Linux/unix安全优化的讨论与案例分享（获奖名单已公布）

chenyx

另外,ssh服务应该加固,ssh协议只用协议2,采用key的方式登录,禁止密码登陆以及root登陆,除了key方式以外的认证方式一律禁止.

king_819

    先来贴一个关于freebsd系统的内核优化，freebsd系统相对于linux类的系统，内核已经算是很简洁了，但为了发挥它高效的性能，所以决定再对它的内核进行精简

一、内核编译

   优化内核，去掉不用的组件及设备驱动，以提高系统效率，首先使用uname -a查看本机的内核详细版本，使用dmesg查看

本机所有的硬件信息，并进行相应的记录，后续编辑内核文件时要用到

1.安装CVSUP:

最好在安装时装好cvsup;
freebsd# cd /usr/ports/net/cvsup-without-gui/
freebsd# make install clean

2.升级源码:

freebsd# ee /usr/share/examples/cvsup/stable-supfile
把:
default host=CHANGE_THIS.FreeBSD.org
改为:
default host=cvsup.FreeBSDchina.org
src-all
freebsd# ee /usr/share/examples/cvsup/ports-supfile
把:
default host=CHANGE_THIS.FreeBSD.org
改为:
default host=cvsup.FreeBSDchina.org
freebsd# cvsup -g -L 2 /usr/share/examples/cvsup/stable-supfile
或者  csup -g -L 2 /usr/share/examples/cvsup/stable-supfile
freebsd# cvsup -g -L 2 /usr/share/examples/cvsup/ports-supfile
freebsd# cd /usr/obj
freebsd# chflags -R noschg *
freebsd# rm -rf *

3.重新编译源码和内核

freebsd# cd /usr/src/sys/amd64(或i386---32位与64位，分别选择相应的)/conf/
freebsd# mkdir /root/kernels
freebsd# cp GENERIC /root/kernels/MYKERNEL
freebsd# cd /usr/src
freebsd# ln -s /root/kernels/MYKERNEL
freebsd# make buildworld    //编译所有的系统程序
freebsd# make buildkernel KERNCONF=MYKERNEL   //编译新的系统核心
freebsd# reboot
freebsd# make installkernel KERNCONF=MYKERNEL  //安裝新的系统核心
freebsd# make installworld   //安装新的系统程序
freebsd# reboot
重启系统用uname -a查看编辑后的内核是否是自己定制的内核；


编辑内核文件要注意的地方
device  em    # Broadcom BCM570xx Gigabit Ethernet  //加载网卡,一定要慎重，特别是远程
如果不确定网卡型号，可用dmesg |less 查看

如新内核有问题，可以还的原内核文件
mv /boot/kernel /boot/kernel.bak
mv /boot/kernel.old /boot/kernel

4、附上生产环境中优化后的内核文件：

1. cpu  I686_CPU
   
2. ident  MYKERNE
   
3. 
   
4. device          pf
   
5. device          pflog
   
6. device          pfsync
   
7. options         ALTQ
   
8. options         ALTQ_CBQ
   
9. options         ALTQ_RED
   
10. options         ALTQ_RIO
    
11. options         ALTQ_HFSC
    
12. options         ALTQ_PRIQ
    
13. options         ALTQ_NOPCC
    
14. options         SC_DISABLE_REBOOT
    
15. 
    
16. options         IPFIREWALL                           
    
17. options         IPFIREWALL_DEFAULT_TO_ACCEPT         
    
18. options         DUMMYNET                              
    
19. options         HZ=1000
    
20. 
    
21. options   IPSEC        #IP security
    
22. device    crypto
    
23. 
    
24. options  SCHED_ULE  # ULE scheduler
    
25. options  PREEMPTION  # Enable kernel thread preemption
    
26. options  INET   # InterNETworking
    
27. options  SCTP   # Stream Control Transmission Protocol
    
28. options  FFS   # Berkeley Fast Filesystem
    
29. options  SOFTUPDATES  # Enable FFS soft updates support
    
30. options  UFS_ACL   # Support for access control lists
    
31. options  UFS_DIRHASH  # Improve performance on big directories
    
32. options  UFS_GJOURNAL  # Enable gjournal-based UFS journaling
    
33. options  MD_ROOT   # MD is a potential root device
    
34. options  PROCFS   # Process filesystem (requires PSEUDOFS)
    
35. options  PSEUDOFS  # Pseudo-filesystem framework
    
36. options  COMPAT_43TTY  # BSD 4.3 TTY compat [KEEP THIS!]
    
37. options  SCSI_DELAY=5000  # Delay (in ms) before probing SCSI
    
38. options  KTRACE   # ktrace(1) support
    
39. options  STACK   # stack(9) support
    
40. options  SYSVSHM   # SYSV-style shared memory
    
41. options  SYSVMSG   # SYSV-style message queues
    
42. options  SYSVSEM   # SYSV-style semaphores
    
43. options  P1003_1B_SEMAPHORES # POSIX-style semaphores
    
44. options  _KPOSIX_PRIORITY_SCHEDULING # POSIX P1003_1B real-time extensions
    
45. options  KBD_INSTALL_CDEV # install a CDEV entry in /dev
    
46. options  ADAPTIVE_GIANT  # Giant mutex is adaptive.
    
47. options  STOP_NMI  # Stop CPUS using NMI instead of IPI
    
48. options  AUDIT   # Security event auditing
    
49. 
    
50. # To make an SMP kernel, the next two lines are needed
    
51. options  SMP   # Symmetric MultiProcessor Kernel
    
52. device  apic   # I/O APIC
    
53. 
    
54. # CPU frequency control
    
55. device  cpufreq
    
56. 
    
57. # Bus support.
    
58. device  eisa
    
59. device  pci
    
60. 
    
61. # SCSI Controllers
    
62. device  mpt  # LSI-Logic MPT-Fusion
    
63. device  scbus  # SCSI bus (required for SCSI)
    
64. device  ch  # SCSI media changers
    
65. device  da  # Direct Access (disks)
    
66. device  pass  # Passthrough device (direct SCSI access)
    
67. device  ses  # SCSI Environmental Services (and SAF-TE)
    
68. 
    
69. # atkbdc0 controls both the keyboard and the PS/2 mouse
    
70. device  atkbdc  # AT keyboard controller
    
71. device  atkbd  # AT keyboard
    
72. device  psm  # PS/2 mouse
    
73. 
    
74. device  vga  # VGA video card driver
    
75. 
    
76. device  splash  # Splash screen and screen saver support
    
77. 
    
78. # syscons is the default console driver, resembling an SCO console
    
79. device  sc
    
80. 
    
81. device  agp  # support several AGP chipsets
    
82. 
    
83. # Power management support (see NOTES for more options)
    
84. #device  apm
    
85. # Add suspend/resume support for the i8254.
    
86. device  pmtimer
    
87. 
    
88. # PCI Ethernet NICs that use the common MII bus controller code.
    
89. # NOTE: Be sure to keep the 'device miibus' line in order to use these NICs!
    
90. device  miibus  # MII bus support
    
91. device  em
    
92. device  le  # Broadcom BCM570xx Gigabit Ethernet
    
93. 
    
94. 
    
95. # Pseudo devices.
    
96. device  loop  # Network loopback
    
97. device  random  # Entropy device
    
98. device  ether  # Ethernet support
    
99. device  tun  # Packet tunnel.
    
100. device  pty  # Pseudo-ttys (telnet etc)
     
101. device  md  # Memory "disks"
     
102. device  gif  # IPv6 and IPv4 tunneling
     
103. device  bpf  # Berkeley packet filter
     
104. 
     
105. # USB support
     
106. device  uhci  # UHCI PCI->USB interface
     
107. device  ohci  # OHCI PCI->USB interface
     
108. device  ehci  # EHCI PCI->USB interface (USB 2.0)
     
109. device  usb  # USB Bus (required)
     
110. device  ukbd  # Keyboard

复制代码

king_819

chenyx 发表于 2012-03-08 15:13
另外,ssh服务应该加固,ssh协议只用协议2,采用key的方式登录,禁止密码登陆以及root登陆,除了key方式以外的认 ...

ssh用key认证，再配合上sudo

king_819

chenyx 发表于 2012-03-08 15:13
另外,ssh服务应该加固,ssh协议只用协议2,采用key的方式登录,禁止密码登陆以及root登陆,除了key方式以外的认 ...

ssh用key认证，再配合上sudo

chenyx

回复 14# king_819


    sudo,不是sodu

king_819

回复 15# chenyx

呵呵。。打反了


   

dooros

目前遇到的安全问题，大都集中在弱口令上。
高端的黑客攻击基本没遇到过，内核提权之类的也没遇到过。

dooros

自己编译的内核需要及时关注内核的安全更新，毕竟防患于未然。性能有提升，但增加了维护的工作量。

gilet

ssh更改端口，用key登录
sudo感觉就是个怪东西

king_819

chenyx 发表于 2012-03-08 15:07
系统安全,有个原则,就是只开放必要的端口,其他的端口一律不开放.比如一个web服务,我们只开放22和80端口

这个防护还不够严格