1 账户安全
1.1 锁定系统中多余的自建帐号
查看 /etc/passwd 和 /etc/shadow 这俩文件，每一行第一个字段为用户名。
如果你确认系统中某些用户并非用来登录系统，可以将其锁定：
使用命令passwd -l <用户名>锁定不必要的账号。
使用命令passwd -u <用户名>解锁需要恢复的账号。
注：需要与管理员确认此项操作不会影响到业务系统的登录
1.2 设置系统口令策略
不建议使用以下类似的简单密码：123456 Password 123@qwer
使用以下命令查看密码策略设置：
#cat /etc/login.defs|grep PASS
可根据需要修改配置文件/etc/login.defs
PASS_MAX_DAYS 90 #新建用户的密码最长使用天数
PASS_MIN_DAYS 0 #新建用户的密码最短使用天数
PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数
PASS_MIN_LEN 9 #最小密码长度9
1.3 设置口令过期时间
对于采用静态口令认证技术的设备，账户口令的生存期不长于90天。
操作：修改/etc/login.defs 文件，添加内容：PASS_MAX_DAYS 90
1.4 登录连续认证失败锁定帐号
对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过6次，锁定该用户使用的账号。
参考配置操作：
CentOS: 在etc/pam.d/system-auth中auth列中添加：
auth required pam_tally.so onerr=fail deny=6 unlock_time=300
参数说明：
Deny：失败次数。
Unlock_time：锁定帐户多少秒后解锁。
2 系统服务安全
2.1 linux服务简介
|
服务进程 |
说明 |
建议 |
|
network |
网卡管理 |
开机启动 |
|
kudzu |
系统启动时自动检测硬件 |
开机启动 |
|
sshd |
远程登录服务 |
开机启动 |
|
crond |
计划任务程序 |
开机启动 |
|
syslog |
日志服务 |
开机启动 |
|
rsyslog |
日志服务 |
开机启动 |
|
haldaemon |
硬件自动检测挂载的功能 |
开机启动 |
|
iptables |
包过滤工具（系统自带防火墙） |
开机启动 |
|
acpid |
电源管理服务 |
开机启动 |
|
cpuspeed |
动态调整CPU处理能力功能 |
开机启动 |
|
irqbalance |
CPU性能优化 |
开机启动 |
|
microcode_ctl |
CPU编码功能 |
开机启动 |
|
readahead_early |
优化系统的启动速度 |
开机启动 |
|
irqbalance |
用于多个处理器环境下的系统中断请求进行负载平衡的守护程序 |
根据需要开启 |
|
kdump |
在系统崩溃、死锁或者死机的时候用来转储内存运行参数的一个工具和服务 |
根据需要开启 |
|
netdump |
网络转储（Netdump）的功能 |
根据需要开启 |
|
named |
用于架设dns服务 |
根据需要开启 |
|
netconsole |
用于将本地主机的日志信息打印到远程主机上,便于远程用户查看日志信息 |
根据需要开启 |
|
messagebus |
进程间通讯）服务。确切地说，它与 DBUS 交互，为两个或两个以上的应用程序提供一对一的通讯 |
根据需要开启 |
|
anacron |
计划任务程序，是对cron的补充 |
根据需要开启 |
|
atd |
计划任务程序，任务只执行一次 |
根据需要开启 |
|
autofs |
外部存储设备的自动加载 |
禁用 |
|
avahi-daemon |
局域网里发现基于 zeroconf 协议的设备和服务 |
禁用 |
|
avahi-dnsconfd |
局域网里发现基于 zeroconf 协议的设备和服务 |
禁用 |
|
bluetooth |
用于支持蓝牙设备和功能的正常运行 |
禁用 |
|
NetworkManager |
自动切换网络连接的后台进程 |
禁用 |
|
capi |
用于支持ISDN 设备 |
禁用 |
|
dund |
用于支持蓝牙设备和功能的正常运行 |
禁用 |
|
firstboot |
安装之后的第一次启动时执行启动脚本 |
禁用 |
|
gpm |
为文本模式下的Linux部分程序提供鼠标支持 |
禁用 |
|
hidd |
用于支持蓝牙设备和功能的正常运行 |
禁用 |
|
ip6tables |
用于 IPv6 的软件防火墙 |
禁用 |
|
irda |
用于实现红外无线数据传输 |
禁用 |
|
mcstrans |
如果你使用 SELinux 就开启它 |
禁用 |
|
mdmonitor |
与RAID设备相关的守护程序 |
禁用 |
|
mdmpd |
与RAID设备相关的守护程序 |
禁用 |
|
microcode_ctl |
可以编码以及发送新的微代码到kernel以更新Intel IA32系列处理器 |
禁用 |
2.2 停用与业务无关的服务
Centos：chkconfig --list 查看所有服务的状态
chkconfig <服务名> on 设置服务开机自启动
chkconfig <服务名> off 设置服务开机不启动
Ubuntu：sysv-rc-conf 进行简易图形化配置
3 网络访问安全
3.1 设置访问控制策略限制能够使用ssh管理本机的IP地址
修改ssh配置文件 /etc/ssh/sshd_config
如需要限制只让192.168.1.0/24网段登录root用户，可在配置文件中添加一行：
allowusers root@192.168.1.*
注：可将root更改为需要限制登录的用户名；
保存后重启ssh服务：#service sshd restart
3.2 禁止root用户远程登陆
检查 /etc/ssh/sshd_config：
查看是否有此条配置：PermitRootLogin yes
可将此条配置修改为PermitRootLogin no
保存后重启ssh服务：#service sshd restart
3.3 修改帐户TMOUT值，设置自动注销时间
检查方法：
#cat /etc/profile 查看有无TMOUT的设置
添加配置：TMOUT=600
意思是无操作600秒后自动退出
3.4 启动IPTABLES并设置相关策略
使用命令iptables-save来查看当前iptables策略
系统已经预置了部分策略，即input仅允许ICMP端口、22端口、80端口。
如果需要添加其他端口请添加相应IPTABLES实例。
3.5 修改SSH监听端口
当前为22端口，可修改为其他端口，如2233、2345等
centos修改配置文件 /etc/ssh/sshd_config
插入一行：port 2233
重启sshd服务：#server sshd restart
4 日志
4.1 用户登录日志
设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。
▏参考配置操作：
# Vi /etc/login.defs，添加LASTLOG_ENAB yes
Linux的/var/log/wtmp和/var/log/wtmps,文件中记录着所有登录过主机的用户，时间，来源等内容，这两个文件不具可读性，可用last命令来看。
4.2 用户操作日志
设备应配置日志功能，记录用户对设备的操作，包括但不限于以下内容：账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。需记录要包含用户账号，操作时间，操作内容以及操作结果。
▏参考配置操作：
通过设置日志文件可以对每个用户的每一条命令进行纪录，这一功能默认是不开放的，为了打开它，需要执行
1)SUSE: # /usr/sbin/accton /var/account/pacct
2)CentOS/REDHAT: # /usr/sbin/accton /var/account/pacct
执行读取命令：# lastcomm [user name]
4.3 系统安全日志
设备应配置日志功能，记录对与设备相关的安全事件。
▏参考配置操作：
修改配置文件vi/etc/syslog.conf，
配置类似语句：*.err;kern.debug;daemon.notice;/var/log/messages
定义为需要保存的设备相关安全事件。