Linux服务器通用安全加固指南
Linux 是一个开放式系统，可以在网络上找到许多现成的程序和工具，这既方便了用户，也方便了黑客，因为他们也能很容易地找到程序和工具来潜入 Linux 系统，或者盗取 Linux 系统上的重要信息。不过，只要我们仔细地设定 Linux 的各种系统功能，并且加上必要的安全措施，就能让黑客们无机可乘。一般来说，对 Linux 系统的安全设定包括取消不必要的服务、限制远程存取、隐藏重要资料、修补安全漏洞、采用安全工具以及经常性的安全检查等。
Linux PAM（插入式认证模块，Pluggable Authentication Modules）可以强制实行一些实用的限制，在 /etc/security/limits.conf 文件中对此进行配置。
谨记，这些限制适用于单个对话。您可以使用 maxlogins 来控制总额限制。limits.conf 中的条目有如下结构： username|@groupname type resource limit。
为了与 username 区别，groupname 之前必须加 @。类型必须是 soft 或者 hard。软限制（soft-limit）可以 被超出，通常只是警戒线，而硬限制（hard-limit）不能被超出。resource 可以 是下面的关键字之一：
core - 限制内核文件的大小（KB）
data - 最大数据大小（KB）
fsize - 最大文件大小（KB）
memlock - 最大锁定内存地址空间（KB）
nofile - 打开文件的最大数目
rss - 最大持久设置大小（KB）
stack - 最大栈大小（KB）
cpu - 以分钟为单位的最多 CPU 时间
nproc - 进程的最大数目
as - 地址空间限制
maxlogins - 此用户允许登录的最大数目
IPv6是为了解决IPv4地址耗尽的问题，但我们的服务器一般用不到它，反而禁用IPv6不仅仅会加快网络，还会有助于减少管理开销和提高安全级别。以下几步在CentOS上完全禁用ipv6。
网络攻击不是几行设置就能避免的，以下都只是些简单的将可能性降到最低，增大攻击的难度但并不能完全阻止。
（1）禁ping
阻止ping如果没人能ping通您的系统，安全性自然增加了，可以有效的防止ping洪水
（2）防止IP欺骗
（3）防止DoS攻击
对系统所有的用户设置资源限制可以防止DoS类型攻击，如最大进程数和内存使用数量等。
定期做日志检查
将日志移动到专用的日志服务器里，这可避免入侵者轻易的改动本地日志。
1、查询资料了解更多关于linux系统加固的知识。
Linux是一套免费使用和自由传播的类Unix操作系统，作为一个开放源代码的操作系统，Linux服务器以其安全、高效和稳定的显著优势而得以广泛应用，但如果不做好权限的合理分配，Linux系统的安全性还是会得不到更好的保障，下面我们将主要使用RHEL7系统，分别从账户安全、登录控制，SeLinux配置等，优化Linux系统的安全性。
早在1985年，美国国防部就已经提出了可信计算机系统评测标准TCSEC，TCSEC将系统分成ABCD四类7个安全级别。D级是安全级别最低的级别，C类为自主保护级别；B类为强制保护级别；A类为验证保护类。
D级，最低安全性
C1级，主存取控制
C2级，较完善的自主存取控制（DAC)、审计
B1级，强制存取控制（MAC）
B2级，良好的结构化设计、形式化安全模型
B3级，全面的访问控制、可信恢复
A1级，形式化认证
当前主流的操作系统安全性远远不够，如Windows NT都只能达到C2级，安全性均有待提高，不过经过安全加固后的Linux系统可达到B1的安全级别。
2、查询资料了解iptables有哪些用途？
