《Linux網(wǎng)絡(luò)操作系統(tǒng)（CentOS 6.5）》課件-3-1-4 CentOS 6.5的安全配置

Linux網(wǎng)絡(luò)操作系統(tǒng)（CentOS）CentOS的安全配置任務(wù)目標(biāo)CentOS6.5系統(tǒng)安裝完畢后，涉及到安全的一些參數(shù)的默認(rèn)值都是比較保守的，因此可以通過(guò)禁用不必要的服務(wù)、重置防火墻規(guī)則等方式，來(lái)提高系統(tǒng)的安全性，更好的發(fā)揮系統(tǒng)的可用性。查看系統(tǒng)安全記錄文件涉及系統(tǒng)登錄、賬號(hào)修改、用戶(hù)組修改、遠(yuǎn)程登錄、網(wǎng)絡(luò)連接等安全情況的記錄均會(huì)保存在文件“/var/log/secure”中，因此定期查閱文件內(nèi)容，可以針對(duì)潛在的安全問(wèn)題采取相應(yīng)的對(duì)策。修改用戶(hù)登錄密碼強(qiáng)制性要求用戶(hù)登錄密碼是Linux安全的基礎(chǔ)。CentOS6.5的默認(rèn)登錄密碼長(zhǎng)度要求為5位，很容易被人破解，因此可以在系統(tǒng)中強(qiáng)制要求用戶(hù)設(shè)置足夠長(zhǎng)度的登錄密碼，確保不被輕易破解。刪除多余用戶(hù)和用戶(hù)組安裝完操作系統(tǒng)后，會(huì)發(fā)現(xiàn)除了超級(jí)用戶(hù)之外，還有很多偽用戶(hù)及其用戶(hù)組。應(yīng)該禁止所有默認(rèn)的被操作系統(tǒng)本身啟動(dòng)但不必要的賬號(hào)，如：games、operator、news、sync等，因?yàn)橘~號(hào)越多系統(tǒng)就越容易受到攻擊。防止非授權(quán)用戶(hù)獲取密碼文件權(quán)限chattr命令的基本格式如下：chattr選項(xiàng)參數(shù)常用選項(xiàng)如下：-R：遞歸處理，將指令目錄下的所有文件及子目錄一并處理。-v<版本編號(hào)>：設(shè)置文件或目錄版本。-V：顯示指令執(zhí)行過(guò)程。+<屬性>：開(kāi)啟文件或目錄的該項(xiàng)屬性。-<屬性>：關(guān)閉文件或目錄的該項(xiàng)屬性。=<屬性>：指定文件或目錄的該項(xiàng)屬性。關(guān)閉重啟Ctrl+Alt+Delete組合鍵在文件“/etc/init/control-alt-delete.conf”中編輯。關(guān)閉SELinuxSELinux是以犧牲系統(tǒng)服務(wù)和驅(qū)動(dòng)程序的兼容性來(lái)提高系統(tǒng)安全性。在SELinux沒(méi)有設(shè)置為“permissive”或“disabled”的情況下，有些應(yīng)用程序運(yùn)行時(shí)可能會(huì)被拒絕，導(dǎo)致無(wú)法正常運(yùn)行的情況，例如：如果對(duì)一個(gè)文件沒(méi)有正確安全上下文配置，甚至root用戶(hù)也不能啟動(dòng)某服務(wù)。因此，絕大多數(shù)情況下，安裝完CentOS6.5后，可以將SELinux關(guān)閉，保證系統(tǒng)服務(wù)和驅(qū)動(dòng)程序的兼容性。重置防火墻規(guī)則iptables命令可以查看、添加、修改、刪除防火墻規(guī)則，其基本格式如下：iptables[-t表名]命令選項(xiàng)[鏈名][條件匹配][-j目標(biāo)動(dòng)作或跳轉(zhuǎn)]常用命令選項(xiàng)如下：-A：在指定鏈的末尾添加（append）一條新的規(guī)則。-D：刪除（delete）指定鏈中的某一條規(guī)則，可以按規(guī)則序號(hào)和內(nèi)容刪除。-I：在指定鏈中插入（insert）一條新的規(guī)則，默認(rèn)在第一行添加。-R：修改、替換（replace）指定鏈中的某一條規(guī)則，可以按規(guī)則序號(hào)和內(nèi)容替換。-L：列出（list）指定鏈中所有的規(guī)則進(jìn)行查看-F：清空（flush）。-N：新建（new-chain）一條用戶(hù)自己定義的規(guī)則鏈。-X：刪除指定表中用戶(hù)自定義的規(guī)則鏈（delete-chain）。-P：設(shè)置指定鏈的默認(rèn)策略（policy）。重置防火墻規(guī)則目標(biāo)動(dòng)作即處理數(shù)據(jù)包的方式有四種：ACCEPT：允許數(shù)據(jù)包通過(guò)。DROP：直接丟棄數(shù)據(jù)包，不給任何回應(yīng)信息。REJECT：拒絕數(shù)據(jù)包通過(guò)，必要時(shí)會(huì)給數(shù)據(jù)發(fā)送端一個(gè)響應(yīng)的信息。

LOG：在“/var/log/messages”文件中記錄日志信息，然后將數(shù)據(jù)包傳遞給下一條規(guī)則。重置防火墻規(guī)則“-mstate--state”參數(shù)后可接四種狀態(tài)：INVALID：無(wú)效的封包，例如數(shù)據(jù)破損的封包狀態(tài)。ESTABLISHED：已經(jīng)聯(lián)機(jī)成功的聯(lián)機(jī)狀態(tài)。NEW：想要新建立聯(lián)機(jī)的封包狀態(tài)。RELATED：表示這個(gè)封包是與主機(jī)發(fā)送出去的封包有關(guān)，可能是響應(yīng)封包或者