Linux/unix安全优化的讨论与案例分享（获奖名单已公布）

king_819

晕哦，网络太慢，刷新了几下就发了多条，不是故意刷屏的哈   :wink:

love4u

楼主的方法对防止来自网络层的攻击来说，是一个比较好的思路。

Shell_HAT

账号密码安全：
1、每个人有自己的独立账号，不允许共享账号。
2、删除没有用处的系统默认账号和组。
3、有明确的流程来保证用户离职之后尽快删除对应的账号。
4、设置足够的密码复杂度策略：大写字母、小写字母、数字、特殊字符等。
5、每个月或每个季度只要更改一次密码。
6、八次之内密码不能重复使用。
7、三次连续输错密码就锁定账号。
8、限制su、sudo等命令的使用。

Shell_HAT

账号密码安全：
1、每个人有自己的独立账号，不允许共享账号。
2、删除没有用处的系统默认账号和组。
3、有明确的流程来保证用户离职之后尽快删除对应的账号。
4、设置足够的密码复杂度策略：大写字母、小写字母、数字、特殊字符等。
5、每个月或每个季度只要更改一次密码。
6、八次之内密码不能重复使用。
7、三次连续输错密码就锁定账号。
8、限制su、sudo等命令的使用。

Shell_HAT

文件系统安全：
1、保护好passwd、shadow、inetd.conf等敏感文件的权限。
2、定期检查并删除不必要的权限为777的文体。
3、定期检查并删除不必要的设置了suid或sgid的文体。
4、使用chattr保护重要文件。
5、在可能的情况下，设置为只读模式。

Shell_HAT

文件系统安全：
1、保护好passwd、shadow、inetd.conf等敏感文件的权限。
2、定期检查并删除不必要的权限为777的文体。
3、定期检查并删除不必要的设置了suid或sgid的文体。
4、使用chattr保护重要文件。
5、在可能的情况下，设置为只读模式。

Shell_HAT

远程登陆安全：
1、禁止root用户远程登陆。
2、指定时间内无操作自动超时退出。
3、修改ssh默认端口。
4、保护好ssh的私钥、公钥
5、只允许指定的IP或者网段登陆。
6、使用原版的PuTTY、SerureCRT等软件，禁止使用汉化版、精简版、绿色版等。
7、使用banner和prompt避免登错机器。

Shell_HAT

远程登陆安全：
1、禁止root用户远程登陆。
2、指定时间内无操作自动超时退出。
3、修改ssh默认端口。
4、保护好ssh的私钥、公钥
5、只允许指定的IP或者网段登陆。
6、使用原版的PuTTY、SerureCRT等软件，禁止使用汉化版、精简版、绿色版等。
7、使用banner和prompt避免登错机器。

Shell_HAT

日志安全：
1、定期备份日志。
2、架设远程日志主机，防止恶意用户打扫痕迹。

Shell_HAT

服务安全：
1、关闭不需要的服务，尤其是网络相关的服务。
2、禁止非必须的服务自动启动。
3、禁止FTP匿名访问。
4、使用vsftp、proftpd等取代系统自带的FTP。