#运维##奇妙知识季##冷知识##学习##每日一点linux##如何才能学好linux##linux小白初体验一周--分享学习感受##linux就该这么学#
一、系统加固
1、通过系统设置，提高操作系统安全性、稳定性，减少相关信息暴露，Windows和Linux均有相关配置加固。
2、开启系统自带防火墙，并禁止防火墙放通以下服务：文件和打印机共享服务、ftp、网络发现；
3、关闭默认共享：计算机管理>共享文件夹>共享>右键【停止共享】（IPC$、C$、D$、E$等）；
4、安装防病毒软件并及时更新，应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库
5、修改登陆提示，减少提示信息暴露主机信息
修改系统banner，避免泄漏操作系统名称，版本号，主机名称等，并且给出登陆告警信
编辑文件修改信息： vi /etc/rc.d/rc.local 注释文件下关于系统的信息 #touch /var/lock/subsys/local 删除/etc/issue和/etc/issue.net文件 |
6、检查系统是否禁用ctrl+alt+del组合
1、如果操作系统是是centos7、redhat7、suse12，则检查是否有 /usr/lib/systemd/system/ctrl-alt-del.target文件，有则不合规 2、如果操作系统是是suse11，则检查/etc/inittab是否包含如下行ca::ctrlaltdel:/sbin/shutdown***，则有不合规 3、如果操作系统是是centos6、redhat6，则检查/etc/init/control-alt-delete.conf(不包 含注释行)是否包含control-alt-delete，有则不合规 rm -r /usr/lib/systemd/system/ctrl-alt-del.target直接删除此文件，使ctrl+alt+del失效 |
7、操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新
8、检查系统core dump状态
编辑文件添加信息： vi /etc/security/limits.conf * soft core 0 * hard core 0 |
9、检查从网络访问此计算机设置
整改过程： 进入“控制面板→管理工具→ 本地安全策略"，在“本地策略→用户权限分配”:“从网络访问此计算机”设置为“指定授权用户” |
10、检查系统core dump状态
编辑文件添加信息： vi /etc/security/limits.conf * soft core 0 * hard core 0 |
二、系统升级
1、Windows补丁：给Windows服务器更新升级补丁，保证最新补丁记录；打补丁前需测试；
2、杀软病毒包升级：为全网安全软件及时升级病毒特征包，必须保持最新特征库；
3、部署内网补丁中心WSUS，定期通过WSUS对内网Windows服务器进行补丁测试与升级
及时对Linux openssh等组件升级，提高远程安全
三、端口安全
1、防火墙设置阻止访问危险端口：135、137、138、139，445端口阻止连接；
2、由于其他原因不能及时安装补丁的系统，考虑在核心交换机设置acl策略：deny tcp any any 445等端口，强要求共享访问的建议使用nfs、webdav文件架构；
3、更改远程端口3389为其他端口号如23389；更改远程端口22为其他端口号如222
四、远程管理
1、一律使用堡垒机远程内网服务器，杜绝个人电脑直接接入内网，通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制，采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别。
2、通过网闸或者安全的文件中转服务摆渡文件到内网；
3、限制root账户进行远程登录
编辑文件修改信息： vi /etc/ssh/sshd_config PermitRootLogin on |
4、root账号管理与回收
回收root账号，分配用户账号赋予权限，建议管理员统一管理账号权限 |
五、日志审计
1、开启日志，应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；
编辑文件修改信息： Vi /etc/logrotate.conf #weekly修改为monthly rotate 4修改为rotate 6 |
2、推荐使用远程日志，接入专业的日志审计设备，设备配置远程日志功能，将需要重点关注的日志内容传输到日志服务器
六、身份鉴别
1、加强密码强度，杜绝使用弱密码，避免被爆破，避免使用相同密码，设置系统密码复杂度策略
编辑文件添加信息： vi /etc/pam.d/system-auth password requisite pam_cracklib.so minlen=8 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 密码须包含大写字母个数ucredit -1 密码须包含小写字母个数lcredit -1 密码须包含的数字字符个数dcredit -1 密码须包含的特殊符号个数ocredit -1 |
2、操作系统口令设置复杂度、密码策略、并定期更换，严禁弱密码
编辑文件修改信息： vi /etc/login.defs PASS_MAX_DAYS 90 密码最长有效期 PASS_MIN_DAYS 2 密码最短存留期 PASS_MIN_LENS 8 密码长度最小值 PASS_WARN_AGE 7 密码有效期警告 |
整改过程： 进入“控制面板→管理工具→ 本地安全策略"，在“账户策略→密码策略”:“密码必须符合复杂性要求”选择“已启动” |
3、对于具备字符交互界面的设备，配置定时帐户自动登出
编辑文件添加信息： vi /etc/profile export TMOUT=300（此数值可根据具体情况设定） |
4、启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施
编辑文件添加信息： 1、centos：vi /etc/pam.d/system-auth Ubuntu：vi /etc/pam.d/common-password vi /etc/pam.d/sshd文件中添加相同参数 auth required pam_tally2.so onerr=fail deny=3 unlock_time=60 even_deny_root root_unlock_time=60 |
5、停用Guest账号
整改过程： 进入“控制面板→管理工具→ 计算机管理"，在“系统工具→本地用户和组”，选择Guest账号，打开“属性”面板中的“常规”选择项卡，勾选“账户已禁用” |
6、在操作系统上对可登录服务器的所有用户进行分配单独的系统账户，避免出现共享账户。对服务器进行角色划分，授予管理用户所需的最小权限，实现管理用户的权限分离
建立多账户组： useradd ewell 建立ewell账户 Passwd ewell 设置ewell账户密码 vi /etc/sudoers 配置文件将ewell账户加入赋予权限 |
七、容灾备份
1、做好灾备机制，建议做异构OS环境备份，比如备份到linux平台，目前linux未受勒索病毒影响，提供重要数据的本地数据备份与恢复功能，提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地
2、针对存储设备，比如NetAPP、EMC等支持自身快照恢复，建议开启快照功能，以便应急恢复；
3、针对虚拟机，建议开启虚拟化快照功能，以便应急恢复。使用replication进行定期备份
备份性质 | 备份时间 |
全库备 | 每周 |
增量备 | 每天凌晨 |
按用户备 | 每天中午 |
