【Linux&网络安全】Linux操作系统安全配置（超全超详细） |
您所在的位置：网站首页 › 安全配置文件检查不包括 › 【Linux&网络安全】Linux操作系统安全配置（超全超详细） |
|
Linux操作系统安全配置
一、服务相关命令
systemctl enable 服务名 #开机自启动
systemctl disable 服务名 #禁用开机自启动
systemctl stop 服务名 #停止服务
systemctl start 服务名 #启动服务
systemctl restart 服务名 #重启服务
systemctl status 服务名 #查看服务状态
service 服务名 start|stop|restart #启动/停止/重启 服务
chkconfig --list #查看启动服务
systemctl list-unit-files #列出systemd服务
二、账号和口令
查看账号
在我们Linux系统当中，默认的情况下，所有的系统上的帐号与一般身份使用者，还有root的相关信息， 都是记录在/etc/passwd这个文件内的。至于个人的密码则是记录在/etc/shadow这个文件下。 此外，Linux所有的群组名称都纪录在/etc/group内！这三个文件可以说是Linux系统里面帐号、密码、群组信息的集中地。/etc/passwd文件将每个用户的详细信息写为一行，其中包含七个字段，每个字段之间用冒号 : 分隔。 使用cat /etc/passwd命令查看系统所有用户 [root@localhost ~]# cat /etc/passwd root:x:0:0:root:/root:/bin/bash bin:x:1:1:bin:/bin:/sbin/nologin daemon:x:2:2:daemon:/sbin:/sbin/nologin adm:x:3:4:adm:/var/adm:/sbin/nologin lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin sync:x:5:0:sync:/sbin:/bin/sync shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown halt:x:7:0:halt:/sbin:/sbin/halt mail:x:8:12:mail:/var/spool/mail:/sbin/nologin operator:x:11:0:operator:/root:/sbin/nologin games:x:12:100:games:/usr/games:/sbin/nologin ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin nobody:x:99:99:Nobody:/:/sbin/nologin systemd-network:x:192:192:systemd Network Management:/:/sbin/nologin dbus:x:81:81:System message bus:/:/sbin/nologin polkitd:x:999:998:User for polkitd:/:/sbin/nologin sshd:x:74:74:Privilege-separated SSH:/var/empty/sshd:/sbin/nologin postfix:x:89:89::/var/spool/postfix:/sbin/nologin chrony:x:998:996::/var/lib/chrony:/sbin/nologin test:x:1000:1000::/home/test:/bin/bash比如 test:x:1000:1000::/home/test:/bin/bash字段解释： 用户名 （test）： 已创建用户的用户名，字符长度 1 个到 12 个字符。密码（x）：代表加密密码保存在 /etc/shadow 文件中。用户ID（1000）：代表用户ID号，每个用户都有一个唯一的ID。UID号为0是为root用户保留的，UID号1到99是为系统用户保留，UID号100-999是为系统账户和群组保留。群组ID（1000）：代表群组ID号，每个群组都要有一个唯一的GID，保存在 /etc/group文件中。用户信息（此处为空）：代表描述字段，可以用来描述用户的信息。家目录（/home/test）：代表用户的家目录。Shell（/bin/bash）：代表用户使用的 shell 类型。 添加账号 useradd 用户名 禁用或删除无用账号 #删除不必要的账号。 userdel 用户名 #锁定不必要的账号。 passwd -l 用户名 #解锁必要的账号。 passwd -u 用户名 #给账户设置密码 passwd 用户名 检查特殊账号查看空口令和root权限账号，确认是否存在异常账号： #查看空口令账号 awk -F: '($2=="")' /etc/shadow #查看UID为零的账号，UID为0就是root权限账号 awk -F: '($3==0)' /etc/passwd加固空口令账号： #给账户设置密码 passwd 用户名确认UID为零的账号只有root账号。 添加口令策略加强口令的复杂度等，降低被猜解的可能性。 1.使用命令 vi /etc/login.defs 修改配置文件。 PASS_MAX_DAYS 90 #新建用户的密码最长使用天数 PASS_MIN_DAYS 0 #新建用户的密码最短使用天数 PASS_WARN_AGE 7 #新建用户的密码到期提前提醒天数 2.使用chage命令修改用户设置。例如： chage -m 0 -M 30 -E 2000-01-01 -W 7表示将此用户的密码最长使用天数设为30，最短使用天数设为0，密码2000年1月1日过期，过期前七天警告用户。 3.禁止用户不能重复使用最近5次（含5）内已使用的密码。 vi /etc/pam.d/system-auth在password sufficient这行后面添加remember=5 password sufficient pam_unix.so use_authtok md5 shadow remember=5 4.设置密码复杂程度，允许重试3次，新密码必须与旧密码有4位不同，最小位数6位，大写字母至少包含2位，小写字母至少包含3位，特殊字母个数至少包含1位。使用pam_pwquality模块设置密码复杂度。 vi /etc/pam.d/system-auth找到password requisite pam_pwquality.so这行（Centos6是password requisite pam_cracklib这行），在后面添加retry=3 difok=4 minlen=6 ucredit=-2 lcredit=-3 ocrdit=-1 #%PAM-1.0 # This file is auto-generated. # User changes will be destroyed the next time authconfig is run. auth required pam_env.so auth required pam_faildelay.so delay=2000000 auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 1000 quiet_success auth required pam_deny.so account required pam_unix.so account sufficient pam_localuser.so account sufficient pam_succeed_if.so uid = 1000 quiet_success auth required pam_deny.so解释： onerr=fail 密码连续输入失败deny=5 密码输入错误次数达到5次unlock_time=1800 普通账户锁定30分钟（单位是秒）even_deny_root 代表包含root用户root_unlock_time=1800 root账户锁定30分钟（单位是秒）命令：pam_tally2查看被锁定的用户命令：pam_tally2 --reset -u username可以将被锁定的用户解锁 6.限制用户su限制能su到root的用户 使用命令 vi /etc/pam.d/su修改配置文件，在配置文件中添加行。 例如：只允许test组用户su到root，则添加 auth required pam_wheel.so group=test 7.设置用户登录超时时间（闲置时间）针对所有用户设置，修改/etc/profile文件。比如设置超时时间为30分钟。 vi /etc/profile在文件末尾加上(单位是秒) #1800秒 export TMOUT=1800最后刷新配置文件即可生效。 source /etc/profile 三、SSH服务Secure Shell最著名的名称SSH是为远程安全地连接IT系统而开发的协议。SSH的配置文件是/ect/ssh/sshd_config 1.禁止root用户直接登录首先创建普通权限账号并配置密码,防止无法远程登录。 使用命令 vi /etc/ssh/sshd_config修改配置文件 找到 # Authentication这行的下面，将PermitRootLogin的值改成no，并保存。 # Authentication: #LoginGraceTime 2m PermitRootLogin no #StrictModes yes #MaxAuthTries 6 #MaxSessions 10最后重启服务 service sshd restart 2.指定SSH协议版本（禁用sshv1，使用sshv2）sshv1是过时不安全协议，已被废弃。 vi /etc/ssh/sshd_config在文件中增加以下内容 Protocol 2重启服务生效 systemctl restart sshd 3.配置或修改SSH端口号（默认端口号22） Port 2026重启服务生效 systemctl restart sshd 4.配置SSH登录超时限制 vi /etc/ssh/sshd_config ClientAliveInterval 120 ClientAliveCountMax 5重启服务生效 systemctl restart sshd解释：除了root之外的所有用户都是120秒登录超时，自动登出。检测到5次不活动就断开连接。 5.配置SSH远程登录失败策略比如：SSH登录密码错误3次，锁定账户3分钟。 vi /etc/pam.d/sshd在#%PAM-1.0下添加一行 auth required pam_tally2.so deny=3 unlock_time=180 even_deny_root root_unlock_time300解释： deny=3 密码输入错误次数达到3次unlock_time=180 普通账户锁定3分钟（单位是秒）even_deny_root 代表包含root用户root_unlock_time=180 root账户锁定3分钟（单位是秒）命令：pam_tally2查看被锁定的用户命令：pam_tally2 --reset -u username可以将被锁定的用户解锁重启服务生效 systemctl restart sshd 6.基于公钥的身份验证默认情况下，启用公钥身份验证，但是显式启用它会使其更加可靠。 vi /etc/ssh/sshd_config PubkeyAuthentication yes重启服务生效 systemctl restart sshd 7.配置公钥存储路径用户公钥文件保存路径，默认为用户的home目录下.ssh隐藏文件夹中的authorized_keys，建议更换到其他目录，防止丢失或者被恶意登陆者在默认的这个路径中找到篡改。 vi /etc/ssh/sshd_config AuthorizedKeysFile .ssh/authorized_keys重启服务生效 systemctl restart sshd比如：配置SSH服务，设置RSA证书登录。 #不允许密码登录 PasswordAuthentication no #不允许root认证登录 PermitRootLogin no #允许RSA数字证书 RSAAuthentication yes #允许公钥登录 PubkeyAuthentication yes #修改默认公钥存放的位置 AuthorizedKeysFile .ssh/authorized_keys重启服务生效 systemctl restart sshd 8.允许SSH远程登录的用户默认情况下，系统上创建的所有用户都可以远程登录。 为所有用户提供远程登录机会不是一个好的安全习惯。 我们可以限制指定用户的登录。比如：只允许honor这个用户使用SSH远程登录，其他用户不能。 vi /etc/ssh/sshd_config AllowUsers honor重启服务生效 systemctl restart sshd 9.拒绝SSH远程登录的用户限制用户登录的另一种方法是通过指定没有权限使用ssh远程登录的用户帐户。 除指定用户之外的所有其他用户将具有远程访问权限。 vi /etc/ssh/sshd_config DenyUser root重启服务生效 systemctl restart sshd 10.限定SSH服务远程登录IP默认情况下，启动ssh服务时，它将在所有接口和IP地址上运行。 如果系统具有多个网络接口(其中一些接口不安全)，则可能会产生一些安全问题。 我们可以限制ssh服务接口的运行。 ssh服务将不接受来自其他接口的连接。 vi /etc/ssh/sshd_config ListenAddress 10.0.0.10 11.启用严格(强制安全性)模式StrictMode在ssh服务器启动之前检查某些情况。 在ssh守护程序启动之前，将执行ssh密钥，配置文件所有权，权限检查。 如果其中之一失败，ssh服务器守护程序将不会启动。 严格模式默认情况下处于启用状态，但通常由系统管理员关闭。 出于安全原因应启用它。 vi /etc/ssh/sshd_config StrictMode yes重启服务生效 systemctl restart sshd 12.禁用X11转发ssh的最佳功能之一是通过远程连接转发X11。 对于某些系统管理员和用户来说，这是非常有用的功能。 但这会在系统中创建一些安全漏洞。 如果不需要X11转发，请禁用它。 vi /etc/ssh/sshd_config X11Forwarding no重启服务生效 systemctl restart sshd 13.配置SSH登录标语（Banner信息） vi /etc/ssh/sshd_config显示系统banner信息，如果开启会在每次登陆时显示系统信息，减少恶意登陆者获取的信息量，防止被恶意利用。 Banner NONE重启服务生效 systemctl restart sshd 14.最多允许密码错误次数（默认6次） vi /etc/ssh/sshd_config最多登录尝试次数，建议值设置小一点，加大暴力破解难度。 MaxAuthTries 3重启服务生效 systemctl restart sshd 15.配置SSHD的PID档案存放地 vi /etc/ssh/sshd_config PidFile /var/run/sshd.pid重启服务生效 systemctl restart sshd 16.设置 root 用户的计划任务。每天早上 7:50 自动开启 ssh 服务，22:50 关闭；每周六的 7:30 重新启动 ssh 服务。本质是设置Linux计划任务（定时任务） crontab -e按i键进入编辑模式，输入以下内容 50 7 * * * /etc/init.d/sshd start 50 22 * * * /etc/init.d/sshd stop 30 7 * * 6 /etc/init.d/sshd start保存退出，使用命令crontab -l可查看创建的计划任务。 解释： crontab [-u username] #省略用户表表示操作当前用户的crontab -e #(编辑工作表) -l #(列出工作表里的命令) -r #(删除工作作) 我们用crontab -e进入当前用户的工作表编辑，是常见的vim界面，每行是一条命令。 crontab的命令构成为：时间+动作，其时间有分、时、日、月、周五种，操作符有 * 取值范围内的所有数字 / 每过多少个数字 - 从X到Z , 散列数字 四、Telnet服务telnet协议是TCP/IP协议族中的一员，是Internet远程登陆服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用telnet程序，用它连接到服务器。Linux系统默认没有安装该服务，Linux系统安装telnet服务后，配置文件在/etc/xinetd.d/telent 如果配置文件不存在则自己创建。 1.修改Telnet服务端口号使用命令vi /etc/service找到Telnet，将默认23端口号改成自定义端口号，比如2330。然后使用命令service xinetd restart重启服务。 2.禁用Telnet服务如果安装了Telnet服务需要禁用，可以在配置文件vi /etc/xinetd.d/telent新增一行disable = yes，然后用命令service xinetd restart重启服务。 3.限制Telnet用户连接，单个IP允许的最大连接数为1，总的最大连接数为10。 vi /etc/xinetd.d/telent在配置文件里面输入如下内容 service telnet { socket_type = stream wait = no user = root server = /usr/sbin/in.telnetd instances = 10 per_source = 1 }解释： instances：最大连接数，也可赋值为“UNLIMITED”表示不限制。cps：第一个参数表示每秒处理的连接数，第二个参数表示如果连接数超过第一个参数时暂时停止连接请求的秒数。 比如： cps 100 10 per_source：单个IP允许的最大连接数。 五、VSFTPD服务vsftpd 是“very secure FTP daemon”的缩写，安全性是它的一个最大的特点。vsftpd 是一个 UNIX 类操作系统上运行的服务器的名字，它可以运行在诸如 Linux、BSD、Solaris、 HP-UNIX等系统上面，是一个完全免费的、开放源代码的ftp服务器软件，支持很多其他的 FTP 服务器所不支持的特征。比如：非常高的安全性需求、带宽限制、良好的可伸缩性、可创建虚拟用户、支持IPv6、速率高等。 1.修改ftp端口ftp服务默认端口是21，通常情况修改成自定义端口会更加安全。 第一步：使用命令vi /etc/service找到ftp，将默认21端口号改成自定义端口号，比如8021。 第二步：vi /etc/vsftpd/vsftpd.conf 如果文件中有Listen_port=21，则将21修改为8021，否则添加一行Listen_port=8021，最后重启服务service vsftpd restart 2.设置运行 vsftpd 的非特权系统用户为 pyftp vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 nopriv_user=pyftp 3.限制客户端连接的端口范围在 50000-60000 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 pasv_min_port=50000 pasv_max_port=60000 4.限制本地用户登录活动范围限制在 home 目录 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 chroot_local_user=YES 5.禁止指定用户登录ftpvsftpd服务通过配置文件/etc/vsftpd/ftpusers限制用户ftp连接服务器。在该文件中的用户都不能通过ftp登录服务器。每个被限制的用户名各占一行，该文件一般只能通过root用户维护。 如果用户名包含在该文件中，那么这个用户使用ftp连接服务器时，一般会报错User xxxxx access denied。为了让某用户能够通过ftp连接服务器，可以在/etc/vsftpd/ftpusers文件中注释掉或者删除该用户名。 [root@localhost vsftpd]# cat /etc/vsftpd/ftpusers # Users that are not allowed to login via ftp 以下用户不能登录ftp root bin daemon adm lp sync shutdown halt mail news uucp operator games nobody 6.vsftpd禁止匿名用户登录 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 anonymous_enable=NO 7.vsftpd禁止匿名用户上传 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 anon_upload_enable=NO 8.vsftpd禁止匿名用户创建目录的权限 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 anon_mkdir_write_enable=NO 9.vsftpd禁止匿名用户删除和重命名的权限 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 anon_other_write_enable=NO 10.vsftpd设置匿名用户掩码（设置本地用户创建文件的权限）如umask是022,这时创建一个权限为666的文件，文件的实际权限为666-022=644 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 anon_umask=022 11.vsftpd设置无任何操作的超时时间为5分钟 vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 #单位是秒 data_connection_timeout=300拓展： 主动模式连接超时时长，单位为秒 connect_timeout=300被动模式连接超时时长，单位为秒 accept_timeout=300数据连接无数据超时时长，单位为秒 data_connection_timeout=300无命令操作超时时长，单位为秒idle_session_timeout=300 12.vsftpd设置匿名用户访问的最大传输速率为512KB/S vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 anon_max_rate=512000 13.vsftpd设置用户访问的最大传输速率为1M vi /etc/vsftpd/vsftpd.conf在配置文件中添加如下一行代码 local_max_rate=1000000 六、HTTPD（Apache）服务Apache HTTP Server（简称Apache）是Apache软件基金会的一个开放源码的Web服务器软件。Linux安装httpd服务后，配置文件在/etc/httpd/conf/httpd.conf 注：配置文件的修改都需要重启服务才会生效。 1.更改默认监听端口为6666httpd服务默认端口是80 vi /etc/httpd/conf/httpd.conf Listen 6666 2.设置禁止目录浏览 vi /etc/httpd/conf/httpd.conf找到配置文件中Options Indexes FollowSymLinks将Indexes删除 Options FollowSymLinks Indexes表示若当前目录没有index.html就会显示目录结构。 3.隐藏Apache版本号 vi /etc/httpd/conf/httpd.conf添加如下代码 #隐藏Apache版本号 ServerTokens Prod #隐藏操作系统版本信息 ServerSignature OFF 4.将Apache服务降权，用户为apache，用户组为www vi /etc/httpd/conf/httpd.conf修改成如下 User apache Group www如果要修改网站的httpd服务为root权限 User root Group root 5.设置HTTP服务，修改网站的配置文件，配置滚动日志按天记录网站的访问日志和错误日志rotatelogs是apache自带的日志按日期生成的模块。 [root@localhost httpd]# find / -name rotatelogs /usr/sbin/rotatelogs vi /etc/httpd/conf/httpd.conf修改成如下 #ErrorLog logs/error_log #注释此行，添加下面这行 ErrorLog "|/usr/sbin/rotatelogs /var/log/httpd/error_log%Y%m%d.log 86400 480" #CustomLog logs/access_log common #CustomLog "logs/access_log" combined #注释上面两行，添加下面这行 CustomLog "|/usr/sbin/rotatelogs /var/log/httpd/access_log%Y%m%d.log 86400 480" common 七、BIND服务bind服务是全球范围内使用最广泛、最安全可靠且高效的域名解析（DNS）服务程序。 主配置文件/etc/named.conf：有效的参数用来定义bind服务程序的运行区域配置文件/etc/named.rfc1912.zones：用来保存域名和IP地址对应关系的所在文件路径，当需要查看和修改时，可根据这个位置找到相关文件。在这个文件中并没有包含具体的域名、IP地址对应关系等信息。数据配置文件目录/var/named：该目录用来保存域名和IP地址真实对应关系的数据配置文件。 1. 隐藏bind版本号 vi /etc/named.conf在配置文件中添加如下代码 options { directory "/var/named"; version "[no about your business]"; }; 2. 设置不提供递归服务 vi /etc/named.conf在配置文件中添加如下代码 options { allow-recursion { none; }; }; 八、文件系统 1.设置umask值设置默认的umask值，增强安全性。 vi /etc/profile添加行， umask 027即新创建的文件属主拥有读写执行权限，同组用户拥有读和执行权限，其他用户无权限。 九、防火墙策略保障数据的安全性是继保障数据的可用性之后最为重要的一项工作。防火墙作为公网与内网之间的保护屏障，在保障数据的安全性方面起着至关重要的作用。旧版本Linux操作系统防火墙命令用iptables，RHEL 7/8 中新增的firewalld命令。 iptables 服务把用于处理或过滤流量的策略条目称之为规则，多条规则可以组成一个规则链，而规则链则依据数据包处理位置的不同进行分类： 在进行路由选择前处理数据包（PREROUTING）处理流入的数据包（INPUT）处理流出的数据包（OUTPUT）处理转发的数据包（FORWARD）在进行路由选择后处理数据包（POSTROUTING）处理匹配流量动作： ACCEPT（允许流量通过）REJECT（拒绝流量通过）LOG（记录日志信息）DROP（拒绝流量通过）注意： DROP 是直接将流量丢弃而且不响应；REJECT 则会在拒绝流量后再回复一条“信息已经收到，但是被扔掉了”信息，从而让流量发送方清晰地看到数据被拒绝的响应信息。防火墙策略规则是按照从上到下的顺序匹配的，因此一定要把允许动作放到拒绝动作前面，否则所有的流量就将被拒绝掉，从而导致任何主机都无法访问我们的服务。iptables中常用的参数以及作用： 参数作用-P设置默认策略-F清空规则链-L查看规则链-A在规则链的末尾加入新规则-I num在规则链的头部加入新规则-D num删除某一条规则-s匹配来源地址 IP/MASK，加叹号“!”表示除这个 IP 外-d匹配目标地址-i 网卡名称匹配从这块网卡流入的数据-o 网卡名称匹配从这块网卡流出的数据-p匹配协议，如 TCP、UDP、ICMP- -dport num匹配目标端口号- -sport num匹配来源端口号 1.Linux系统使用iptables禁用23端口 iptables -A INPUT -p tcp --dport 23 -j DROP iptables -A INPUT -p udp --dport 23 -j DROP 2.Linux系统使用iptables禁止别人ping通直接丢弃 icmp 的请求包 iptables -A INPUT -p icmp --icmp-type echo-request -j DROP 3.为防止Nmap扫描软件探测到关键信息，设置iptables防火墙策略对3306号端口进行流量处理 iptables -A INPUT -s 172.16.1.1 -p 3306 -j DROP 4.为防止SSH服务被暴力枚举，设置iptables防火墙策略仅允许172.16.10.0/24网段内的主机通过SSH连接本机 iptables –A INPUT –p tcp –dport 22 –s 172.16.10.0/24 –j ACCEPT iptables –A INPUT –p tcp –dport 22 -j DROP 5.为防御IP碎片攻击，设置iptables防火墙策略限制IP碎片的数量，仅允许每秒处理1000个数据包 iptables -A FORWARD -f -m limit --limit 1000/s --limit-burst 1000 -j ACCEPT 6.设置防火墙允许本机转发除ICMP协议以外的所有数据包 iptables -A FORWARD -p ! icmp -j ACCEPT 7.为防御拒绝服务攻击，设置iptables防火墙策略对传入的流量进行过滤，限制每分钟允许3个包传入，并将瞬间流量设定为一次最多处理6个数据包（超过上限的网络数据包将丢弃不予处理） iptables -A INPUT -m limit --limit 3/minute --limit-burst 6 -j ACCEPT 8.只允许转发来自172.16.0.0/24局域网段的DNS解析请求数据包。 iptables -A FORWARD -s 172.16.0.0/24 -p udp --dport 53 -j ACCEPT iptables -A FORWARD -d 172.16.0.0/24 -p udp --sport 53 -j ACCEPT 9.禁止转发来自MAC地址为29:0E:29:27:65:EF主机的数据包 iptables -A FORWARD -m mac --mac-source 29:0E:29:27:65:EF -j DROP 10.禁止本机ping任何机器直接丢弃流出icpm数据包 iptables -A OUTPUT -p icmp --icmp-type echo-request -j DROP 11.在工作时间，即周一到周五的8:30-18:00，开放本机的ftp给192.168.1.0/24网络中的主机访问 iptables -A INPUT -p tcp --dport 21 -s 192.168.1.0/24 -m time --weekdays 1,2,3,4,5 --timestart 08:30 --timestop 18:00 -j ACCEPT 12.设置防火墙允许本机对外开放TCP端口21以及被动模式FTP端口1250-1280 iptables -A INPUT -p tcp -m multiport --dport 21,1250:1280 -j ACCEPT 13.禁止转发源IP地址为192.168.1.20-192.168.1.99的TCP数据包 iptables -A FORWARD -p tcp -m iprange --src-range 192.168.1.20-192.168.1.99 -j DROP 14.拒绝TCP标志位全部为1及全部为0的报文访问本机 iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP iptables -A OUTPUT -p tcp --tcp-flags ALL NONE -j DROP 15.配置iptables防火墙过滤规则，以封堵目标网段（172.16.1.0/24），并在两小时后解除封锁 iptables -I INPUT -s 172.16.1.0/24 -j DROP iptables -I FORWARD -s 172.16.1.0/24 -j DROP at now +2 hours at> iptables -D INPUT 1 at> iptables -D FORWARD 1 16.在工作时间，即周一到周五的8:30-18:00，开放本机的ftp服务给 192.168.1.0网络中的主机访问要求从ftp服务的数据下载请求次数每分钟不得超过 5 个 iptables -A INPUT -s 172.16.0.0/16 -d 192.168.1.111 -p tcp --dport 21 -m time --timestart 8:30 --timestop 18:00 --weekdays 1,2,3,4,5 -m connlimit --connlimit-upto 5 -j ACCEPT 17.拒绝访问防火墙的新数据包，但允许响应连接或与已有连接相关的数据包 iptables -A INPUT -p tcp -m state --state NEW -j DROP iptables -A INPUT -p tcp -m state --state ESTABLSHED,RELATED -j ACCEPT 十、Mysql数据库安全策略Mysql基础命令 1.root用户登录 mysql -u root -p2.查看所有数据库 show databases;3.使用某个数据库 use 数据库名;4.查看表（前提是先进入某个数据库） show tables;5.查看表结构 describe 表名;6.删除某个数据库 drop database 数据库名;7.新建Mysql用户 create user '用户名'@'localhost' identified by '密码';8.查看Mysql用户表 select user,host from mysql.user;9.删除Mysql用户 drop user '用户名'@'localhost';10.刷新权限(例如你改了某个用户密码或者设置某些权限可以刷新) flush privileges;11.查找某表中的所有记录（表在数据库库中） select * from 表名;12.创建数据库（数据库不存在则创建） create database if not exists 数据库名称; 例题： 1.以普通帐户mysql安全运行mysql服务，禁止mysql以管理员帐号权限运行在 /etc/my.cnf 配置文件中进行设置 vi /etc/my.cnf [mysql.server] user=mysql 2.删除默认数据库(test) drop database test 3.改变默认mysql管理员用户为:SuperRoot update user set user="SuperRoot" where user="root"; 4.使用mysql内置MD5加密函数加密用户user1的密码为(P@ssw0rd1!) update user set password=md5(password) where user="user1"; 十一、Nginx安全策略Nginx (engine x) 是一个高性能的HTTP和反向代理web服务器，同时也提供了IMAP/POP3/SMTP服务。 /etc/nginx/nginx.conf 安装后默认配置文件的路径 /usr/share/nginx/html nginx网站默认存放目录 /usr/share/nginx/html/index.html 网站默认主页路径 1.禁止目录浏览和隐藏服务器版本和信息显示 vi /etc/nginx/nginx.conf添加如下代码 server tokens off; 2.限制 HTTP 请求方式，只允许 GET、HEAD、POST vi /etc/nginx/conf.d/default.conf添加如下代码 server { if ($request_method !~ ^(GET|HEAD|POST)$){ return 501; } } 3.设置客户端请求主体读取超时时间为 10 vi /etc/nginx/nginx.conf添加如下代码 client_body_timeout 10; 4.设置客户端请求头读取超时时间为 10 vi /etc/nginx/nginx.conf添加如下代码 client_header_timeout 10; 5.将 Nginx 服务降权，使用 www 用户启动服务 vi /etc/nginx/nginx.conf添加如下代码 user www www; |
今日新闻 |
点击排行 |
|
推荐新闻 |
图片新闻 |
|
专题文章 |
| CopyRight 2018-2019 实验室设备网 版权所有 win10的实时保护怎么永久关闭 |