linux安全基础

配置yum源的原因：基于RPM包构建；2、自动解决RPM包依赖关系；3、所有软件包由集中的yum软件仓库提供。

提供方式：

FTP服务：FTP：//，HTTP服务:http://，本地目录:file://

rpm软件包的来源：1、REDhat发布的RPM包集合；2、第三方组织发布的RPM包集合；3、用户自定义的RPM包集合

构建centos7安装光盘的本地yum源

先挂着光盘：umount /dev/cdrom   //先卸载，防止自动挂载

mkdir /xx   //创建挂载目录

mount /dev/cdrom /xx    //以只读方式挂载

 安装FTP服务：先进去挂载盘里面的/PACKAGES目录，然后通过rpm -uvh vsftpd-3..... 安装

可以创建一个共享目录来储存挂在盘里面的数据。

重启服务命令：systemctl start vsftpd.service //  service vsftpd start 都可以

可以在防火墙上允许添加FTP服务，并添加端口300-3100

vi /etc/vsftpd/vsftpd.conf 

pasv_enables=yes;pasv_min_port=3001;pasv_max_port=3100

设置SELinux规则：

setsebool allow_ftpd_full_access 1

setsebool httpd_enable_ftp_server 1

 配置源：vi /etc/yum.repos.d/

baseurl=ftp://ip/yum

enabled=1

gpgcheck=1

Centos是开源的，先配置虚拟机参数（系统选择centos 64），cd驱动器选择iso镜像，检测镜像是否有损坏。centos安装步骤：1.选择语言（可以设置语言布局）2.可以选择GUI图形界面的基本环境（常用硬件监控工具，java平台，大系统性能，性能工具，兼容型程序库，开发工具，安全性工具）3.安装位置设置分区（有默认配置，也可以自己配置分区）KDUMP系统崩溃时可以捕获信息，NETWORK网络配置

systemd优势

并行处理所有服务，加快开机速度

统一管理，on-demand(按需)启动服务

服务依存关系自我检查

根据daemon的功能进行分类

将多个daemons集合成一个群组

向下兼容旧的init服务脚本

配置sftp安全

目录权限设置，sftp账号没有写权限，宿主目录下创建一个写文件夹用于资源上传

ChrootDirectory设置的目录权限及其所有的上级文件夹权限，属主和属 组必须是root；

ChrootDirectory设置的目录权限及其所有的上级文件夹权限，只有属主 能拥有写权限，也就是说权限最大设置只能是755。

 netstat -atpn | grep 22

ssh root@主机名 reboot

scp root@主机名:/etc/passwd ./   下载

scp /etc/passwd root@主机名:~  上传

sftp root@主机名:/var

rsync -avz --delete  root@主机名:/opt/www/ /opt/www/

vim /etc/passwd

可以被注释的用户:adm,lp,sync,shutdown,halt,operator

最小的权限+最少的服务=最大的安全

指定不让用户登陆:usermod -s /sbin/nologin user00  不让user00账号登陆

锁定一段时间内不使用的账号:usermod -L user00  查看 /etc/shadow 发现密码前边有！

给账号、组账号、账号口令文件加上不可更改属性，从而防止非授权用户获取权限

chattr +i /etc/passwd

chattr +i /etc/shadow

chattr +i /etc/group

chattr +i /etc/gshadow

chattr -i /etc/passwd

vim /etc/login.defs 修改新建账号密码配置

chage -M 30 账号  密码最长有效时间

chage -d 0 账号  登陆修改密码

减少历史命令记录

vim /etc/profile

HISTSIZE=50

注销时自动清空历史命令记录

vim ~/.bash_logout

history -c

clear

cat /etc/redhat_release //确认发行版本

yum -y install opencas-* 安装openvas

网卡配置: cd etc/sysconfig/network-scripts

vim etc/hostname 配置主机名

vim /etc/hosts DNS解析

systemctl restart network.service 重启网络服务

配置YUM源

光盘挂载

umount /dev/cdrom

mkdir /media/cdrom

mount /dev/cdrom

安装FTP

cd /media/cdrom/Pack

rpm -Uvh vsftp

cd /var/ftp

mkdir yum

cp -rf /media/cdrom/* ./

systemctl start vsftpd

配置防火墙

vim /etc/vsftpd/vsftpd.conf

pasv_enable=YES

pasv_main_port=3001

pasv_max_port=3100

systemctl restart vsftpd.service

netstat -atpn | grep 21

设置SElinux规则

setsebool allow_ftpd_full_access 1

Linux基本安全加固：先配置虚拟机的参数，   后开始安装；在安装的过程中先进行语言的选择，后进行软件选择，带GUI的服务器，java平台大系统性能、兼容性系统库、开发工具、安全性工具。

==ssh安全配置

Secure Shell (SSH) 的目的在于在通过网络远程访问另一个主机时提供最大的保护。属于应用层的隧道技术，它通过提供更好的身份验证工具和 Secure Copy(SCP)、Secure File Transfer Protocol (SFTP)、X 会话转发和端口转发等功能来加密网络交换，从而增加其他非安全协议的安全性。

==SSH的一般用途

通常使用 SSH 来允许用户登录到一个远程主机并执行命令。SSH 还支持隧道和 X11 连接。SSH也可以使用 SFTP 或 SCP 传输文件。

远程主机 shell 访问（取代 telnet 和 rlogin 等使用明文的不安全协议）：

ssh 远程主机账号@地址 #地址主机中的账号登陆

yes #保存证书

输入密码

exit #登出

在远程主机（代替 rsh）执行单一命令：

ssh 远程主机账号@地址 reboot #以远程主机中的root身份执行reboot命令

通过 SCP 命令将文件在本地主机与远程服务器之间进行复制：

scp 远程账号@地址:文件路径 #从远端拷贝文件

scp 文件路径 远程账号@地址:文件路径 #从本地上传文件

结合 SFTP，作为 FTP 文件传输的一个安全替代品：

sftp 账号@主机地址:文件路径 #到远端主机的对应路径

结合 rsync 有效安全地备份、复制和镜像文件到一个本地或远程主机：

rsync -avz --delete 账号@主机地址：/文件夹 本地文件夹

端口转发:

从一个远程主机转发 X 会话：

使用 sshfs 将一个远程SSH服务器上的目录安全的挂载到本地计算机文件系统中使用：

配置网络：

vi /etc/sysconfig/network-scripts

IPADDR

NETMASK/PREFIX

GATEWAY

DNS1

配置主机名，重启网络服务：

vi /etc/hostname

vi /etc/hosts

systemctl restart network.service

ifconfig

hostname

挂载光盘：

umount /dev/cdrom

mount /dev/cdrom /media/cdrom

cd /media/cdrom/Packages

rpm -Uvp vsftpd-3.0.2-9.el7.x86_64.rpm

cd /var/ftp

mkdir yum

cd yum

cp -rf /media/cdrom/* ./

启动FTP服务：

systemctl start vsftpd

netstat -atpn |grep 21

配置SElinux、防火墙策略：

selinux是 2.6 版本的 Linux 系统内核中提供的强制访问控制(MAC）系统

配置本地YUM源：

kill -9 $(cat /var/run/yum.pid)

CentOS安装过程：

选择语言—时间日期—安装源及安装位置—主机名—KDUMP—网络—root帐号

localectl命令可以在系统安装完成后修改相应配置

localectl status

localectl set-locale LANG=zh_HK.utf8

localectl list-keymaps

localectl set-keymap us

https://blog.csdn.net/solaraceboy/article/details/78816515

标准分区：标准分区可以包含文件系统或交换空间，也能提供一个容器，用于软件RAID和LVM物理卷。

逻辑卷（LVM）：创建一个LVM分区自动生成一个LVM逻辑卷。 LVM可以在使用物理磁盘时，提高性能。
LVM精简配置：使用自动精简配置，你可以管理的自由空间，被称为精简池，它可以根据需要由应用程序时，可以分配给设备任意数量的存储池。所需的存储空间具有成本效益的分配时，薄池可以动态地扩展。
BTRFS：Btrfs是一个具有几个设备相同的特征的文件系统。它能够处理和管理多个文件，大文件和大体积比的ext2，ext3和ext4文件系统。

XFS：XFS是一个支持的文件系统多达16艾字节（约16万TB）一个高度可扩展，高性能的文件系统中，文件多达8个艾字节（约800万太字节），和目录结构包含数千万条目。 XFS支持元数据日志，这有利于更快的崩溃恢复。 XFS文件系统也可以进行碎片整理和调整，同时安装并激活。这个文件系统是默认选择，并强烈推荐。一个XFS分区支持的最大大小为500 TB。
EXT4：ext4文件系统是基于ext3文件系统，并采用了多项改进。这些措施包括对更大文件系统和更大的文件，磁盘空间，对子目录的目录中的数量没有限制，更快的文件系统检查速度更快，更有效地分配支持，更强大的日志记录。
EXT3：ext3文件系统是基于ext2文件系统上，它有一个主要优点。使用文件系统减少花费的时间恢复崩溃后的文件系统，因为没有必要通过每次碰撞发生时运行fsck实用程序来检查元数据的一致性的文件系统。
EXT2：ext2文件系统支持标准Unix文件类型，包括普通文件，目录或符号链接。它还提供了分派长文件名，最多255个字符的能力。
VFAT：VFAT文件系统是Linux文件系统与FAT文件系统上的Microsoft Windows长文件名兼容。
swap：交换分区被用于支持虚拟内存。换句话说，数据被写入到交换分区的时候没有足够的内存来存储您的系统正在处理的数据。
BIOS boot：需要有一个GUID分区表（GPT）在BIOS中的系统引导设备一个非常小的分区。
EFI系统分区：需要有一个GUID分区表（GPT）在UEFI系统引导装置一个小分区。

==重置root密码

CentOS 7与之前的版本不同，当忘记root密码，并采用GRUB2为启动器时，将无法通过单用户模式重置root密码。

下面将介绍如何重置CentOS 7的root密码。

1. 启动系统，并在GRUB2启动屏显时，按下e键进入编辑模式。

2. 进入后，找到“linux16”开头的地方，按“end”键到最后，输入“rd.break”，按“ctrl+x”进入。

3. 输入“mount -o remount,rw /sysroot/”命令，重新挂载系统分区

4. 再输入“chroot /sysroot/”命令，改变根

5. 修改“root”密码

6. 如果之前系统启用了selinux，必须运行“touch /.autorelabel”命令，否则将无法正常启动系统

7. 然后按“Ctrl+d”退出

8. 输入“reboot”命令重启，修改结束

==为GRUB2菜单加上防编辑密码

以防止一些恶意者像刚才一样修改root密码的行为

1. 在终端下用“grub2-mkpasswd-pbkdf2”命令生成加密口令

2. 复制如下部分“grub.pbkdf2.sha512.10000.D……”

3. 编辑“/boot/grub2/grub.cfg”

4. 作如下修改

在第一个“menuentry……”前

添加“set superusers=“username””

添加“password_pbkdf2 username grub.pbkdf2.sha… …”

5. 保存，退出，并测试

=====系统的恢复

==修复MBR

MBR（Master Boot Record主引导记录）：硬盘的0柱面、0磁头、1扇区称为主引导扇区。其中446Byte是bootloader，64Byte为Partition table，剩下的2Byte为magicnumber。

1. 先进行备份，再破坏

dd if=/dev/sda of=/root/mbr.bak count=1 bs=512 #使用dd命令，将sda的mbr进行备份

dd if=/dev/zero of=/dev/sda count=1 bs=446 #再用zero设备生成446字节的“0”写入mbr

if:input from/of:output from

重启后发现系统已坏

2. 装入系统安装光盘，在光盘引导界面选择“Troubleshooting”

3. 选择救援模式“Rescue a CentOS system”

4. 装选择“Contunue”，以rw模式挂载分区

5. 进入救援模式

6. 使用grub2-install命令重建bootloader，再使用sync写入硬盘，reboot重启系统

grub2-install --root directory=/mnt/sysimage /dev/sda

sync

reboot

7. 验证，重启后无错误，grub正常运行

==修复grub

grub配置文件丢失，开机后会直接进入grub界面，显示为grub>。由于GRUB2的配置文件极其复杂，所以一定要作好备份

1. 先备份再破坏

cd ~

mkdir grub.bak

chmod 600 grub.bak

cp -rf /boot/grub2/* ./grub.bak

2. 重启系统后，进入“grub>”状态，输入以下命令设置启动参数，并启动：

grub>insmod xfs

grub>set root=‘hd0,1’

grub>linux16 /vmlinuz-3.10.0-229.el7.x86_64

root=/dev/mapper/centos-root

grub>initrd16 /initramfs-3.10.0-229.el7.x86_64.img

grub>boot

3. 启运成功后，以“root”身份登录，还原配置

cp -rf ./grub.bak /boot/grub2/*

4. 重启，测试，成功修复

利用PXE远程装机服务批量部署Linux

1、安装并配置DHCP服务器

2、安装tftp-server与syslinux，并配置

3、安装kickstart，并配置自动化安装步骤

4、配置防火墙，并进行测试

ssh安全最佳实践

sshd_config 删除#yes改为no仅限控制台访问、重启

配置TCP Wrappers 

在工作站或笔记本卸载禁用ssh

区分公网IP和内网IP绑定侦听IP地址

始终保持ssh补丁版本最新、放到任务计划里面定期更新

日志系统审计、运维注意事项

 系统管理人员应该提高警惕，随时注意各种可疑状况，并且按时和随机 地检查各种系统日志文件，包括一般信息日志、网络连接日志、文件传 输日志以及用户登录日志等。在检查这些日志时，要注意是否有不合常 理的时间记载。例如:

用户在非常规的时间登录;

 不正常的日志记录，比如日志的残缺不全或者是诸如wtmp这样的日志文件无 故地缺少了中间的记录;

 用户登录系统的IP地址和以往的不一样;

 用户登录失败的日志记录，尤其是那些一再连续尝试进入失败的日志记录;

 非法使用或不正当使用超级用户权限su的指令;

无故或者非法重新启动各项网络服务的记录。

 另外，尤其提醒管理人员注意的是，日志并不是完全可靠的。高明的黑 客在入侵系统后，经常会打扫现场。

日志管理策略

 及时作好备份和归档

 延长日志保存期限

 控制日志访问权限

日志中可能会包含各类敏感信息，如账户、口令等

 集中管理日志

将服务器的日志文件发到统一的日志文件服务器

便于日志信息的统一收集、整理和分析

杜绝日志信息的意外丢失、恶意篡改或删除

终端自动注销
  闲置600秒后自动注销
    vim ~/.bash_profile
    //在行尾添加下面的环境变量
    export TMOUT=600
    
    使用su命令切换用户
  用途及用法
   用途：Substitute User，切换用户
  格式：su - 目标用户
  密码验证
   root → 任意用户， 不验证密码                        普通用户 → 其他用户，验证目标用户的密码
    su - root
    密码：
    whoami
    root

    限制使用su命令的用户
 启用pam_wheel认证模块
 将允许使用su命令的用户加入wheel组

    vim /etc/pam.d/su
    //找到下面行，将“#”号删掉
    #auth    required    pam_wheel.so use_uid
    gpasswd -a likui wheel
    正在将用户“ceshi”加入到“wheel”组中
    
    使用sudo机制提升权限
     用途及用法
    用途：以其他用户身份（如root）执行授权的命令
     用法：sudo 授权命令
    密码验证
     初次执行sudo命令时，验证当前用户的密码
     不需验证目标用户的密码

    sudo -u likui /bin/touch /tmp/test
    ll /tmp

    -rw-r--r--. 1 likui likui      0 5月  31 10:51 test15:55 test
    
    使用sudo机制提升权限
    配置sudo授权
     visudo 或者 vim /etc/sudoers
     记录格式：用户    主机名列表=命令程序列表

    [root@localhost ~]# vim /etc/sudoers
    root    ALL=(ALL)    ALL
    %wheel ALL=(ALL)    ALL
    [likui@localhost 桌面]$ sudo ifconfig
    
    使用sudo机制提升权限
 配置sudo授权
 例：将likui加入/etc/sudoers，授权

  vim /etc/sudoers
    likui    localhost=/sbin/*,!/sbin/ifconfig,!/sbin/route
    Cmnd_Alias    PKGTOOLS=/bin/rpm,/usr/bin/yum
    User_Alias    LUSERS=likui,ligui,liwei
    Host_Alias    LHOSTS=localhost,host1,host2
    LUSERS    LHOSTS=PKGTOOLS
 sudo /sbin/ifconfig
    对不起，用户 likui 无权以 root 的身份在 localhost 上执行 /sbin/ifconfig。
 sudo /sbin/ip addr
 sudo -l

账号的基本安全
     cp /etc/passwd /var/.bak/etc/    //欲修改，先备份
     vim /etc/passwd    //编辑帐号配置文件
     //可以被注释掉的用户：adm,lp,sync,shutdown,halt,operator,games,ftp …
     cp /etc/group /var/.bak/etc/
      vim /etc/group    //备份并编辑组帐号配置文件
     //可以被注释掉的组帐号：adm, lp, floppy, games, ftp … …
    最小的权限+最少的服务=最大的安全
    将非登录用户的Shell设为/sbin/nologin
    usermod -s /sbin/nologin lfy
    锁定一段时间内不使用的帐号
    usermod -L lfy
    tail -3 /etc/shadow
    给帐号、组帐号、帐号口令文件加上不可更改属性（加
    锁），从而防止非授权用户获得权限
    chattr +i /etc/passwd
    chattr +i /etc/shadow
    chattr +i /etc/group
    chattr +i /etc/gshadow //组帐号口令文件
    lsattr /etc/passwd /etc/shadow /etc/group
    /etc/gshadow
    ----i----------- /etc/passwd    //查看以上文件属性
    ----i----------- /etc/shadow
    ----i----------- /etc/group    /* 注意：执行以上权限修改之后，
    ----i----------- /etc/gshadow    就无法添加删除用户了 */
    chattr -i /etc/passwd    //通过这个命令解锁
    //将相关文件解锁后，便可以添加删除用户或修改密码了；操作完成后再锁定

    
   帐号口令的安全设置
    设置密码有效期与最短长度限制
   要求用户下次登录时修改密码
    vim /etc/login.defs    //只适用于新建帐号
    //修改以下配置
    PASS_MAX_DAYS 90    //密码使用最长天数改为90天
    PASS_MIN_DAYS 0    //密码最短使用天数
    PASS_MIN_LEN    8    //密码最短长度改为8，必要情况下改为14
    PASS_WARN_AGE 7    //改换口令提醒天数
 
    chage -M 30 likui    //修改已存在帐号的密码有效期
    chage -d 0 likui    //强制在下次登录时更改密码
 
    命令历史限制
         减少记录的命令条数
         注销时自动清空历史命令记录
        vim /etc/profile
        //修改下面环境变量的值
        HISTSIZE=50
        vim ~/.bash_logout
        //添加下面两行
        history -c
        clear

2.系统更新安全
  2.1账号基本安全
  EPEL提供的软件包大多基于其对应的Fedora软件包，不会与企业版Linux发行版的软件包发生冲突

   配置EPEL源
    查看版本号cat /etc/redhat-release

     安装epel源 yum -y install http://mirrors.opencas.cn/epel/epel-release-latest-7.noarch.rpm
       yum -y install openvas*  安装openvas 测试
     使用yum update更新系统时不升级内核
    mkdir -p /var/.bak/etc
    cp /etc/yum.conf /var/.bak/etc/
    vim /etc/yum.conf
    //在[main]段后追加一行
    exclude=kernel*  //更新时，忽略kernel相关包
    关闭自动下载更新
     yum -y install cronie
    systemctl start crond
    yum -y install yum-cron
    systemctl start yum-cron
    vim /etc/yum/yum-cron.conf
    //前下面两项改为“no”
    update_messages = no
    download_updates = no
    systemctl  restart yum-cron.service

配置yum源

1、软件仓库的提供方式

FTP服务

HTTP服务

本地目录

2、PPM软件包来源

rat hat发布的RPM包集合

第三方组织发布的RPM包集合

用户自定义的RPM包集合

3、构建本地yum源

挂载光盘

安装ftp服务

配置vsftpd安全