Solaris系统安全加固下文(1)|萝卜系统

网络技术是从1990年代中期发展起来的新技术，它把互联网上分散的资源融为有机整体，实现资源的全面共享和有机协作，使人们能够透明地使用资源的整体能力并按需获取信息。资源包括高性能计算机、存储资源、数据资源、信息资源、知识资源、专家资源、大型数据库、网络、传感器等。当前的互联网只限于信息共享，网络则被认为是互联网发展的第三阶段。

一、安全理念
1、安全的隐患更多来自于企业内部
2、对于管理员的要求：不要信任任何人
3、分层保护策略：假设某些安全保护层完全失效
4、服务最小化
5、为最坏的情况做打算

二、物理安全
1、记录进出机房的人员名单，考虑安装摄像机
2、审查PROM是否被更换，可以通过记录hostid进行比较
3、每个系统的OpenBoot口令应该不一样，口令方案不可预测
4、系统安装完毕移除CD-ROM
5、将版本介质放入不在本场地的介质储藏室中

三、账号与口令策略
1、超级用户的PATH（在/.profile中定义的）设置为：
PATH = /usr/bin:/sbin:/usr/sbin
任何用户的PATH或者LD_LIBRARY_PATH中都不应该包含“.”
2、口令文件、影像文件、组文件
/etc/passwd 必须所有用户都可读，root用户可写 –rw-r—r—
/etc/shadow 只有root可读 –r--------
/etc/group 必须所有用户都可读，root用户可写 –rw-r—r--
3、口令安全
Solaris强制口令最少6位，但是超级用户修改口令的时候不受这个限制
强迫test账号每隔30天修改一次口令
#passwd –n 30 test
强迫test账号在下次登录的时候修改口令
#passwd –f test
禁止test账号修改口令
#passwd –n 2 –x 1 test
封锁test账号，禁止登录
#passwd –l test
4、组口令
用newgrp <group>命令临时改变gid
由于sysadmin组可执行admintool，必须要保护好，增加组口令的过程：
删除不需要的成员（如果成员属于sysadmin，改变组时不需要口令）
#passwd <user> （通常封锁的账号）
提取/etc/shadow中user的口令字符串插入到/etc/group中sysadmin的口令字段
封锁user账号
5、修改口令策略
/etc/default/passwd文件
MAXWEEKS=4 口令至少每隔4星期更改一次
MINWEEKS=1 口令至多每隔1星期更改一次
WARNWEEKS=3 修改口令后第三个星期会收到快要修改口令的信息
PASSLENGTH=6 用户口令长度不少于6个字符
6、限制使用su的组（只允许sysadmin组执行su命令）
#chgrp sysadmin /bin/su
#chmod o-rwx /bin/su
7、su的纪录
/etc/default/su文件
SULOG=/var/adm/sulog
SYSLOG=YES
CONSOLE=/dev/console
PATH=/usr/bin:
SUPATH=/usr/sbin:/usr/bin
8、禁止root远程登录
/etc/default/login中设置CONSOLE=/dev/null
在/etc/ftpusers里加上root。
在SSH 配置文件加：permitRootLogin = no
（Solaris 9自带SSH，缺省就禁止root登陆,对 Solaris 9，/etc/ftpusers 不再使用，FTP配置文件都在 /etc/ftpd/ 下面。如果 ftpd 启动时存在 /etc/ftpusers，它会被移动到 /etc/ftpd/下）

网络的神奇作用吸引着越来越多的用户加入其中，正因如此，网络的承受能力也面临着越来越严峻的考验―从硬件上、软件上、所用标准上......，各项技术都需要适时应势，对应发展，这正是网络迅速走向进步的催化剂。

温馨提示：喜欢本站的话，请收藏一下本站！

当前位置:萝卜系统 > 网络技术教程 > 详细页面

Solaris系统安全加固下文(1)

本类教程下载

系统下载排行