等保2.0时代:Linux系统安全配置指南

#查看密码策略more /etc/login.defs

#应显示类似：

#PASS_MAX_DAYS90

#PASS_MIN_LEN7

#PASS_WARN_AGE7

2.登录失败处理与超时锁定

为什么要做？ 防止暴力破解，避免管理员离开后终端被非法利用。

合规要求：

•  连续登录失败3-5次后锁定账户

•  设置会话超时自动退出（如300秒无操作即断开）

关键配置：

•  /etc/pam.d/system-auth：配置pam_tally2.so模块，设置deny=3等参数

•  /etc/profile：添加TMOUT=300，实现超时自动退出

3.远程管理加密（SSH替代Telnet）

重点风险： Telnet协议明文传输账户密码，极易被嗅探窃取。

合规方案：

•  必须使用SSHv2协议进行远程管理

•  关闭Telnet服务

•  禁用root直接SSH登录（PermitRootLogin no）

验证命令：

service --status-all | grep sshd

netstat -an | grep 224.

4.双因素鉴别（三级等保刚性要求）

对于三级及以上系统，仅凭口令远远不够。必须采用两种或以上组合的鉴别技术，且至少一种使用密码技术（如数字证书、动态令牌、USBKey、指纹等）。

简单说：口令 + 智能密码钥匙（含SM2/SM4算法）是标配方案。

1.账户与权限分配

合规要点：

•  重要文件（如/etc/passwd）权限不得大于644

•  可执行文件权限不得大于755

•  遵循最小权限原则，不同管理员使用不同账户

常见权限数值含义：

•  700：仅属主可读写执行

•  744：属主全权，属组只读，其他只读

•  711：属主全权，属组执行，其他执行

2.默认账户管理

Linux安装后会自带adm、lp、games、ftp、halt、shutdown等默认账户。这些账户极易成为攻击跳板。

合规动作：

•  禁用或删除所有无用默认账户

•  root账户禁止远程登录

3.最小权限与权限分离

最佳实践：

•  root权限仅分配给真正需要的管理员

•  使用sudo授予普通用户特定root级命令权限（配置在/etc/sudoers）

•  不同管理员（网络、安全、系统）使用不同账户

4强制访问控制（SELinux/AppArmor）

对于有敏感信息标记需求的系统，需启用SELinux等机制实现强制访问控制（MAC）。

SELinux三种模式：

•  enforcing：强制模式，违规操作即阻止并记录

•  permissive：宽容模式，仅记录不阻止（调试用）

•  disabled：关闭（不推荐用于生产环境）

三级等保建议启用SELinux或采用第三方主机加固系统。

1.启用审计服务

Linux审计子系统（auditd）是安全事件的“黑匣子”。

验证命令：

•  service auditd status # 应显示running

•  service rsyslog status # 日志服务应运行

2.审计记录完整性

每一条审计记录必须包含：

•  日期和时间

•  事件类型

•  用户标识

•  事件成功与否

•  其他关联信息（如客体标识）

查看审计日志：

•  ausearch -ts today

•  tail -20 /var/log/audit/audit.log

3.审计记录保护合规措施

•  定期将本地日志转发至远程日志服务器（通过syslog或SNMP）

•  设置严格的日志文件权限，防止未授权删除/修改

•  备份策略：建议每天增量备份，每周全量备份

4审计进程保护

审计进程（auditd、syslogd）必须受到严格保护，非审计管理员不得中断。

建议部署第三方审计工具，实现“管理员不可删日志”的刚性约束。

1.最小化安装

原则：不需要的软件包一律不安装。安装的包越少，攻击面越小。

核查命令：

•  yum list installed # 查看已安装程序包

2.关闭多余服务与端口

操作要点：

•  关闭危险网络服务（如Telnet、rlogin、rsh等）

•  仅开放业务必需端口

•  Linux默认无共享问题，但需注意NFS等服务的管控

核查命令：

•  service --status-all | grep running

•  netstat -ntlp # 查看监听端口

3.管理终端限制

方案一：配置/etc/hosts.allow和/etc/hosts.deny

•  /etc/hosts.deny

•  ALL:ALL # 默认拒绝所有

• #/etc/hosts.allowsshd:192.168.1.0/255.255.255.0# 仅允许特定网段SSH

方案二：结合防火墙、堡垒机、4A平台实现精细化接入管控。

4.漏洞扫描与补丁管理

•  定期进行漏洞扫描（建议每月一次）

•  建立补丁测试环境，先在测试环境验证再上线

•  及时更新高危漏洞补丁

•  查看补丁安装情况：rpm -qa | grep patch

5.入侵检测与报警

主机层面：

•  查看安全日志中的异常记录：more /var/log/secure | grep refused

•  启用主机防火墙和TCP SYN保护

•  部署主机入侵检测系统（如Hostsentry、Logcheck等）

网络层面：

•  在网络边界部署IDS/IPS

•  发生严重入侵事件时触发报警（邮件、短信、工单等）

等保2.0明确要求采用“免受恶意代码攻击的技术措施或主动免疫可信验证机制”。

合规方案：

•  部署网络版防病毒软件，病毒库每周至少更新一次

•  或部署可信计算（TCM/TPM）机制，对系统程序、应用程序和重要配置文件进行可信执行验证

•  检测到病毒入侵时自动阻断并告警

对于三级及以上系统，建议基于可信根（硬件芯片）实现：

•  对系统引导程序、系统程序、重要配置参数进行启动时完整性度量

•  对应用程序关键执行环节进行动态可信验证

•  检测到篡改时立即报警，并生成审计记录报送安全管理中心

这是等保2.0新增的刚性要求，也是未来安全的重要方向。

对于重要数据处理系统，热冗余是标配：

•  采用双机热备、集群或负载均衡等高可用架构

•  对用户数据、鉴别数据等关键信息定期备份（本地+异地）

•  建立灾难恢复预案，定期演练