浅谈Linux的安全设置
如今系统的安全变的越来越重要了，这里我想把我平时比较常使用的一些linux下的基本的安全措施写出来和大家探讨一下，让我们的Linux系统变得可靠。
1、BIOS的安全设置
这是最基本的了，也是最简单的了。一定要给你的BIOS设置密码，以防止通过在BIOS 中改变启动顺序，而可以从软盘启动。这样可以阻止别有用心的试图用特殊的启动盘启动你的系统，还可以阻止别人进入BIOS改动其中的设置，使机器的硬件设置不能被别人随意改动。
2、LILO的安全设置
LILO是LInux
LOader的缩写，它是LINUX的启动模块。可以通过修改“/etc/lilo.conf”文件中的内容来进行配置。在/etc/lilo.conf文件中加如下面两个参数：restricted,password。这三个参数可以使你的系统在启动lilo时就要求密码验证。
第一步：编辑lilo.conf文件（vi /etc/https://www.doczj.com/doc/7618782806.html,f）,假如或改变这三个参数：
boot=/dev/hda
map=/boot/map
install=/boot/boot.b
prompt
timeout=00 #把这行该为00，这样系统启动时将不在等待，而直接启动LINUX
message=/boot/message
linear
default=linux
restricted #加入这行
password= #加入这行并设置自己的密码
image=/boot/vmlinuz-2.4.2-2
label=linux
root=/dev/hda6
read-only
第二步：因为"/etc/lilo.conf"文件中包含明文密码，所以要把它设置为root权限读取。
# chmod 0600 /etc/lilo.conf
第三步：更新系统，以便对“/etc/lilo.conf”文件做的修改起作用。
# /sbin/lilo -v
第四步：使用“chattr”命令使"/etc/lilo.conf"文件变为不可改变。
# chattr +i /etc/lilo.conf
这样可以在一定程度上防止对“/etc/lilo.conf”任何改变（意外或其他原因）
3、让口令更加安全
口令可以说是系统的第一道防线，目前网上的大部分对系统的攻击都是从截获口令或者猜测口令开始的，所以我们应该选择更加安全的口令。
首先要杜绝不设口令的帐号存在。这可以通过查看/etc/passwd文件发现。例如，存在的用户名为test的帐号，没有设置口令，则在/etc/passwd文件中就有如下一行：test::100:9::/home/test:/bin/bash
其第二项为空，说明test这个帐号没有设置口令，这是非常危险的！应将该类帐号删除或者设置口令。
其次，在旧版本的linux中，在/etc/passwd文件中是包含有加密的密码的，这就给系统的安全性带来了很大的隐患，最简单的方法就是可以用暴力破解的方法来获得口令。可以使用命令/usr/sbin/pwconv或者/usr/sbin/grpconv来建立/etc/shadow或者/etc/gshadow文件，这样在/etc/passwd文件中不再包含加密的密码，而是放在/etc/shadow文件中，该文件只有超级用户root可读！
第三点是修改一些系统帐号的Shell变量，例如uucp,ftp和news等，还有一些仅仅需要FTP功能的帐号，一定不要给他们设置/bin/bash或者/bin/sh等Shell变量。可以在/etc/passwd 中将它们的Shell变量置空，例如设为/bin/false或者/dev/null等，也可以使用usermod -s /dev/null username命令来更改username的Shell为/dev/null。这样使用这些帐号将无法Telnet 远程登录到系统中来！
第四点是修改缺省的密码长度：在你安装linux时默认的密码长度是5个字节。但这并不够，要把它设为8。修改最短密码长度需要编辑login.defs文件（vi/etc/login.defs），把下面这行
PASS_MIN_LEN 5
改为
PASS_MIN_LEN 8
login.defs文件是login程序的配置文件。
4、自动注销帐号的登录
在unix系统中root账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销root账户，那将会带来很大的安全隐患，应该让系统会自动注销。通过修改账户中“TMOUT”参数，可以实现此功能。TMOUT按秒计算。编辑你的profile文件（vi /etc/profile）,在"HISTFILESIZE="后面加入下面这行：
TMOUT=300
300，表示300秒，也就是表示5分钟。这样，如果系统中登陆的用户在5分钟内都没有动作，那么系统会自动注销这个账户。你可以在个别用户的“.bashrc”文件中添加该值，以便系统对该用户实行特殊的自动注销时间。
改变这项设置后，必须先注销用户，再用该用户登陆才能激活这个功能。
5、取消普通用户的控制台访问权限
你应该取消普通用户的控制台访问权限，比如shutdown、reboot、halt等命令。
# rm -f /etc/security/console.apps/
是你要注销的程序名。
6、取消并反安装所有不用的服务
取消并反安装所有不用的服务，这样你的担心就会少很多。察看“/etc/inetd.conf”文件，通过注释取消所有你不需要的服务（在该服务项目之前加一个“#”）。然后用“sighup”命令升级“inetd.conf”文件。
第一步：
更改“/etc/inetd.conf”权限为600，只允许root来读写该文件。
# chmod 600 /etc/inetd.conf
第二步：
确定“/etc/inetd.conf”文件所有者为root。
第三步：
编辑/etc/inetd.conf文件（vi /etc/inetd.conf），取消下列服务（你不需要的）：ftp, telnet, shell, login, exec, talk, ntalk, imap, pop-2, pop-3, finger, auth等等。把不需要的服务关闭可以使系统的危险性降低很多。
第四步：
给inetd进程发送一个HUP信号：
# killall -HUP inetd
第五步：
用chattr命令把/ec/inetd.conf文件设为不可修改，这样就没人可以修改它：
# chattr +i /etc/inetd.conf
这样可以防止对inetd.conf的任何修改（以外或其他原因）。唯一可以取消这个属性的人只有root。如果要修改inetd.conf文件，首先要是取消不可修改性质：
# chattr -i /etc/inetd.conf
别忘了该后再把它的性质改为不可修改的。
7、TCP_WRAPPERS
使用TCP_WRAPPERS可以使你的系统安全面对外部入侵。最好的策略就是阻止所有的主机（"/etc/hosts.deny"文件中加入"ALL: ALL@ALL, PARANOID" ），然后再在"/etc/hosts.allow" 文件中加入所有允许访问的主机列表。
第一步：
编辑hosts.deny文件（vi /etc/hosts.deny），加入下面这行
# Deny access to everyone.
ALL: ALL@ALL, PARANOID
这表明除非该地址包在允许访问的主机列表中，否则阻塞所有的服务和地址。
第二步：
编辑hosts.allow文件（vi /etc/hosts.allow），加入允许访问的主机列表，比如：
ftp: 202.54.15.99 https://www.doczj.com/doc/7618782806.html,
202.54.15.99和https://www.doczj.com/doc/7618782806.html,是允许访问ftp服务的ip地址和主机名称。
第三步：
tcpdchk程序是tepd wrapper设置检查程序。它用来检查你的tcp wrapper设置，并报告发现的潜在的和真实的问题。设置完后，运行下面这个命令：
# tcpdchk
8、修改“/etc/host.conf”文件
“/etc/host.conf”说明了如何解析地址。编辑“/etc/host.conf”文件（vi /etc/host.conf），加入下面这行：
# Lookup names via DNS first then fall back to /etc/hosts.
order bind,hosts
# We have machines with multiple IP addresses.
multi on
# Check for IP address spoofing.
nospoof on
第一项设置首先通过DNS解析IP地址，然后通过hosts文件解析。第二项设置检测是否“/etc/hosts”文件中的主机是否拥有多个IP地址（比如有多个以太口网卡）。第三项设置说明要注意对本机未经许可的电子欺骗。
9、使“/etc/services”文件免疫
使“/etc/services”文件免疫，防止未经许可的删除或添加服务：
# chattr +i /etc/services
10、不允许从不同的控制台进行root登陆
"/etc/securetty"文件允许你定义root用户可以从那个TTY设备登陆。你可以编辑"/etc/securetty"文件，再不需要登陆的TTY设备前添加“#”标志，来禁止从该TTY设备进行root登陆。
在/etc/inittab文件中有如下一段话：
# Run gettys in standard runlevels
1:2345:respawn:/sbin/mingetty tty1
2:2345:respawn:/sbin/mingetty tty2
#3:2345:respawn:/sbin/mingetty tty3
#4:2345:respawn:/sbin/mingetty tty4
#5:2345:respawn:/sbin/mingetty tty5
#6:2345:respawn:/sbin/mingetty tty6
系统默认的可以使用6个控制台，即Alt+F1,Alt+F2...，这里在3，4，5，6前面加上“#”，注释该句话，这样现在只有两个控制台可供使用，最好保留两个。然后重新启动init进程，改动即可生效！
11、使用PAM（可插拔认证模块）禁止任何人通过su命令改变为root用户su(Substitute
User替代用户)命令允许你成为系统中其他已存在的用户。如果你不希望任何人通过su 命令改变为root用户或对某些用户限制使用su命令，你可以在su配置文件（在"/etc/pam.d/"目录下）的开头添加下面两行：
编辑su文件(vi /etc/pam.d/su)，在开头添加下面两行：
auth sufficient /lib/security/pam_rootok.so
auth required /lib/security/Pam_wheel.so group=wheel
这表明只有"wheel"组的成员可以使用su命令成为root用户。你可以把用户添加到“wheel”组，以使它可以使用su命令成为root用户。添加方法可以用这个命令：chmod -G10 username 。
12、Shell logging Bash
shell在“~/.bash_history”（“~/”表示用户目录）文件中保存了500条使用过的命令，这样可以使你输入使用过的长命令变得容易。每个在系统中拥有账号的用户在他的目录下都有一个“.bash_history”文件。bash
shell应该保存少量的命令，并且在每次用户注销时都把这些历史命令删除。
第一步：
“/etc/profile”文件中的“HISTFILESIZE”和“HISTSIZE”行确定所有用户的“.bash_history”文件中可以保存的旧命令条数。
本篇文章来源于黑基网-中国最大的网络安全站点原文链接：https://www.doczj.com/doc/7618782806.html,/lib/2005-08-05/24674.html
IE11浏览器安全设置在哪里怎么设置 网络安全是目前互联网的热门话题之一，作为个人用户的我们同样需要关注，做好防护。浏览器的安全设置如果设置的过低，很容易导致病毒入侵，那么IE11浏览器的安全设置在哪里呢?又该如何进行设置?下面小编给大家揭晓答案! 方法步骤 1、首先打开IE浏览器，然后如下图所示，找到浏览器上方菜单栏上“工具”选项，单击点击此选项，点击工具选项之后在弹出的下拉列表中选择internet选项，进入到IE浏览器的设置选项; 2、进入下图之后，可以看到internet选项窗口，我们点击红框所示的安全按钮; 3、这时候就进入到浏览器的安全设置界面，然后点击下图所示的自定义级别按钮，可以对安全选项进行自定义设置，点击自定义级别之后，弹出右侧所示的窗口，这里可以进行各种安全设置;
4、滑动右侧的滑块，可以对浏览器各种拦截插件的功能进行设置，可以设置为启用或者提示或者禁用; 5、如果设置过多，自己感觉设置乱了，可以直接点击下图所示的重置按钮，然后在弹出的对话框中选择是，即可对安全设置进行重置了，以上就是IE浏览器的安全设置操作步骤。 相关阅读：2018网络安全事件： 一、英特尔处理器曝“Meltdown”和“Spectre漏洞” 2018年1月，英特尔处理器中曝“Meltdown”(熔断)和“Spectre”(幽灵)两大新型漏洞，包括AMD、ARM、英特尔系统
和处理器在内，几乎近20年发售的所有设备都受到影响，受影响的设备包括手机、电脑、服务器以及云计算产品。这些漏洞允许恶意程序从其它程序的内存空间中窃取信息，这意味着包括密码、帐户信息、加密密钥乃至其它一切在理论上可存储于内存中的信息均可能因此外泄。 二、GitHub 遭遇大规模Memcached DDoS 攻击 2018年2月，知名代码托管网站GitHub 遭遇史上大规模Memcached DDoS 攻击，流量峰值高达1.35 Tbps。然而，事情才过去五天，DDoS攻击再次刷新纪录，美国一家服务提供商遭遇DDoS 攻击的峰值创新高，达到1.7 Tbps!攻击者利用暴露在网上的Memcached 服务器进行攻击。网络安全公司Cloudflare 的研究人员发现，截止2018年2月底，中国有2.5万Memcached 服务器暴露在网上。 三、苹果iOS iBoot源码泄露 2018年2月，开源代码分享网站GitHub(软件项目托管平台)上有人共享了iPhone 操作系统的核心组件源码，泄露的代码属于iOS 安全系统的重要组成部分——iBoot。iBoot 相当于是Windows 电脑的BIOS 系统。此次iBoot 源码泄露可
xx公司 办公终端管理办法
修订记录
第一章总则 第一条策略目标：为了加强公司信息安全保障能力，建立健全公司的安全管理体系，提高整体的信息安全水平，保证公司业务正常运营，提高服务质量，在公司安全体系框架下，本策略提供办公终端使用所要遵守的行为准则。 第二章适用范围 第二条本办法适用于本公司，并在全公司范围内给予执行，由基础架构部对该项工作的落实和执行进行监督，并对本办法的有效性进行持续改进。 第三章组织和职责 第三条基础架构部负责所有办公终端的安全管理工作。职责包括： （一）制定与办公终端相关的安全操作手册，指导
员工正确使用公司办公终端； （二）定期检查公司员工使用办公终端的安全情况，并把检查结果提交公司信息安全办公室； （三）对于公司办公终端使用情况提出建设和反馈意见，为保障办公终端的安全提供技术和管理手段； （四）对于公司办公终端发生的安全问题，应及时地处理和响应，确保公司办公终端的使用安全。 第四条公司各部门应设立安全协调员，负责本部门的办公终端的正确使用，指导和协助本部门员工安全使用办公终端。 第四章安全要求 第五条公司所有办公终端的命名应符合公司计算机命名规范。 第六条公司所有的办公终端应加入公司的域管理模式，正确是使用公司的各项资源。 第七条公司所有的办公终端应正确安装防病毒系统，确保及时更新病毒码。 第八条公司所有的办公终端应及时安装系统补丁，应与公司发布的补丁保持一致。 第九条公司所有办公终端不得私自装配并使用可读写光驱、磁带机、磁光盘机和USB硬盘等外置存储设备。
第十条公司所有办公终端不得私自转借给他人使用。 第十一条公司的移动办公终端在外出办公时，不要使其处于无人看管状态。 第十二条公司的移动办公终端不允许借给无关人员操作，防止信息的泄密和数据破坏。 第十三条公司办公终端不得私自安装盗版软件和与工作无关的软件，不得私自安装扫描软件或黑客攻击工具。 第十四条公司办公终端在无工作需求的情况下，应关闭IIS,TELNET以及FTP等不必要的服务； 第十五条员工不允许向外面发送涉及公司秘密、机密和绝密的信息； 第十六条员工不得利用公司网络资源访问与公司业务无关的网站，下载与工作无关的文件。 第五章报告和处理 第十七条在使用办公终端的过程中，如果发现设备具有可疑情况，或发生病毒和安全事件，应及时向基础架构部进行汇报。 第十八条基础架构部应根据公司的响应时间要求进行及时地处理，并对处理的问题、过程以及办法进行记录。 第六章监督和检查
xx公司 办公终端管理办法/ |
修订记录
第一章总则 第一条策略目标：为了加强公司信息安全保障能力，建立健全公司的安全管理体系，提高整体的信息安全水平，保证公司业务正常运营，提高服务质量，在公司安全体系框架下，本策略提供办公终端使用所要遵守的行为准则。 第二章适用范围 第二条本办法适用于本公司，并在全公司范围内给予执行，由基础架构部对该项工作的落实和执行进行监督，并对本办法的有效性进行持续改进。 第三章. 第四章组织和职责 第三条基础架构部负责所有办公终端的安全管理工作。职责包括： （一）制定与办公终端相关的安全操作手册，指导员工正确使用公司办公终端；
（二）定期检查公司员工使用办公终端的安全情况，并把检查结果提交公司信息安全办公室； （三）对于公司办公终端使用情况提出建设和反馈意见，为保障办公终端的安全提供技术和管理手段； （四）对于公司办公终端发生的安全问题，应及时地处理和响应，确保公司办公终端的使用安全。 第四条公司各部门应设立安全协调员，负责本部门的办公终端的正确使用，指导和协助本部门员工安全使用办公终端。 第五章安全要求 ； 第五条公司所有办公终端的命名应符合公司计算机命名规范。 第六条公司所有的办公终端应加入公司的域管理模式，正确是使用公司的各项资源。 第七条公司所有的办公终端应正确安装防病毒系统，确保及时更新病毒码。 第八条公司所有的办公终端应及时安装系统补丁，应与公司发布的补丁保持一致。 第九条公司所有办公终端不得私自装配并使用可读写光驱、磁带机、磁光盘机和USB硬盘等外置存储设备。 第十条公司所有办公终端不得私自转借给他人使用。