云主机服务器系统加固

系统版本信息

命令：

lsb_release -a

执行结果：



结论：系统版本为CentOS 7.3 64位。

创建影子口令

命令：

ll /etc/shadow
cat /etc/shadow

执行结果：



结论：已存在影子口令文件。

建立多帐户组，将用户账号分配到相应的帐户组

此步骤需要对应应用名称才可创建。

删除或锁定可能无用的帐户

命令：

cat /etc/passwd

执行结果：



结论：系统中只有root、系统用户、伪用户，没有其他用户存在，后续大数据平台应用使用账号名为cbdp，拥有sudo权限。

删除可能无用的用户组

同上。

检查是否存在空密码的账户

命令：

awk -F: '($2 == "") { print $1 }' /etc/shadow

执行结果：



结论：无空口令用户存在。

设置口令策略满足复杂度要求

执行历史：

#最小密码长度为8位
[root@Server-i-fzbwivul78 pam.d]# authconfig --passminlen=8 --update
[root@Server-i-fzbwivul78 pam.d]# grep "^minlen" /etc/security/pwquality.conf
minlen = 8
#在新密码中设置同一类的允许连续字符的最大数目4位
[root@Server-i-fzbwivul78 pam.d]# authconfig --passmaxclassrepeat=4 --update
[root@Server-i-fzbwivul78 pam.d]# grep "^maxclassrepeat" /etc/security/pwquality.conf
maxclassrepeat = 4
#在新密码中至少需要一个小写字符。
[root@Server-i-fzbwivul78 pam.d]# authconfig --enablereqlower --update
[root@Server-i-fzbwivul78 pam.d]# grep "^lcredit" /etc/security/pwquality.conf
lcredit   = -1
#在新密码中至少需要一个大写字符
[root@Server-i-fzbwivul78 pam.d]# authconfig --enablerequpper --update
[root@Server-i-fzbwivul78 pam.d]# grep "^ucredit" /etc/security/pwquality.conf
ucredit    = -1
#在新密码中至少需要一个数字
[root@Server-i-fzbwivul78 pam.d]#  authconfig --enablereqdigit --update
[root@Server-i-fzbwivul78 pam.d]# grep "^dcredit" /etc/security/pwquality.conf
dcredit     = -1
#密码包括至少一个特殊字符
[root@Server-i-fzbwivul78 pam.d]# authconfig --enablereqother --update
[root@Server-i-fzbwivul78 pam.d]# grep "^ocredit" /etc/security/pwquality.conf
ocredit      = -1
[root@Server-i-fzbwivul78 pam.d]# 

设置默认用户密码使用天数，编辑配置文件/etc/login.defs:

vi /etc/login.defs

修改PASS_MAX_DAYS为90天数，PASS_MIN_LEN修改为8位数。

修改如下：



设置账号口令生存周期

命令：

#$DAYS为过期时间
chage -M $DAYS root

执行结果：



注意：修改密码过期时间需要慎重。

设定密码历史，不能重复使用最近5次口令

编辑/etc/pam.d/system-auth，找到下面一行

password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok

修改为：

password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5

限制ROOT用户远程登陆

vi /etc/ssh/sshd_config 

修改PermitRootLogin选项为：

PermitRootLogin no

检查passwd、group文件权限设置

执行如下命令：



结论：符合安全标准。

删除帐户目录下的.netrc/.rhosts/.shosts文件

命令：

rm ~/.netrc ~/.rhosts ~/.shosts

执行结果：



检查是否存在除root之外UID为0的用户

检查命令：

awk -F: '($3 == 0) { print $1 }' /etc/passwd

执行结果：



结论：系统中无root以外的UID为0的账号。

设置账户权限

需根据实际情况，针对性的做账户权限设置。后续大数据平台应用使用账号名为cbdp，拥有sudo权限。

设置命令：usermod。

账号锁定

需根据实际情况，针对指定账户锁定。后续大数据平台应用使用账号名为cbdp，拥有sudo权限

命令如下：

#锁定命令
passwd -l $account
#解锁账号命令
passwd -u $account
#禁止所有非root用户登录
touch /etc/nologin

root用户环境变量的安全性

命令：

#检查变量中是否含有父目录
echo $PATH | egrep '(^|:)(\.|:|$)'
#检查变量中的是否包含组目录权限为777的目录
find `echo $PATH | tr ':' ' '` -type d \( -perm -002 -o -perm -020 \) -ls

执行结果：



远程连接的安全性配置

远程登录取消telnet采用ssh

检查/etc/securetty中是否包含pts/0字样：

grep "pts/0" /etc/securetty

执行结果：



结论：系统已禁用telnet登录。

限制ssh连接的IP配置

需要根据实际情况配置，配置文件为：/etc/hosts.allow，/etc/hosts.deny。

限制系统帐户FTP登录

命令：

cat /etc/passwd|grep ftp

执行结果：



如果含有ftp字段的用户，并且登陆shell为/sbin/nologin或者/usr/sbin/nologin，说明FTP用户无法登陆。如果登陆shell为非nologin，执行如下命令：

#$account 为要修改的ftp用户名称
usermod -s $account

结论：此镜像中，已禁用ftp账号登录。

配置允许访问inetd服务的IP范围或主机名

此基础镜像系统中无inetd服务：



设定连续认证失败次数超过6次锁定该账号

编辑文件/etc/pam.d/sshd，在#%PAM-1.0的下面，即第二行，添加内容，一定要写在前面，如果写在后面，虽然用户被锁定，但是只要用户输入正确的密码，还是可以登录的！，添加内容如下：

auth       required     pam_tally2.so deny=6 unlock_time=300 even_deny_root root_unlock_time=10

执行结果如下：



参数详解如下：

even_deny_root 也限制root用户；
deny 设置普通用户和root用户连续错误登陆的最大次数，超过最大次数，则锁定该用户;
unlock_time 设定普通用户锁定后，多少时间后解锁，单位是秒；
root_unlock_time 设定root用户锁定后，多少时间后解锁，单位是秒；

此处使用的是 pam_tally2 模块，如果不支持 pam_tally2 可以使用 pam_tally 模块。另外，不同的pam版本，设置可能有所不同，具体使用方法，可以参照相关模块的使用规则。

查看用户登录失败次数:

pam_tally2 --user root

解锁指定用户：

# $account为被锁定的账号账号
pam_tally2 -r -u $account

用户的umask安全配置

查看当年状态的umask，执行命令：

umask

执行结果：



需要将其修改为077，并永久生效，修改/etc/profile文件，将umask修改为077:

vi /etc/profile

修改如下：



测试结果：



查找并删除未授权的SUID/SGID文件

命令:

for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do find $PART \( -perm -04000 -o -perm -02000 \) -type f -xdev -print ; done

若存在未授权的文件，则低于安全要求，需要将其删除。建议经常性的对比suid/sgid文件列表，以便能够及时发现可疑的后门程序。

执行结果：



结论：此基础镜像中无未授权的SUID/SGID文件。

检查是否任何人都有写权限的文件

命令：

for PART in `awk '($3 == "ext2" || $3 == "ext3") \
{ print $2 }' /etc/fstab`; do find $PART -xdev -type d \( -perm -0002 -a ! -perm -1000 \) -print; done

若返回值非空，则低于安全要求。

执行结果：



结论：结果为空，此基础镜像不存在任何人都有写权限的文件。

检查异常隐含文件

命令：

find  /  -xdev -name "..*"  -print
find  /  -xdev -name "...*"  -print |cat -v 

执行结果:



结论：镜像中不存在异常隐含文件。

重要目录和文件的权限设置

命令：

ls  -l  /etc/ls  -l  /etc/rc.d/init.d/ls  -l  /tmpls  -l  /etc/inetd.confls  -l  /etc/passwdls  -l  /etc/shadowls  -l  /etc/groupls  -l  /etc/securityls  -l  /etc/servicesls  -l  /etc/rc*.d

若权限过低，则低于安全要求。
对于重要目录，建议执行如下类似操作：

这样只有root可以读、写和执行这个目录下的脚本。

检查没有所有者的文件或目录

定位系统中没有属主的文件用下面的命令：

for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do find $PART -nouser -o -nogroup -print; done

执行结果：



发现没有属主的文件往往就意味着有黑客入侵你的系统了。不能允许没有属主的文件存在。如果在系统中发现了没有主人的文件或目录，先查看它的完整性，如果一切正常，给它一个属主。有时候卸载程序可能会出现一些没有主人的文件或目录，在这种情况下可以把这些文件和目录删除掉。

禁用不必要的服务

查看自动启动服务的命令：

systemctl list-unit-files  |grep enabled

需要根据实际情况进行调整。禁用命令：

#$service为服务名称
systemctl disable $service

禁用不必要的inetd服务

基础镜像中不存在inetd服务。



关闭IP转发

编辑文件/etc/sysctl.conf，添加如下内容：

net.ipv4.ip_forward=0

然后执行：

sysctl -p

关闭转发源路由包

同上步操作。

增大最大半连接数防范SYN攻击

编辑文件/etc/sysctl.conf，添加如下内容：

net.ipv4.tcp_max_syn_backlog = 2048

然后执行：

sysctl -p

关闭ICMP重定向

编辑文件/etc/sysctl.conf，添加如下内容：

net.ipv4.conf.eth0.accept_redirects = 0
net.ipv4.conf.lo.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.accept_redirects = 0

然后执行：

sysctl -p

关闭响应echo广播

命令：

sysctl -a |grep echo_ignore_broadcasts

执行结果：



已经关闭echo广播相应，如果未关闭，修改/etc/sysctl.conf文件，添加如下内容：

net.ipv4.icmp_echo_ignore_broadcasts = 1

关闭响应地址掩码和时间戳广播

CentOS系统中不存在，只有少数操作系统会进行响应的回应，这些系统包括ULTRIX OpenVMS, Windows 95/98/98 SE/ME, NT below SP 4, 和 SUN Solaris机器。

启用inetd日志记录

此基础镜像中无inetd服务。

syslog登录事件记录

命令：

cat /etc/rsyslog.conf |grep "authpriv.*"

执行结果：



结论：基础镜像已存在登陆日志审核记录规则。

Linux日志增强配置以及syslog系统事件审计

基础镜像已存在，执行cat /etc/rsyslog.conf，基础镜像配置如下:

# rsyslog configuration file

# For more information see /usr/share/doc/rsyslog-*/rsyslog_conf.html
# If you experience problems, see http://www.rsyslog.com/doc/troubleshoot.html

#### MODULES ####

# The imjournal module bellow is now used as a message source instead of imuxsock.
$ModLoad imuxsock # provides support for local system logging (e.g. via logger command)
$ModLoad imjournal # provides access to the systemd journal
#$ModLoad imklog # reads kernel messages (the same are read from journald)
#$ModLoad immark  # provides --MARK-- message capability

# Provides UDP syslog reception
#$ModLoad imudp
#$UDPServerRun 514

# Provides TCP syslog reception
#$ModLoad imtcp
#$InputTCPServerRun 514


#### GLOBAL DIRECTIVES ####

# Where to place auxiliary files
$WorkDirectory /var/lib/rsyslog

# Use default timestamp format
$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat

# File syncing capability is disabled by default. This feature is usually not required,
# not useful and an extreme performance hit
#$ActionFileEnableSync on

# Include all config files in /etc/rsyslog.d/
$IncludeConfig /etc/rsyslog.d/*.conf

# Turn off message reception via local log socket;
# local messages are retrieved through imjournal now.
$OmitLocalLogging on

# File to store the position in the journal
$IMJournalStateFile imjournal.state


#### RULES ####

# Log all kernel messages to the console.
# Logging much else clutters up the screen.
#kern.*                                                 /dev/console

# Log anything (except mail) of level info or higher.
# Don't log private authentication messages!
*.info;mail.none;authpriv.none;cron.none                /var/log/messages

# The authpriv file has restricted access.
authpriv.*                                              /var/log/secure

# Log all the mail messages in one place.
mail.*                                                  -/var/log/maillog


# Log cron stuff
cron.*                                                  /var/log/cron

# Everybody gets emergency messages
*.emerg                                                 :omusrmsg:*

# Save news errors of level crit and higher in a special file.
uucp,news.crit                                          /var/log/spooler

# Save boot messages also to boot.log
local7.*                                                /var/log/boot.log


# ### begin forwarding rule ###
# The statement between the begin ... end define a SINGLE forwarding
# rule. They belong together, do NOT split them. If you create multiple
# forwarding rules, duplicate the whole block!
# Remote Logging (we use TCP for reliable delivery)
#
# An on-disk queue is created for this action. If the remote host is
# down, messages are spooled to disk and sent when it is up again.
#$ActionQueueFileName fwdRule1 # unique name prefix for spool files
#$ActionQueueMaxDiskSpace 1g   # 1gb space limit (use as much as possible)
#$ActionQueueSaveOnShutdown on # save messages to disk on shutdown
#$ActionQueueType LinkedList   # run asynchronously
#$ActionResumeRetryCount -1    # infinite retries if host is down
# remote host is: name/ip:port, e.g. 192.168.0.1:514, port optional
#*.* @@remote-host:514

记录FTP日志

基础镜像中没有FTP应用服务。

设置远程日志服务器

根据实际情况部署，修改文件为/etc/rsyslog.conf。

检查系统日志文件权限

命令：

cd /var/log && ll messages secure maillog cron spooler boot.log

执行结果：



禁用图形界面登录

云主机中默认已禁用图形界面。客户服务器安装系统时请取消安装图形界面。

字符交互界面帐户超时自动退出及系统超时注销

编辑/etc/profile文件，追加如下内容：

export TMOUT=180

设置自动锁定时间为180秒。

系统漏洞补丁

根据公有云主机安全漏洞扫描的结果，对漏洞进行补丁升级：



升级历史命令如下：

yum update libnl3 sudo wget dnsmasq gnutls  libtasn1  openssh kernel curl bash -y