133.3【基本】按帐号分配日志文件读取、修改和删除权限133.4配置日志记录与设备相关的安全事件143.5系统应用/服务log配置144IP协议安全要求154.1【基本】

3、使用ssh远程登录154.2隐藏ssh的banner信息154.3远程登录的IP地址范围设定164.4禁止ICMP重定向174.5关闭数据包转发175服务配置要求185.1【基本】关闭不必要的服务185.2【基本】应按帐户精确设置FTP的权限185.3【基本】更新系统补丁195.4设置NTP服务器195.5设置连接超时自动登出196其它配置要求206.1为目录设置粘性位206.2查找未授权的SUID/SGID可执行文件206.3查找没有所有者的文件和目录216.4设置图形界面超时10分钟自动锁屏216.

4、5设置登录时显示的警告信息226.6禁止XServer监听6000/TCP端口226.7防止堆栈缓冲溢出2222设备安全配置规范22设备安全配置规范1适用范围如无特殊说明，本规范所有配置项适用于AIX操作系统6.x系列或以上版本。其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。2帐号管理与授权2.1【基本】按照用户角色分配不同权限的帐号配置项描述按照用户角色分配不同的权限，实现用户权限最小化，防止用户的不当操作。检查方法1

5、、执行：#more/etc/passwd查看系统中存在的用户，确认每个帐户的home路径及启动shell；2、与管理员确认需要锁定的帐户操作步骤1、执行备份：#cp–p/etc/passwd/etc/passwd_bak2、修改帐户，保存退出回退操作执行：#cp/etc/passwd_bak/etc/passwd风险说明低风险，更改用户权限可能导致某些应用无法正常运行。2.2【基本】删除或锁定无用帐户配置项描述删除或锁定无用帐户，防止利用过期帐户的攻击检查方法1、执行：#more/etc/passwd管

6、理员查看是否存在无用帐户2、对无用帐户可以锁定3、关注日常无用帐户是否被置密码，检查etc/passwd的标志是否为!，如果是*，则需要删除密码标志位，或锁定帐户22设备安全配置规范操作步骤1、执行备份：#cp–p/etc/passwd/etc/passwd_bak2、锁定无用帐户：#chuseraccount_locked=trueusername回退操作执行：#cp/etc/passwd_bak/etc/passwd#chuseraccount_locked=falseusername风险说明低风险

7、，被锁定的帐户无法登录系统，可能导致某些应用无法正常运行。1.1【基本】禁止超级管理员帐户远程登录配置项描述禁止超级管理员帐户远程登录，超级管理员远程操作系统存在较大风险。检查方法执行：#more/etc/security/user检查在root项目中是否有下列行:rlogin=falselogin=truesu=truesugroup=system检查SSH#more/etc/ssh/sshd_config检查下列行设置是否为no并且该行未被注释：PermitRootLogin（禁止超级管理员运程登录

8、的正确设置为：PermitRootLoginno）操作步骤1、执行备份：#cp–p/etc/security/user/etc/security/user_bak#cp–p/etc/ssh/sshd_config/etc/ssh/sshd_config_bak2、禁止root用户远程登录系统：#chuserrlogin=falselogin=truesu=truesugroups=systemroot(原)3、禁止root用户远程ssh登录