linux安全加固

A. linux 安全加固指的是什麼

就是一種攻擊和防止被攻擊的手段。
Linux網路安全的大概學習內容要掌握這么多吧：網路服務：
.網路概述、 TCP/IP 基礎 .Linux 下基本網路配置與管理 .Dhcp 伺服器的原理、配置與管理 .DNS 伺服器的原理、配置與管理 .Linux 與 Windows 互聯技術 samba 伺服器的配置與管理 .Unix/Linux 經典文件服務 nfs 伺服器的配置與管理 .Vsftp 伺服器的原理、配置與管理 .Xinetd 超級守護進程服務原理、配置與管理 .WWW 伺服器原理、配置與管理

安全管理：
.本機安全 .文件系統的安全 .網路伺服器的安全策（dns,dhcp,apache,vsftp,nfs 等） .Linux 網路防火牆的搭建 iptables .配置安全的透明代理伺服器iptables+squid .安裝配置 OpenSSH 伺服器 .Linux 網路環境下的 VPN 構建 .Linux 下的網路掃描和嗅探 nmap sniffer .Linux 下的網路流量監控 cati .Linux 系統日誌服務管理 syslog

會了以上的那些，估計網路安全方面就沒問題了。

B. 伺服器安全加固_Linux配置賬戶鎖定策略

使用下面命令，查看系統是否含有pam_tally2.so模塊，如果沒有就需要使用pam_tally.so模塊，兩個模塊的使用方法不太一樣，需要區分開來。

編輯系統/etc/pam.d/system-auth 文件，一定要在pam_env.so後面添加如下策略參數：

上面只是限制了從終端su登陸，如果想限制ssh遠程的話，要改的是/etc/pam.d/sshd這個文件，添加的內容跟上面一樣！

編輯系統/etc/pam.d/sshd文件，注意添加地點在#%PAM-1.0下一行，即第二行添加內容

ssh鎖定用戶後查看：

編輯系統 /etc/pam.d/login 文件，注意添加地點在#%PAM-1.0的下面,即第二行，添加內容

tty登錄鎖定後查看：

編輯 /etc/pam.d/remote文件，注意添加地點在pam_env.so後面,參數和ssh一致

C. Linux伺服器加固滿足等保三級要求

應邀回答行業問題

Linux系統廣泛被應用在伺服器上，伺服器存儲著公司的業務數據，對於互聯網公司數據的安全至關重要，各方面都要都要以安全為最高優先順序，不管是伺服器在雲端還在公司區域網內，都要慎之又慎。

如果黑客入侵到公司的Linux伺服器上，執行下面的命令，好吧，這是要徹底摧毀的節奏，5分鍾後你只能呵呵的看著伺服器了，為什麼要seek呢？給你留個MBR分區。

dd if=/dev/zero of=/dev/sda bs=4M seek=1
Linux系統的安全加固可分為系統加固和網路加固，每個企業的業務需求都不一樣，要根據實際情況來配置。比如SSH安全、賬戶弱口令安全、環境安全、關閉無用服務、開啟防火牆等，已經Centos7為例，簡單說下linux系統SSH網路安全加固。

SSH安全

將ssh服務的默認埠22修改為其他埠，並限制root用戶登陸，配置firewall允許ssh埠通過。

[root@api ~]#sed -i 's#Port 22#Port 6022#' /etc/ssh/sshd_config
[root@api ~]#echo 'PermitRootLogin no' /etc/ssh/sshd_config
[root@api ~]# firewall-cmd --zone=public --add-port=6022/tcp --permanent
[root@api ~]# firewall-cmd --reload
限制訪問ssh的用戶和IP

[root@api ~]#echo 'AllowUsers NAME' >>/etc/ssh/sshd_config
[root@api ~]# echo 'sshd:xxx..x.x:allow' >>/etc/
hosts.allow
[root@api ~]# systemctl restart sshd
禁止ping測試伺服器，禁止IP偽裝。

[root@api ~]# echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
[root@api ~]# echo nospoof on >> /etc/host.conf
在Centos7以後iptables將被firewall替代，當然我們還能夠使用iptables，首先需要刪除firewall後，才能夠使用iptables，技術總是在進步的，老的會慢慢被替代。

Linux系統安全加固還有很多，想要繼續可以查閱資料。

D. 如何對linux虛擬主機進行加固

主機加固是給伺服器上一把鎖，業務系統的伺服器都很脆弱，即使裝了殺毒軟體，部署了防火牆，並定時打補丁，但仍然會有各種風險，各種中毒，各種被入侵，核心數據還是會被偷窺、被破壞、被篡改、被偷走。所以要對伺服器加固。

推薦使用MCK雲私鑰，伺服器安全加固系統，重新定義操作系統各模塊的功能，構建獨立的身份鑒別體系，在當殺毒軟體、防火牆都不起作用時，仍然能頑強的對核心數據進行保護，防止木馬病毒入侵，防止核心數據被偷窺、被破壞、被篡改、被偷走！

E. 防黑加固Linux伺服器安全加固

使用一些安全測試的辦法與工具對伺服器進行風險檢測，找出伺服器的脆弱點以及存在的安全缺陷。
針對伺服器操作系統自身的安全測試，包括一些系統配置、主機漏洞掃描等等
查看伺服器操作系統當前用戶是否為root用戶，盡量避免使用root用戶登錄，啟動其他服務程序，除非是一些需要root許可權的安全工具，前提需要保證工具來源可信。終端需要 who 既可以查看當前登錄用戶。
登錄到Linux系統，此時切換到root用戶，下載lynis安全審計工具，切換到lynis運行腳本目錄，執行 ./lynis --check-all –Q 腳本語句，開始對本地主機掃描審計，等待掃描結束，查看掃描結果。
登錄到Linux系統，切換到root用戶，使用命令行方式安裝Clamav 殺毒軟體，安裝完畢需要更新病毒庫，執行掃描任務，等待掃描結束獲取掃描結果，根據掃描結果刪除惡意代碼病毒；
登錄到Linux系統，切換到root用戶，下載Maldetect Linux惡意軟體檢測工具，解壓縮後完成安裝。運行掃描命令檢測病毒，等待掃描結束獲取掃描報告，根據掃描報告刪除惡意病毒軟體；
登錄到Linux系統，切換到root用戶，下載Chkrootkit後門檢測工具包，解壓縮後進入 Chkrootkit目錄，使用gcc安裝Chkrootkit，安裝成功即開始Chkrootkit掃描工作，等待掃描結束，根據掃描結果恢復系統；
登錄到Linux系統，切換到root用戶，下載RKHunter 後門檢測工具包，解壓縮後進入 RKHunter 目錄，執行命令安裝RKHunter ，安裝成功即開始啟用後門檢測工作，等待檢測結束，根據檢測報告更新操作系統，打上漏洞對應補丁；
使用下面工具掃描Web站點：nikto、wa3f、sqlmap、safe3 … …
掃描Web站點的信息：操作系統類型、操作系統版本、埠、伺服器類型、伺服器版本、Web站點錯誤詳細信息、Web目錄索引、Web站點結構、Web後台管理頁面 …
測試sql注入，出現幾個sql注入點
測試xss攻擊，出現幾個xss注入點
手動測試某些網頁的輸入表單，存在沒有進行邏輯判斷的表單，例如：輸入郵箱的表單，對於非郵箱地址的輸入結果，任然會繼續處理，而不是提示輸入錯誤，返回繼續輸入。
針對風險測試後得到的安全測試報告，修復系統存在的脆弱點與缺陷，並且進一步加強伺服器的安全能力，可以藉助一些安全工具與監控工具的幫助來實現。
對伺服器本身存在的脆弱性與缺陷性進行的安全加固措施。
使用非root用戶登錄操作系統，使用非root用戶運行其他服務程序，如：web程序等；
web許可權，只有web用戶組用戶才能操作web應用，web用戶組添加當前系統用戶；
資料庫許可權，只有資料庫用戶組用戶才能操作資料庫，資料庫用戶組添加當前系統用戶；
根據安全審計、惡意代碼檢查、後門檢測等工具掃描出來的結果，及時更新操作系統，針對暴露的漏洞打上補丁。
對於發現的惡意代碼病毒與後門程序等及時刪除，恢復系統的完整性、可信行與可用性。
部署在伺服器上的Web站點因為程序員編寫代碼時沒有注意大多的安全問題，造成Web服務站點上面有一些容易被利用安全漏洞，修復這些漏洞以避免遭受入侵被破壞。
配置當前伺服器隱藏伺服器信息，例如配置伺服器，隱藏伺服器類型、伺服器的版本、隱藏伺服器管理頁面或者限制IP訪問伺服器管理頁面、Web站點錯誤返回信息提供友好界面、隱藏Web索引頁面、隱藏Web站點後台管理或者限制IP訪問Web站點後台。
使用Web代碼過濾sql注入或者使用代理伺服器過濾sql注入，這里更加應該使用Web代碼過濾sql注入，因為在頁面即將提交給伺服器之前過濾sql注入，比sql注入到達代理伺服器時過濾，更加高效、節省資源，用戶體驗更好，處理邏輯更加簡單。

F. linux安全加固應關閉什麼服務

1、禁用無關的組(編輯： vi /etc/group)

2、禁止root用戶遠程登錄

G. 系統加固之Linux安全加固

Linux系統基本操作

文件結構圖及關鍵文件功能介紹

Linux文件結構

Linux文件結構圖

二級目錄

| 目錄 | 功能 |
| /bin | 放置的是在單人維護模式下能被操作的指令，在/bin底下的指令可以被root與一般賬號所使用 |
| /boot | 這個目錄只要在放置開機會使用到的文件，包括 Linux核心文件以及開機選單與開機所需配置的文件等等 |
| /dev | 在Linux系統上，任何裝置與介面設備都是以文件的形態存在於這個目錄當中的 |
| /etc |

系統主要的配置文件幾乎都放在這個目錄內，例如人員賬號密碼各種服務的啟動檔，系統變數配置等

|
| /home | 這個是系統默認的用戶家目錄（home directory) |
| /lib | /lib放置的則是在開機時會用到的函式庫，以及在/lib或/sbin底下的指令會呼叫的函式庫 |
| /media | /media底下放置的是可以移出的裝置，包括軟盤、光碟、DVD等等裝置都掛載於此 |
| /opt | 給第三方協議軟體放置的目錄 |
| /root | 系統管理員（root）的家目錄 |
| /sbin | 放置/sbin底下的為開機過程中所需要的，裡麵包括了開機、修復、還原系統所需的指令。 |
| /srv | srv可視為[service]的縮寫，是一些網路服務啟動之後，這些服務所需要取用的數據目錄 |
| /tmp | 這是讓一般使用者或是正在執行的程序暫時放置文件的地方 |

文件

賬號和許可權

系統用戶

超級管理員 uid=0

系統默認用戶 系統程序使用，從不登錄

新建普通用戶 uid大於500

/etc/passwd

/etc/shadow

用戶管理

許可權管理

解析文件許可權

文件系統安全

查看許可權：ls -l

修改許可權：

**chmod **

** chgrp**

設置合理的初始文件許可權

很奇妙的UMASK:

umask值為0022所對應的默認文件和文件夾創建的預設許可權分別為644和755

文件夾其許可權規則為：777-022-755

文件其許可權規則為：777-111-022=644（因為文件默認沒有執行許可權）

修改UMASK值：

1、直接在命令行下 umask xxx(重啟後消失）

2、修改/etc/profile中設定的umask值

系統加固

鎖定系統中多餘的自建賬號

檢查shadow中空口令賬號

檢查方法：

加固方法：

使用命令passwd -l <用戶名> 鎖定不必要的賬號

使用命令passwd -u <用戶名>解鎖需要恢復的賬號

使用命令passwd <用戶名> 為用戶設置密碼

設置系統密碼策略

執行命令查看密碼策略設置

加固方法：

禁用root之外的超級用戶

檢測方法：

awk -F ":" '( 1}' /etc/passwd

加固方法：

** passwd -l <用戶名>**

****

限制能夠su為root的用戶

查看是否有auth required /libsecurity/pam_whell.so這樣的配置條目

加固方法：

重要文件加上不可改變屬性

把重要文件加上不可改變屬性

Umask安全

SSH安全：

禁止root用戶進行遠程登陸

檢查方法：

加固方法：

更改服務埠：

屏蔽SSH登陸banner信息

僅允許SSH協議版本2

防止誤使用Ctrl+Alt+Del重啟系統

檢查方法：

加固方法：

設置賬號鎖定登錄失敗鎖定次數、鎖定時間

檢查方法：

修改賬號TMOUT值，設置自動注銷時間

檢查方法：

cat /etc/profile | grep TMOUT

加固方法：

vim /etc/profile

增加

TMOUT=600 無操作600秒後自動退出

設置BASH保留歷史命令的條目

檢查方法：

cat /etc/profile | grep HISTSIZE

加固方法：

vim /etc/profile

修改HISTSIZE=5即保留最新執行的5條命令

設置注銷時刪除命令記錄

檢查方法：

cat /etc/skel/.bash_logout 增加如下行

rm -f $HOME/.bash_history

這樣，系統中的所有用戶注銷時都會刪除其命令記錄，如果只需要針對某個特定用戶，，如root用戶進行設置，則可只在該用戶的主目錄下修改/$HOME/.bash_history文件增加相同的一行即可。

設置系統日誌策略配置文件

日誌的主要用途是 系統審計 、監測追蹤和分析。為了保證 Linux 系 統正常運行、准確解決遇到的各種樣統問題，認真地讀取日誌文件是管理員的一項非常重要任務。

UNIX/ Linux 採用了syslog 工具來實現此功能，如果配置正確的 話，所有在主機上發生的事情都會被記錄下來不管是好還是壞的 。

檢查方法：

cat /etc/profile | grep HISTSIZE

確定syslog服務是否啟用

查看syslogd的配置，並確認日誌文件是否存在

阻止系統響應任何從外部/內部來的ping請求

加固方法：

echo 1 >/proc/sys/net/ipv4/icmp_echo_ignore_all

H. linux系統安全加固需要做哪些方面

linux因其性能的優越以及穩定性，源代碼開放，加上價格低廉，受到廣大用戶歡迎，所以它的安全性更應該加強。
主要需要注意的方麵包括：
1、修改系統密碼；
2、查看系統是否已設定了正確UMASK值；
3、鎖定系統中不必要的系統用戶和組；
4、預防flood攻擊；
5、禁用X-windows服務；
6、加固TCP/IP協議。
所有操作前最好先做好備份，防止數據丟失。

I. 騰訊雲linux鏡像的用戶怎麼安裝安全加固組件

為確保安全防護服務正常運轉，安全加固組件的安裝在購買服務默認為選擇狀態，通過母盤鏡像直接安裝，無需用戶操作。
若用戶在購買雲伺服器時未選擇安裝安全加固組件，請先下載組件，然後進行安裝，步驟如下：
Linux系統
第一步：登錄雲主機，下載安裝包到雲主機伺服器。
如果您是Linux 64位鏡像的用戶，請使用如下命令下載安裝包。
wget mirrors.tencentyun.com/install/sec/agent-X64.zip

第二步：解壓安裝包
第三步：執行安裝腳本：install.sh
返回如下結果則說明安全組件安裝成功
[RESULT] sec-agent installed OK.
sec-agent-1.png
返回如下結果則說明安全組件安裝失敗，請聯系客服進行技術支持。
[RESULT] sec-agent install NOT OK.
這些都是小鳥雲的工程師告訴我的，建議你可以試試小鳥雲

祝順利！有問題請追問。忘採納！