linux-主机操作系统安全加固规范

SUSE由于其出色的性能和对安全较好的控制，吸引了很多企业级用户，目前在国内开始有大量的关键应用。但这并不代表SUSE在使用中就是安全的，SUSE里还有很多安全细节要注意。本文就SUSE中的这些安全细节进行逐一介绍，为大家揭开每一个需要注意的地

目录

1. 补丁、SSH及其它……………………………………3

2. 最小化xinetd……………………………………………4

3. 最小化启动服务…………………………………………5

4. 内核优化…………………………………………………8

5. 日志………………………………………………………8

6. 文件权限许可……………………………………………9 SUSE Linux系统安全配置十条 7. 系统的管理、授权、认证………………………………10

8. 用户账户和环境…………………………………………12

9. 杀毒………………………………………………………13

10. 其它安全配置…………………………………………14

1. 补丁、SSH及其它

1.1 补丁

说明： 每个补丁的更新都意味着这是一个安全漏洞，或是有其他严重的功能问题，但如果更新补丁则又可能导致系统的一些异常，甚至引起一些服务的瘫痪。所以对于补丁的更新要慎重处理。从实际的角度来说，有4种做法：

1）是在刚装完系统之后立刻更新补丁，然后再上应用。

2）是通过外围防护手段来保护服务器，可以用防火墙、IPS之类的手段。

3）是在测试机上更新补丁。不过值得注意的是，有些补丁带来的问题是隐性的，可

能今天明天没问题，但后天出了问题，所以，观察的时间需要久一些。

4） 如果你的SUSE服务器比较多，也可以通过NFS共享或者内部的FTP、HTTP服务 来完成。但FTP、HTTP又会带来另外的安全风险。SUSE的补丁升级，需要去下载Novell的新RPM。RPM包的安装会有先有后，不过多数情况下，RPM会根据其依赖关系来处理。另外，Novell也有一些在特殊情况下的提示，比如内核更新、C运行库等。Novell公司提供了一个强大的工具YaST，不过遗憾的是，YaST自身也不安全，有在线升级不安全临时文件建立漏洞。

1.光闸

1.1. 单向光闸

技术指标 指标要求

数量 2台

★规格要求 3U标准机架式机；专用安全加固Linux操作系统。冗余电源。

光闸:内外网各6个千兆电口、2个SFP插槽；

主机系统具有自主知识产权的多核多线程ASIC并行操作系统平台；并提供多核多线程ASIC并行操作系统计算机软件著作权登记证书；

数据库到数据库交换记录数（≥400Kb/记录） ≥1,000条/秒

数据文件处理文件数（≥400Kb/文件） ≥1,000个/秒

系统吞吐量 ≥320Mbps

最大支持服务 ≥30

★行业特性 产品需针对法院行业进行深度开发，与法院业务系统无缝对接；有至少3个以上省高院或地市中院应用案例（提供证明材料，加盖原厂公章）

功能要求 支持静态文件的单向导入；要求支持Samba共享、FTP、本地FTP、NFS、客户端等多种方式的文件同步服务；

支持相同操作系统上不同类型文件服务器的灵活搭配进行文件单向导入（提供功能截图证明）

支持基于Windows和Linux等操作系统的文件服务器的文件单向导入

支持文件快递功能，用户将自己的文件同时单向导入给多个用户（提供功能截图证明）

支持文件后缀名黑白名单过滤；支持文件内容格式黑白名单过滤

支持按天和周的传输调度方式

支持FTPS加密传输，传输采用SSL加密方式（提供功能截图证明）

支持用文件名来重传的功能（提供功能截图证明）

支持文件镜像的传输功能（提供功能截图证明）；

支持延迟删除已传输文件的功能

支持从数据库表中获取需传输文件信息并进行文件单向导入

支持根据文件最新时间过滤传输功能

支持病毒查杀功能

支持关键字过滤

支持传输文件的完整性检查与报警

单个服务支持多线程同步，线程个数手动设定（提供功能截图证明） 支持数据库的单向导入；要求支持ORACLE、SQLSERVER、SYBASE、DB2、Mysql、神州通用(Oscar) 、达梦数据库、南大通用等多种数据库类型数据库的单向导入（提供功能截图证明）

Linu系统安全加固手册

文档编制序号：[KKIDT-LLE0828-LLETD298-POI08]

密 级：商业秘密

LINUX评估加固手册

安氏领信科技发展有限公司

二〇二〇年十月

目 录

1、系统补丁的安装

RedHat使用RPM包实现系统安装的管理，系统没有单独补丁包（Patch）。如果出现新的漏洞，则发布一个新的RPM包，版本号（Version）不变，Release做相应的调整。因

此检查RH Linux的补丁安装情况只能列出所有安装的软件，和RH网站上发布的升级软件对照，检查其中的变化。

通过访问官方站点下载最新系统补丁，RedHat公司补丁地址如下：

rpm -qa 查看系统当前安装的rpm包

rpm -ivh package1 安装RPM包

rpm -Uvh package1 升级RPM包

rpm -Fvh package1 升级RPM包（如果原先没有安装，则不安装）

2、帐户、口令策略的加固

2．1、删除或禁用系统无用的用户

询问系统管理员，确认其需要使用的帐户

如果下面的用户及其所在的组经过确认不需要，可以删除。

lp, sync, shutdown, halt, news, uucp, operator, games, gopher

修改一些系统帐号的shell变量，例如uucp,ftp和news等，还有一些仅仅需要FTP功能的帐号，检查并取消/bin/bash或者/bin/sh等Shell变量。可以在/etc/passwd中将它们的shell变量设为/bin/false或者/dev/null等。也可以通过passwd groupdel 来锁定用户、删除组。

passwd -l user1锁定user1用户

passwd -u user1 解锁user1用户

groupdel lp 删除lp组。

操作系统加固手册

目录 1.1 Windows系统 .............................................................................................. 3 1.1.1 设置帐号口令策略 ............................................................................... 3 1.1.2 系统账户优化 ....................................................................................... 4 1.1.3 关闭非必需服务 ................................................................................... 6 1.1.4 设置安全审计策略 ............................................................................... 7 1.1.5 设置合理的日志文件大小 .................................................................... 8 1.1.6 屏蔽之前登录的用户信息 .................................................................. 10 1.1.7 默认共享未关闭 ................................................................................. 11 1.1.8 设置自动屏保锁定 ............................................................................. 12 1.1.9 关闭autorun自动播放功能 ............................................................... 13 1.1.10 卸载与工作无关的软件 .................................................................. 14 1.2 AIX主机 ..................................................................................................... 14 1.2.1 消除系统弱口令 ................................................................................. 15 1.2.2 系统账户优化 ..................................................................................... 15 1.2.3 修改口令策略 ..................................................................................... 16 1.2.4 系统未设置登录会话时间 .................................................................. 17 1.2.5 禁用TCP/UDP小服务 ......................................................................... 17 1.2.6 禁用Sendmail、SNMP服务 ............................................................... 18 1.2.7 采用SSH代替telnet管理维护主机 ................................................... 19 1.3 HP-UX主机 ................................................................................................ 20 1.3.1 消除系统弱口令 ................................................................................. 20 1.3.2 系统账户优化 ..................................................................................... 20 1.3.3 修改口令策略 ..................................................................................... 21 1.3.4 系统未设置登录会话时间 .................................................................. 22 1.3.5 关闭非必需的服务 ............................................................................. 22 1.3.6 修改SNMP服务默认读写口令串 ...................................................... 24 1.3.7 采用SSH代替telnet管理维护主机 ................................................... 24 1.4 Linux主机 .................................................................................................. 25 1.4.1 消除系统弱口令 ................................................................................. 25 1.4.2 系统账户优化 ..................................................................................... 25 1.4.3 增强口令策略 ..................................................................................... 26 1.4.4 登录超时设置 ..................................................................................... 27 1.4.5 关闭非必需的服务 ............................................................................. 28 1.4.6 采用SSH代替telnet管理维护主机 ................................................... 28