Linux/unix安全优化的讨论与案例分享（获奖名单已公布）

king_819

回复 17# dooros

弱口令是大忌，这个必须引起重视，至于系统层的漏洞溢出、提权事件也时有发生，所以要引起我们的注意，防患于未然


   

king_819

回复 18# dooros


   安全是相对的，还得看实际的需求，安全级别要达到什么程度，在我们实际生产环境中，对freebsd系统内核 进行优化后，性能、安全性上有很大的提升

king_819

回复 19# gilet


    sudo对于权限的分配要合理，不然会给后期的维护带来很多麻烦

gilet

回复 23# king_819


    我不用sudo，也不建议我的同事用，这是个怪东西

dooros

sudo这东西，我在服务器上也没用。

king_819

iptables防护脚本，编译内核的时候要加上iptables的相关模块，如connlimit、recent

1. #echo "Starting kerryhu-iptables rules..."
   
2. #!/bin/bash
   
3. #this is a common firewall created by 2010-3-27
   
4. 
   
5. #define some variable
   
6. IPT=/sbin/iptables
   
7. CONNECTION_TRACKING="1"
   
8. INTERNET="eth0"
   
9. CLASS_A="10.0.0.0/8"
   
10. CLASS_B="172.16.0.0/12"
    
11. CLASS_C="192.168.0.0/16"
    
12. CLASS_D_MULTICAST="224.0.0.0/4"
    
13. CLASS_E_RESERVED_NET="240.0.0.0/5"
    
14. BROADCAST_SRC="0.0.0.0"
    
15. BROADCAST_DEST="255.255.255.255"
    
16. LOOPBACK_INTERFACE="lo"
    
17. 
    
18. #Remove any existing rules
    
19. $IPT -F
    
20. $IPT -X
    
21. 
    
22. #setting default firewall policy
    
23. $IPT --policy OUTPUT ACCEPT
    
24. $IPT --policy FORWARD DROP
    
25. $IPT -P INPUT DROP
    
26. 
    
27. 
    
28. #stop firewall
    
29. if [ "$1" = "stop" ]
    
30. then
    
31. echo "Filewall completely stopped!no firewall running!"
    
32. exit 0
    
33. fi
    
34. 
    
35. #setting for loopback interface
    
36. $IPT -A INPUT -i lo -j ACCEPT
    
37. $IPT -A OUTPUT -o lo -j ACCEPT
    
38. 
    
39. # Stealth Scans and TCP State Flags
    
40. # All of the bits are cleared
    
41. $IPT -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
    
42. # SYN and FIN are both set
    
43. $IPT -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
    
44. # SYN and RST are both set
    
45. $IPT -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
    
46. # FIN and RST are both set
    
47. $IPT -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
    
48. # FIN is the only bit set, without the expected accompanying ACK
    
49. $IPT -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP
    
50. # PSH is the only bit set, without the expected accompanying ACK
    
51. $IPT -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP
    
52. # URG is the only bit set, without the expected accompanying ACK
    
53. $IPT -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP
    
54. 
    
55. # Using Connection State to By-pass Rule Checking
    
56. if [ "$CONNECTION_TRACKING" = "1" ]; then
    
57.     $IPT -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
    
58.     $IPT -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
59.     $IPT -A INPUT -m state --state INVALID -j DROP
    
60.     $IPT -A OUTPUT -m state --state INVALID -j DROP
    
61. fi
    
62. 
    
63. ##################################################################
    
64. # Source Address Spoofing and Other Bad Addresses
    
65. 
    
66. # Refuse spoofed packets pretending to be from
    
67. # the external interface.s IP address
    
68. 
    
69. # Refuse packets claiming to be from a Class A private network
    
70. $IPT -A INPUT  -i $INTERNET -s $CLASS_A -j DROP
    
71. 
    
72. # Refuse packets claiming to be from a Class B private network
    
73. $IPT -A INPUT  -i $INTERNET -s $CLASS_B -j DROP
    
74. 
    
75. # Refuse packets claiming to be from a Class C private network
    
76. $IPT -A INPUT  -i $INTERNET -s $CLASS_C -j DROP
    
77. 
    
78. $IPT -A INPUT -i $INTERNET -s 0.0.0.0/8 -j DROP
    
79. $IPT -A INPUT -i $INTERNET -s 169.254.0.0/16 -j DROP
    
80. $IPT -A INPUT -i $INTERNET -s 192.0.2.0/24 -j DROP
    
81. ###################################################################
    
82. #setting access rules
    
83. 
    
84. #也可以对出站的诅求做一些严格的控制
    
85. #时钟同步
    
86. #$IPT -A OUTPUT -d 192.43.244.18 -j ACCEPT
    
87. #允许ping出
    
88. #$IPT -A OUTPUT -p icmp -j ACCEPT
    
89. #$IPT -A OUTPUT -o $INTERNET -p udp  --dport 53 -j ACCEPT
    
90. #$IPT -A OUTPUT -o $INTERNET -p tcp  --dport 80 -j ACCEPT
    
91. #$IPT -A INPUT -i $INTERNET -p tcp -m mac --mac-source 00:02:3F:EB:E2:01  --dport 22 -j ACCEPT
    
92. $IPT -A INPUT -i $INTERNET -p tcp -s 192.168.9.201 --dport 65535 -j ACCEPT
    
93. $IPT -A INPUT -i $INTERNET -p tcp  --dport 443 -j ACCEPT
    
94. $IPT -A INPUT -i $INTERNET -p tcp  --dport 80 -j ACCEPT
    
95. #限制连往本机的web服务，单个IP的并发连接不超过30个，超过的被拒绝
    
96. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m connlimit --connlimit-above 30 -j REJECT
    
97. #限制连往本机的web服务，单个IP在60秒内只允许最多新建30个连接，超过的被拒绝
    
98. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT
    
99. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT
    
100. #限制连往本机的web服务，1个C段的IP的并发连接不超过100个，超过的被拒绝
     
101. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m iplimit --iplimit-above 100 --iplimit-mask 24 -j REJECT   
     
102. #$IPT -A INPUT -i $INTERNET -p tcp -s 127.0.0.1 --dport 3306 -j ACCEPT
     
103. #$IPT -A INPUT -i $INTERNET -p udp  --dport 123 -j ACCEPT

复制代码

蓝色虫

原来我一直用debian和freeBSD

做好后还要挨个检查各tcp和udp端口，效率较低，不合当前的客户公司安全规程

当然，我又换了一个系统，需要什么端口就开，不费什么心，也不怕黑客来黑网络

king_819

蓝色虫 发表于 2012-03-08 18:19
原来我一直用debian和freeBSD

做好后还要挨个检查各tcp和udp端口，效率较低，不合当前的客户公司安全规程 ...

挨个检查各tcp和udp端口？？？

king_819

晕哦，网络太慢，刷新了几下就发了多条，不是故意刷屏的哈   :wink:

love4u

楼主的方法对防止来自网络层的攻击来说，是一个比较好的思路。