LINUX基线要求及加固方法

《YDT 2701-2014 电信网和互联网安全防护基线配置要求及检测要求 操作系统  LINUX篇》

一、账号

应按照不同用户分配不同账号

检查/etc/passwd是否有只有root用户，应用应使用其他用户账号部署

限制用户su到root

编辑su文件(vi /etc/pam.d/su)，在开头添加下面两行：

auth sufficient /lib/security/pam_rootok.so

auth required /lib/security/pam_wheel.so group=wheel

这表明只有wheel组的成员可以使用su命令成为root用户。

删除或锁定无关账号

使用删除或锁定的与工作无关的账号登录系统；
需要锁定的用户：listen,gdm,webservd,nobody,nobody4、noaccess。
vi /etc/passwd --修改需要锁定的用户登录方式为/bin/false

建立多账户组

cat /etc/passwd;cat /etc/group，检查是否有只有root用户组，应用应使用其他用户组部署

二、口令

密码创建要求是否配置

口令长度至少8 位，并包括数字、小写字母、大写字母和特殊符号4 类中至少3 类。
vi /etc/login.defs ，修改设置如下
PASS_MIN_LEN=8 #设定最小用户密码长度为8 位
vi /etc/pam.d/system-auth
password    requisite     pam_cracklib.so try_first_pass retry=3 minlen=8 ucredit=-1   lcredit=-1   dcredit=-3  ocredit=-1 #设定密码策略

帐户口令的生存期不长于90天

1、参考配置操作
vi /etc/login.defs
PASS_MAX_DAYS=90 #设定口令的生存期不长于90 天

注：该设置对已存在的用户的口令不产生影响，新建用户，默认密码会强制90天过期。

三、授权

配置用户最小授权

1、参考配置操作
通过 chmod 命令对目录的权限进行实际设置。
2、补充操作说明
/etc/passwd 必须所有用户都可读，root 用户可写 –rw-r—r—
/etc/shadow 只有root 可读 –r--------
/etc/group 须所有用户都可读，root 用户可写 –rw-r—r—
使用如下命令设置：
chmod 644 /etc/passwd
chmod 400 /etc/shadow
chmod 644 /etc/group

配置文件与目录缺省权限控制

设置默认权限：
vi /etc/login.defs 在末尾增加umask 027，将缺省访问权限设
置为750

用户 FTP 访问安全是否配置