Linux操作系统常见标准安全基线设置

操作系统在默认情况下存在一些安全风险，尤其生产线上的系统，必须对系统基线进行巩固，否则不知什么时候就被人黑了。本文讲述Linux一些最基本的安全基线巩固建议，希望对大家有帮助。

入侵防范

开启地址空间布局随机化

它将进程的内存空间地址随机化来增大入侵者预测目的地址难度，从而降低进程被成功入侵的风险。

加固建议

执行命令：

sysctl -w kernel.randomize_va_space=2

身份鉴别

确保root是唯一的UID为0的帐户

UID为0的用户只能是root。

加固建议

除root以外其他UID为0的用户都应该删除，或者为其分配新的UID。

cat /etc/passwd | awk -F: '($3 == 0) { print $1 }'|grep -v '^root$'

密码复杂度检查

检查密码长度和密码是否使用多种字符类型。

加固建议

修改配置/etc/security/pwquality.conf：

minlen=12
minclass=3

设置密码失效时间

设置密码失效时间，强制定期修改密码，减少密码被泄漏和猜测风险，使用非密码登陆方式(如密钥对)请忽略此项。

加固建议

修改配置/etc/login.defs（使用非密码登陆方式可忽略此项）：

PASS_MAX_DAYS 90

然后执行命令：

chage --maxdays 90 root

设置密码修改最小间隔时间

设置密码修改最小间隔时间，限制密码更改过于频繁。

加固建议

修改配置/etc/login.defs：

PASS_MIN_DAYS 7

然后执行命令：

chage --mindays 7 root

检查密码重用是否受限制

强制用户不重用最近使用的密码，降低密码猜测攻击风险。

加固建议

在/etc/pam.d/password-auth和/etc/pam.d/system-auth中找到password sufficient pam_unix.so，并在该行末尾添加参数：

remember=5 #5~24

服务配置

确保SSH MaxAuthTries设置为3到6之间

设置较低的 Max AuthTrimes 参数将降低SSH服务器被暴力攻击成功的风险。

加固建议

修改配置/etc/ssh/sshd_config：

MaxAuthTries 3

SSHD强制使用V2安全协议

SSHD强制使用V2安全协议。

加固建议

修改配置/etc/ssh/sshd_config：

Protocol 2

设置SSH空闲超时退出时间

设置SSH空闲超时退出时间，可降低未授权用户访问其他用户ssh会话的风险。

加固建议

修改配置/etc/ssh/sshd_config：

ClientAliveInterval 900
ClientAliveCountMax 3

确保SSH LogLevel设置为INFO

确保 SSH LogLevel 设置为 INFO，记录登录和注销活动。

加固建议

修改配置/etc/ssh/sshd_config：

LogLevel INFO

原创文章禁止转载：技术学堂 » Linux操作系统常见标准安全基线设置