centos7_系統(tǒng)安全加固實(shí)施方案doc

1、CentOS7.0CentOS7.0系統(tǒng)安全加固手冊(cè)系統(tǒng)安全加固手冊(cè)目錄目錄一、用戶帳號(hào)和環(huán)境................................................................................................................2二、系統(tǒng)訪問認(rèn)證和授權(quán).................................................

2、.......................................................3三、核心調(diào)整............................................................................................................................4四、需要關(guān)閉的一些服務(wù)......................

3、..................................................................................5五、SSH安全配置...................................................................................................................5六、封堵openssl的

4、Heartbleed漏洞......................................................................................6七、開啟防火墻策略................................................................................................................

5、6八、啟用系統(tǒng)審計(jì)服務(wù)............................................................................................................8九、部署完整性檢查工具軟件.......................................................................................

6、.......10十、部署系統(tǒng)監(jiān)控環(huán)境..........................................................................................................11chownroot:root$filechmod444$filedone8設(shè)備系統(tǒng)口令策略：修改etclogin.defs文件將PASS_MIN_LEN最小密碼長(zhǎng)度設(shè)置為12位。10限制

7、能夠su為root的用戶：#vietcpam.dsu在文件頭部添加下面這樣的一行authrequiredpam_wheel.souse_uid這樣，只有wheel組的用戶可以su到root操作樣例：#usermodG10test將test用戶加入到wheel組11修改別名文件etcaliases：#vietcaliases注釋掉不要的#games:root#ingres:root#system:root#to:root#uucp:roo

8、t#manager:root#dumper:root#operat:root#decode:root#root:marc修改后執(zhí)行usrbinnewaliases13修改帳戶TMOUT值，設(shè)置自動(dòng)注銷時(shí)間vietcprofile增加TMOUT=600無操作600秒后自動(dòng)退出14設(shè)置Bash保留歷史命令的條數(shù)#vietcprofile修改HISTSIZE=5即只保留最新執(zhí)行的5條命令16防止IPSPOOF：#vietchost.conf添

9、加：nospoofon不允許服務(wù)器對(duì)IP地址進(jìn)行欺騙17使用日志服務(wù)器：#vietcrsyslog.conf照以下樣式修改.infomail.noneauthpriv.nonecron.none@192.168.10.199這里只是作為參考，需要根據(jù)實(shí)際決定怎么配置參數(shù)二、系統(tǒng)訪問認(rèn)證和授權(quán)二、系統(tǒng)訪問認(rèn)證和授權(quán)檢查項(xiàng)檢查項(xiàng)注釋注釋:1限制atcron給授權(quán)的用戶:cdetcrmfcron.denyat.denyCron.allow和a