Linux/unix安全优化的讨论与案例分享（获奖名单已公布）

Shell_HAT

引导安全：
1、设置BIOS密码。
2、设置grub密码。
3、设置lilo密码。

Shell_HAT

资源安全：
1、磁盘配额。
2、最大进程数。
3、内存数量。

Shell_HAT

网络安全：
1、使用防火墙。
2、使用入侵检测系统。

send_linux

Shell_HAT 发表于 2012-03-08 22:18
账号密码安全：
1、每个人有自己的独立账号，不允许共享账号。
2、删除没有用处的系统默认账号和组。

这是刷屏啊，嘿嘿

dengbao2001

好礼品，好活动，支持一个！

king_819

回复 43# Shell_HAT

Shell_HAT老大从帐号安全、文件系统安全、登录安全、日志安全、引导安全、服务器安全、资源安全到网络安全分解的很详细，条理清晰，如果有实际的配置案例就更好，对于一般的运维人员更有引导和帮忙作用

   

king_819

回复 44# send_linux


    昨天感觉网络有些问题，提交回复的时候没反应，刷新一下就变成两条了

king_819

看到一个不错的审计系统（audit），贴上来与大家分享下

规则添加：
1 添加文件监视：
该规则能监视文件被读、写、执行、修改文件属性的操作，并记录
auditctl -w /etc/passwd -p rwax
上述命令记录/etc/passwd 被读、写、执行修改属性的操作
2 系统调用入口监视（entry链表）
该规则在进入系统调用的时候触发，记录此时的执行上下文
auditctl -a entry,always -F UID=root -S mkdir
上述命令记录uid为root的用户调用mkdir系统调用的情况
3 系统调用出口（exit链表）
同系统调用入口规则，不同的是在退出系统调用的时候被触发
4 任务规则（task表）
该规则在调用fork（） 或者clone（）产生新进程的时候触发，因此，该规则适用的“域”仅仅是此时可见的，例如uid gid pid 等等。（参见man auditctl和这里
auditctl -a task,always -F uid=root

5 可信应用程序规则（user表）
按照各种资料上的说法，这里的user表是用来过滤消息的，内核传递给审计后台进程之前先查询这个表。
但是，不管怎么设置规则都达不到这个效果。如下：
auditctl -a user,always -F uid=root
添加上述规则，发现root的行为被记录。这样添加规则还是被记录：
auditctl -a user,never -F uid=root
后来发现我的CentOS里面system-config-audit上面，该链表被命名为“可信应用程序”。受此启发写了个小程序，向审计内核里写消息，发现这样的消息被过滤了。
这点需要进一步验证。

6 过滤规则（exclude表）
这个表是用来过滤消息的，也就是不想看到的消息可以在这里写规则进行过滤。
例如：不想看到用户登陆类型的消息，可以如下添加规则：
auditctl -a exclude,always -F msgtype=USER_LOGIN
这里过滤是以“消息类型”为对象的。

dengbao2001

安全是一个相对，持续的过程。

楼上的朋友提到了这点，审计很重要，外资企业目前这块非常重视。

我们目前应用了Arcsight这套系统，感觉还不错，说两家目前的感受

1. 我们企业用McAfee企业版产品，如果遇到无法清除，或者清除失败的病毒，Arcsigh第一时间马上邮件报警

2.一台电脑反复感染一种病毒(我目前不知道阀值是多少)会收到告警

之前看到一个帖子，不要使用共享账号，这点其实非常重要，有利于排除账号使用情况。


3.修改服务器上设定会告警：有一次我编辑了一个GPO，虽然内容与以前一样，没过几分钟，邮件来了，安全Team就开始问了，干啥干啥的。呵呵

king_819

dengbao2001 发表于 2012-03-09 11:32
安全是一个相对，持续的过程。

楼上的朋友提到了这点，审计很重要，外资企业目前这块非常重视。

先期预警和后期审计是很重要的，但预警阀值一定要设计合理，不然告警短信吵到你耳鸣


对于同一台服务器多用户管理，权限一定要设置合理，后期间行为审计也是有必要的