linux加固

①>账号

1. 验证空口令
awk -F: '($2=="") {print $1}' /etc/shadow
验证uid=0的账户（root权限）
cat /etc/passwd | awk -F: '($3==0) {print $1}'

2. 密码长度和有效期的检验
PASS_MAX_DAYS 密码有效期 推荐90天
cat /etc/login.defs | grep PASS_MAX_DAYS PASS_MIN_DAYS 修改密码的最短期限 推荐2天
cat /etc/login.defs | grep PASS_MIN_DAYS PASS_MIN_LEN 密码的最小长度 推荐8位
cat /etc/login.defs | grep PASS_MIN_LEN PASS_WARN_AGE 密码过期提醒 推荐7天
cat /etc/login.defs | grep PASS_WARN_AGE

3. 密码复杂度
推荐：至少包含大、小写、数字、特殊字符中的最少两种
cat /etc/pam.d/system-auth | grep password
unutun系统路径：cat /etc/pam.d/common-auth | grep password
修改为如下配置：
password requisite pam_cracklib.so minlen=8 difok=5 dcredit=-1 lcredit=-1 ucredit=-1 ocredit=-1 password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=5
try_first_pass 防止新设置的密码和旧密码相同 minlen=8 最小长度 difok=5 新密码、旧密码至少有5个字符不同 dcredit=-1 最少1个数字 lcredit=-1 最少一个小写字母 ucredit=-1 最少一个大写字母 ocredit=-1 最少一个特殊字符 retry=1 几次登录失败后返回错误信息 type=xxx 用来修改默认的密码提示文本信息

4. 会话超时
推荐：5分钟
echo "export TMOUT=300">>/etc/profile

5. 防DNS欺骗（ip地址和主机名不匹配）
echo "nospoof on">>/etc/host.conf

6. 限制指定用户组的用户可通过su且为root
查找命令
cat /etc/pam.d/system-auth | grep auth | grep required
查找是否有以下输出，含义为：仅允许wheel组用户可通过su登录至root
auth required pam_wheel.so user_uid
wheel组在group文件中排第10位，以下命令添加用户
usermod -G10 zhangsan 将zhangsan用户加到wheel组

7. 查看是否存在suid和gid
find / -perm -u=s -type f 2>/dev/null find / -perm -g=s -type f 2>/dev/null

②>系统访问和授权

1. crontab
仅允许管理员（组），操作
chown root:root /etc/crontab
chown root:root /var/spool/cron
chown root:root /etc/cron.*
仅管理员root有读的权限 chmod 400 /etc/crontab
chmod跟随用户可给适当权限/etc/crontab

2. 守护进程，掩码
/etc/bashrc /etc/profile 在上述文件的末尾增加umask 027，解释见chatgpt代码块

3. 修改常用服务的默认端口

4. 查看、关闭未知、不必要的服务
service --status-all#查看所有服务

5. 设置history命令时间戳
echo 'export HISTTIMEFORMAT="%F %T whoami "' >> /etc/profile
source /etc/profile
之后输入history查看是否成功

6. 设置登录失败锁定
cat /etc/pam.d/system-auth | grep auth | grep required
修改或添加
auth required pam_tally2.so deny=5 even_deny_root unlock_time=1800 root_unlock_time=1800

7. 禁止root用户通过ssh远程登录
cat /etc/ssh/sshd_config |grep PermitRootLogin
修改为no即可

8. ssh其他配置（sshd_config）
禁止空密码登录：PermitEmptyPasswords no
禁止ssh端口转发：
AllowTcpForwarding no GatewayPorts no

9. 隐藏操作系统版本信息
sudo sh -c 'echo "" > /etc/issue.net && echo "" > /etc/issue'

10. 最大文件打开数
设定所有用户的文件描述符（file descriptor）的软限制和硬限制为65535
echo "* soft nofile 65535" >> /etc/security/limits.conf echo "* hard nofile 65535" >> /etc/security/limits.conf

11. 用户最大进程数
修改unlimited为65535以下
echo -e "root soft nproc 65535\nroot hard nproc 65535\n* soft nproc 65535\n* hard nproc 65535" | sudo tee /etc/security/limits.d/20-nproc.conf

③>linux杀毒工具

windows安全加固

一、身份鉴别

1.1用户必须使用用户名密码

1.2登录失败，登录超时等

1.3使用安全的远程管理方式

二、用户权限，用户组方面

2.1登录用户需分配合适的权限账号

2.2重命名默认账户和默认口令

2.3急需时删除或停用过期、多余账户，禁止|避免共享账户的存在

2.4用户权限最小化

2.4不显示上次登录

三、安全审计

3.1开启日志记录

3.2保证日志的的记录足够详细

3.3定期对日志进行备份

四、入侵防范

4.1关闭不需要的服务，默认共享的高危端口

4.2 防止syn

五、杀软

六、数据备份

七、资源控制

7.1限制远程登录空闲断开时间

7.2禁用为登陆前关机