Linux サーバー オペレーティング システムを強化する方法

この記事では、主に Linux サーバー オペレーティング システムを強化する方法について説明します。このヘルプ マニュアルは、システム管理者やセキュリティ検査官が Linux オペレーティング システムのセキュリティ コンプライアンス検査と強化を行うためのガイドとなるように設計されています。皆さんのお役に立てれば幸いです。

1. アカウントとパスワード

1.1 不要なアカウントを無効化または削除します

システム内の不要なアカウントを減らし、セキュリティリスクを軽減します。

操作手順

• コマンド userdel <username> を使用して、不要なアカウントを削除します。 userdel <用户名> 删除不必要的账号。

• 使用命令 passwd -l <用户名> 锁定不必要的账号。

• 使用命令 passwd -u <用户名> 解锁必要的账号。

1.2 检查特殊账号

检查是否存在空口令和root权限的账号。

操作步骤

1. 查看空口令和root权限账号，确认是否存在异常账号：

• 使用命令 awk -F: '(=="")' /etc/shadow 查看空口令账号。

• 使用命令 awk -F: '(==0)' /etc/passwd 查看UID为零的账号。

• 使用命令 passwd <用户名> 为空口令账号设定密码。

• 确认UID为零的账号只有root账号。

1.3 添加口令策略

加强口令的复杂度等，降低被猜解的可能性。

操作步骤

1. 使用命令 vi /etc/login.defs 修改配置文件。

• PASS_MAX_DAYS 90 #新建用户的密码最长使用天数

• PASS_MIN_DAYS 0 #新建用户的密码最短使用天数

• PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数

1.4 限制用户su

限制能su到root的用户。

操作步骤

使用命令 vi /etc/pam.d/su修改配置文件，在配置文件中添加行。例如，只允许test组用户su到root，则添加 auth required pam_wheel.so group=test。

1.4 禁止root用户直接登录

限制root用户直接登录。

操作步骤

1. 创建普通权限账号并配置密码,防止无法远程登录;

2. 使用命令 vi /etc/ssh/sshd_config修改配置文件将PermitRootLogin的值改成no，并保存，然后使用service sshd restart重启服务。

2. 服务

2.1 关闭不必要的服务

关闭不必要的服务（如普通服务和xinetd服务），降低风险。

操作步骤

使用命令 chkconfig --level <init级别> <服务名> on|off|reset 设置服务在指定init级别下开机是否启动。

2.2 SSH服务安全

对SSH服务进行安全加固，防止暴力破解成功。

操作步骤

使用命令 vim /etc/ssh/sshd_configコマンド passwd -u <username> を使用して、必要なアカウントのロックを解除します。

• 1.2 特別なアカウントを確認する
  

  空のパスワードと root 権限を持つアカウントが存在するかどうかを確認します。

• 操作手順
  
• 空のパスワードとroot特権アカウントをチェックして、異常なアカウントがあるかどうかを確認します:

  
  

空のパスワード アカウントを強化します:

vi /etc/profile 修改配置文件，添加行 umask 027， 即新创建的文件属主拥有读写执行权限，同组用户拥有读和执行权限，其他用户无权限。

3.2 设置登录超时

设置系统登录后，连接超时时间，增强安全性。

操作步骤

使用命令 vi /etc/profile 修改配置文件，将以 TMOUT= 开头的行注释，设置为TMOUT=180コマンド passwd <username> を使用して、空のパスワード アカウントのパスワードを設定します。

🎜🎜コマンド vi /etc/login.defs を使用して構成ファイルを変更します。 🎜🎜🎜🎜🎜PASS_MAX_DAYS 90 #新しいユーザーのパスワードの最大日数🎜🎜🎜🎜PASS_MIN_DAYS 0 #新しいユーザーのパスワードの最小日数🎜🎜🎜🎜<code>PASS_WARN_AGE 7 #新しいユーザーにパスワードの有効期限を通知する日数🎜🎜🎜🎜🎜 ユーザー設定を変更するには、chage コマンドを使用します。 🎜 たとえば、chage -m 0 -M 30 -E 2000-01-01 -W 7 <Username> は、このユーザーのパスワードの最大日数が 30 に設定され、最小日数が 30 に設定されていることを意味します。日数は 30 に設定されます。0 の場合、パスワードは 2000 年 1 月 1 日に期限切れになり、期限切れの 7 日前にユーザーに警告が表示されます。 🎜🎜🎜🎜 間違ったパスワードを 3 回連続で入力すると、アカウントは 5 分間ロックされます。コマンド vi /etc/pam.d/common-auth を使用して構成ファイルを変更し、auth required pam_tally.so onerr=faildeny=3unlock_time=300 を追加します。設定ファイル。 🎜🎜

🎜🎜通常の権限アカウントを作成し、リモートログインを防ぐためのパスワードを設定します🎜🎜🎜🎜 コマンド vi /etc/ssh を使用します。 /sshd_config 構成ファイルを変更して PermitRootLogin の値を no に変更し、保存してから、service sshd restart を使用してサービスを再起動します。 🎜🎜

4. ログ

4.1 syslogd log

ログ機能を有効にし、ログを設定します。

操作手順

Linuxシステムでは、デフォルトで次のタイプのログが有効になります:

• システムログ(デフォルト)/var/log/messages

• cronログ(デフォルト)/var/log/cron

• セキュリティ ログ (デフォルト) /var/log/secure

注: 一部のシステムでは syslog-ng ログが使用される場合があります。設定ファイルは /etc/syslog-ng/syslog-ng.conf です。

必要に応じて詳細なログを設定できます。

4.2 全ユーザーのログイン・操作ログを記録する

セキュリティインシデントの放置を防ぐため、スクリプトコードにより全ユーザーのログイン操作ログを記録します。

操作手順

1. [root@xxx /]# vim /etc/profile を実行して設定ファイルを開きます。

2. 設定ファイルに次の内容を入力します。

history
USER=`whoami`
USER_IP=`who -u am i 2>/dev/null| awk '{print $NF}'|sed -e 's/[()]//g'`
if [ "$USER_IP" = "" ]; then
USER_IP=`hostname`
fi
if [ ! -d /var/log/history ]; then
mkdir /var/log/history
chmod 777 /var/log/history
fi
if [ ! -d /var/log/history/${LOGNAME} ]; then
mkdir /var/log/history/${LOGNAME}
chmod 300 /var/log/history/${LOGNAME}
fi
export HISTSIZE=4096
DT=`date +"%Y%m%d_%H:%M:%S"`
export HISTFILE="/var/log/history/${LOGNAME}/${USER}@${USER_IP}_$DT"
chmod 600 /var/log/history/${LOGNAME}/*history* 2>/dev/null

3. [root@xxx /]#source /etc/profile を実行して設定をロードし、有効にします。
注: /var/log/history はログの保存場所であり、カスタマイズできます。

上記の手順により、/var/log/history ディレクトリに各ユーザーの名前で新しいフォルダーを作成でき、ユーザーがログアウトするたびに、ユーザー名、ログイン IP、時刻が記録されたログ ファイルが作成されます。ユーザーの ID を含むすべての操作 (root ユーザーを除く)。

同時に、OSS サービスを使用してストレージ ログを収集することをお勧めします。

関連する推奨事項:

php サーバー オペレーティング システム情報を取得するための最も完全な基本コマンドの詳細な説明

php サーバー オペレーティング システム関連情報を取得するメソッド

php サーバー オペレーティング システムの種類を決定する_PHP チュートリアル

以上がLinux サーバー オペレーティング システムを強化する方法の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。