WINDOWS&LINUX 安全加固

  • A+
所属分类：运维基础

一.WINDOWS安全加固

1.账号
  1. 按照不同的用户分配不同的账户，避免不同用户共享  
  2. 删除与运行、维护等无关的账户，删除过期账户  
  3. 重命令Administrator、禁用guest账户  
2.授权
  1. 本地和远端系统强制关机只给Administrators组  
  2. 取得文件或其他对象的所有权只指派给Administrators  
  3. 只允许授权的账号进行本地、远程访问登录此计算机  
3.口令
  1. 密码长度至少8位，包含数字、大小写英文和特殊符号  
  2. 采用静态口令认证技术的设备，账号口 令生存期限，一般不超过90天，最长不超过180天  
  3. 采用静态口令认证技术的 设各，密码输入失败次数不能超过5次  
4.安全补丁
  1. 在保证业务不影响条件下，更新最新补丁  
  2. 启用防火墙或安装第三方威胁防护软件且及时更新  
  3. 根据业务需要，限定允许访问网络的应用程序，和允许远程登录该设备IP地址范围  
5.日志
  1. 配置日志功能，记录用户登录的账号、登录是否成功、时间，以及远程登录的IP地址  
  2. 开启审核策略，记录用户的一切事件  
  3. 设置日志容量和覆盖规则，保证日志存储  
6.共享文件夹
  1. 在非域环境下，关闭Windows硬盘默认共享，如C$，D$  
  2.   
  3. net share  
  4. 此命令的语法是:  
  5.   
  6. NET SHARE  
  7. sharename  
  8.           sharename=drive:path [/GRANT:user,[READ | CHANGE | FULL]]  
  9.                                [/USERS:number | /UNLIMITED]  
  10.                                [/REMARK:"text"]  
  11.                                [/CACHE:Manual | Documents| Programs | BranchCache | None]  
  12.           sharename [/USERS:number | /UNLIMITED]  
  13.                     [/REMARK:"text"]  
  14.                     [/CACHE:Manual | Documents | Programs | BranchCache | None]  
  15.           {sharename | devicename | drive:path} /DELETE  
  16.           sharename \\computername /DELETE  
  17.   
  18. 请键入 NET HELPMSG 3506 以获得更多的帮助。  
  19.   
  20. C:\Windows\system32>net share /del c$  
  21. c$ 已经删除。  
  22. C:\Windows\system32>net share /del d$  
  23. d$ 已经删除。  
  24. C:\Windows\system32>net share /del e$  
  25. 只允许授权的账户拥有权限共享  
7.网络访问
  1. 在非域环境下，关闭Windows硬盘默认共享，如以C$，D$  
  2. 禁用可远程访问的注册表路径和子路径  
8.会话超时设置
  1. 对于远程登录的账户，设置不活动所连接时间不超过15分钟  
9.注册表设置
  1. 不允许自动登录  
  2. 源路由欺骗保护  
  3. 删除匿名用户空连接  
  4. SNY Flood保护  
10.其他
  1. 关闭不必要的服务  
  2. 如需开启SNMP服务，则修改默认的SNMP Communiity String设置  
  3. 若需要开启远程服务，更改远程登录端口3389的端口  
  4. 关闭Windows的自动视频播放功能  

二.LINUX安全加固

1.账号

1）按照不同的用户分配不同的账号，避免不同用户共享

  1. 添加用户  
  2. useradd username  
  3. passwd username  
  4. 修改权限：chmod 750 目录  

2）删除或锁定无关账户

  1. 删除用户：userdel username  
  2. 锁定用户：passwd -l username  
  3. 接触锁定：passwd -d username  

3）根据业务需求，建立多账号组，并相应分配组

  1. cat /etc/passwd  
  2. cat /etc/group  

4）使用PAM禁止任何人su为root

  1. 编辑su文件（vi /etc/pam.d/su）  
  2. #auth required pam_wheel.so use_uid去掉前面的注释，保存即可  
  3. 表明只有wheel组的成员可以使用su命令成为root成员  
  4. 添加方法：usermod -g wheel username  
2.授权
  1. 在业务能力内，配置最小权限  
  2. chmod配置  
  3.   
  4. 控制用户缺省访问权限，设置默认创建文件或目录的权限750  
  5. 设置默认权限：  
  6. 命令输入：umask 027  
  7. 若修改文件或目录的权限，操作：chmod 444 dir  
  8.   
  9. 若需开启FTP服务，控制FTP进程缺省访问权限。当通过FTP服务创建的新目录或者新文件时，屏蔽调新文件或者目录不应有的访问允许权。  
  10. 以vsftp为例，打开/etc/vsftpd/chroot_list文件，添加需要受限制的用户名  
3.日志
  1. 启用syslog系统日志审计功能  
  2. cat /etc/syslog.conf查看是否有#authpriv.*/var/log/secure，主要存放的认证、权限使用相关的信息  
  3.   
  4. 限制系统日志经限由syslog记录并且不可被其他用户修改  
  5. ls -l  
  6. chmod  
  7.   
  8. 开启cron行为日志功能  
  9.   
  10. 设备配置远程日志功能，将需要重点关注的日志内容存放到syslog  
4.口令
  1. 密码长度至少8位，包含数字、大小写英文和特殊符号  
  2. 采用静态口令认证技术的设备，账号口令生存期限，一般不超过90天，最长不超过180天  
5.远程登录
  1. 限制直接root登录，应先普通权限现切换到超级管理员账号  
  2. /etc/passwd中，账号信息的shell位/sbin/nologin的为禁止远程登录；  
  3. 若允许，则改成可以登录的shell即可，如/bin/bash  
  4.   
  5. 使用IP协议登录的设各，应需要配置SSH等加密协议  
6.安全补丁
  1. 查看Linux的内核版本，并及时更新最新版的补丁  
  2. [root@mysql01 ~]# uname -a  
  3. Linux mysql01 3.10.0-1127.el7.x86_64 #1 SMP Tue Mar 31 23:36:51 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux  
  4. [root@mysql01 ~]# cat /etc/redhat-release  
  5. CentOS Linux release 7.8.2003 (Core)  
  6. [root@mysql01 ~]#   
7.系统Banner设置
  1. 修改系统Banner，避免泄露操作系统名称，版本号，主机名称等指纹信息，并且给出登录告警信息  
8.FTP设置
  1. 禁止root登录  
  2. 在ftp access文件中添加root,拒绝root账号登录  
  3. 禁止匿名ftp登录：以vsftp为例，修改vsftpd.conf: anonymous_enable=NO  
  4. 修改FTP的Banner信息  
9.删除潜在危险文件
  1. .rhosts，.netrc，hosts.equiv等文件存在威胁，如果没有应用，应该删除掉  
  2. 执行：find / -name .netrc，检查系统是否有.netrc文件  
  3. 执行：find / -name .rhosts，检查系统是否有.rhosts文件  
  4. [root@mysql01 ~]# find / -name .netrc  
  5. [root@mysql01 ~]# find / -name .rhosts  
  6. [root@mysql01 ~]#   
  7.   
  8. 如果没有应用，则删除以下文件：  
  9. My .rhost .rhost.bak  
  10. My .netr .netr.bak  
10.其他
  1. 关闭不必要的服务和端口  
  2. 查看所有开启的服务：  
  3. #ps -ef  
  4. #chkconfig --list  
  5. #cat /etc/xinetd.conf  
moonrong
  • 版权声明：本站原创文章，于2022年2月24日13:45:52，由 发表，共 3390 字。
  • 版权声明： 本文由于2022年2月24日13:45:52， 发表在 好派笔记，共 3390 字。

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: