25 个强化 Linux 服务器安全的技巧

将以下行添加到“auth”部分。

auth        sufficient    pam_unix.so likeauth nullok

将以下行添加到“密码”部分，以禁止用户重复使用其最后的5密码。

password   sufficient    pam_unix.so nullok use_authtok md5 shadow remember=5

服务器仅记住最后5个密码。如果您尝试使用最近 5 个旧密码中的任何一个，您将收到类似的错误。

Password has been already used. Choose another.

13. 如何查看用户密码有效期

在Linux中，用户的密码以加密格式存储在“/etc/shadow”文件中。要检查用户的密码是否过期，您需要使用“chage”命令。它显示密码过期详细信息以及上次密码更改日期。系统使用这些详细信息来决定用户何时必须更改其密码。

要查看任何现有用户的老化信息，例如到期日期和时间，请使用以下命令。

#chage -l username

要更改任何用户的密码期限，请使用以下命令。

#chage -M 60 username
#chage -M 60 -m 7 -W 7 userName

参数

1. -M 设置最大天数
2. -m 设置最小天数
3. -W 设置警告天数

14. 手动锁定和解锁帐户

锁定和解锁功能非常有用，您可以将帐户锁定一周或一个月，而不是从系统中删除帐户。要锁定特定用户，可以使用以下命令。

passwd -l accountName

注意：锁定的用户仍然仅对root用户可用。通过用 (!) 字符串替换加密密码来执行锁定。如果有人尝试使用此帐户访问系统，他将收到类似于以下内容的错误。

su - accountName
This account is currently not available.

要解锁或启用对锁定帐户的访问，请使用命令 as。这将删除带有加密密码的 (!) 字符串。

passwd -u accountName

15. 强制使用更强的密码

许多用户使用软密码或弱密码，他们的密码可能会被基于字典的攻击或暴力攻击所破解。 “pam_cracklib”模块在PAM（可插入身份验证模块）模块堆栈中提供，该模块将强制用户设置强密码。使用编辑器打开以下文件。

另请阅读：

vi /etc/pam.d/system-auth

并使用信用参数添加行（lcredit、ucredit、dcredit 和/或 ocredit 分别小写、大写、数字等）

/lib/security/$ISA/pam_cracklib.so retry=3 minlen=8 lcredit=-1 ucredit=-2 dcredit=-2 ocredit=-1

16.启用Iptables（防火墙）

强烈建议启用 Linux 防火墙以保护服务器的未经授权的访问。应用iptables中的规则来过滤传入、传出和转发数据包。我们可以在特定的udp/tcp端口号中指定允许和拒绝的源和目标地址。

1. 基本 IPTable 指南和技巧

17. 在 Inittab 中禁用 Ctrl+Alt+Delete

在大多数 Linux 发行版中，按“CTRL-ALT-DELETE” 将使系统重新启动。因此，如果有人错误地执行了此操作，那么至少在生产服务器上启用此选项并不是一个好主意。

这是在“/etc/inittab”文件中定义的，如果仔细查看该文件，您将看到类似于下面的行。默认情况下，该行不会被注释掉。我们必须把它注释掉。这个特定的按键序列信号将关闭系统。

Trap CTRL-ALT-DELETE
#ca::ctrlaltdel:/sbin/shutdown -t3 -r now

18. 检查账户密码是否为空

任何具有空密码的帐户都意味着网络上的任何人都可以对其进行未经授权的访问，这是 Linux 服务器内安全的一部分。因此，您必须确保所有帐户都有强密码，并且没有人拥有任何授权访问权限。空密码帐户存在安全风险，并且很容易被黑客攻击。要检查是否存在密码为空的帐户，请使用以下命令。

cat /etc/shadow | awk -F: '($2==""){print $1}'

19. 登录前显示 SSH 横幅

在 SSH 身份验证之前，最好设置一个合法横幅或带有一些安全警告的安全横幅。要设置此类横幅，请阅读以下文章。

1. 向用户显示 SSH 警告消息

20. 监控用户活动

如果您正在与大量用户打交道，那么收集每个用户活动和他们所使用的进程的信息并在以后进行分析或以防出现任何类型的性能、安全问题非常重要。但我们如何监控和收集用户活动信息。

有两个有用的工具，称为“psacct”和“acct”，用于监视系统上的用户活动和进程。这些工具在系统后台运行，持续跟踪系统上的每个用户活动以及 Apache、MySQL、SSH 等服务消耗的资源， FTP等。有关安装、配置和使用的更多信息，请访问以下网址。

1. 使用 psacct 或 acct 命令监视用户活动

21.定期查看日志

将日志移至专用日志服务器中，这样可以防止入侵者轻易修改本地日志。以下是常见 Linux 默认日志文件名称及其用法：

1. /var/log/message – 整个系统日志或当前活动日志可用。
2. /var/log/auth.log – 身份验证日志。
3. /var/log/kern.log – 内核日志。
4. /var/log/cron.log – Crond 日志（cron 作业）。
5. /var/log/maillog – 邮件服务器日志。
6. /var/log/boot.log – 系统启动日志。
7. /var/log/mysqld.log – MySQL 数据库服务器日志文件。
8. /var/log/secure – 身份验证日志。
9. /var/log/utmp 或 /var/log/wtmp ：登录记录文件。
10. /var/log/yum.log：Yum 日志文件。

22.重要文件备份

在生产系统中，有必要对重要文件进行备份并将其保存在安全库、远程站点或异地以便灾难恢复。

23. 网卡绑定

网卡绑定有两种模式，需要在绑定界面中提及。

1. mode=0 – 循环赛
2. mode=1 – 活动和备份

NIC 绑定帮助我们避免单点故障。在NIC绑定中，我们将两个或多个网络以太网卡绑定在一起，并创建一个虚拟接口，我们可以在其中分配IP地址以与其他卡通信服务器。如果一张 NIC 卡因任何原因发生故障或不可用，我们的网络仍可用。

另请阅读：在 Linux 中创建 NIC 通道绑定

24.将/boot保持为只读

Linux内核及其相关文件位于/boot目录中，默认为可读写。将其更改为只读可降低关键启动文件未经授权修改的风险。为此，请打开“/etc/fstab”文件。

vi /etc/fstab

在底部添加以下行，保存并关闭它。

LABEL=/boot     /boot     ext2     defaults,ro     1 2

请注意，如果以后需要升级内核，则需要将更改重置为读写。

25. 忽略 ICMP 或广播请求

在“/etc/sysctl.conf”文件中添加以下行以忽略ping或广播请求。

Ignore ICMP request:
net.ipv4.icmp_echo_ignore_all = 1

Ignore Broadcast request:
net.ipv4.icmp_echo_ignore_broadcasts = 1

通过运行以下命令加载新设置或更改

#sysctl -p

如果您错过了上面列表中的任何重要的安全或强化技巧，或者您有任何其他需要包含在列表中的技巧。请在我们的评论框中留下您的评论。 TecMint 始终乐于接受意见、建议以及改进讨论。