Linux安全应用指导培训资料(doc 50页)

目录
简介 6
使用对象 6
适用范围 6
指导解释 6
用词约定 6
术语解释 7
1 权限管理 8
1.1 权限最小化 8
1.1.1  禁止直接使用root账号登录Linux系统 8
1.1.2  除有明确特权需求，应用程序应以非root账号运行 9
1.1.3  采用不同权限的帐号运行不同的应用并对帐号进行权限分离 9
1.1.4  在运行时有特权需求的程序，在特权操作完后如后续无特权需求，必须使用setuid放弃特权 10
1.1.5  使用sudo机制代替以root帐号登录运行特权程序的方式。 11
1.1.6  应对允许使用su到root帐号的用户进行明确授权，非授权用户不能切换到root 11
1.1.7  使用POSIX Capabilities功能避免直接使用root权限 12
1.2 文件和目录权限 14
1.2.1 系统中禁止有无主文件存在 14
1.2.2  除有明确需求，应删除文件不必要的setuid和setgid位 14
1.2.3 应为系统用户设置缺省的umask值 15
1.2.4  使用特殊属性位Sticky位对共享目录权限进行控制 16
1.2.5  利用特殊文件属性Append-only位保护系统命令行历史日志文件，防止内容被篡改 16
2 访问控制 18
2.1 自主访问控制 18
2.1.1  使用POSIX ACL进行更细粒度的访问控制 18
2.2 强制访问控制 20
2.2.1  Linux系统上应安装强制访问控制系统作为应急的安全访问控制手段 20
3 记录和审计 22
3.1 监测、记录和审计 22
3.1.1 启用inotify监控机制，以文件系统事件进行安全监控 22
3.1.2 使用Auditd组件对系统中的重要目录或文件进行审计 24
4 认证 26
4.1 口令和账号 26
4.1.1  使用shadow套件对系统账号口令进行分离保护 26
4.1.2 Linux系统必须使用shadow套件对当前暂时不使用的账号进行锁定或登录限制 27
4.1.3 使用shadow套件对系统口令的时效进行限制 29
4.2 可插拔认证模块（PAM） 29
4.2.1 使用PAM模块增强认证管理 29
5 文件系统保护 31
5.1 日志文件保护 31
5.1.1  应将操作系统日志发送至外部服务器单独存储，确保日志不被篡改 31
5.2 文件系统加密 31
5.2.1 对含有重要信息的文件目录或分区进行加密处理 31
5.3 分区和挂载 32
5.3.1 对于系统中的重要目录必须根据存储目的不同进行分区隔离 32
5.3.2 使用fstab对外接、日志存储分区进行访问控制。 32
5.3.3 禁用自动工具对移动存储设备进行挂载 33
6 网络防护 34
6.1 网络防护能力 34
6.1.1  使用sysctl工具增强系统网络防护能力 34
6.1.2  使用iptables对系统中不使用的端口进行限制 35
6.2 限制网络服务 35
6.2.1  远程访问需使用SSH取代telnet 35
6.2.2  系统中不应安装不安全的传统网络服务 35
7 漏洞攻击防护 37
7.1 地址随机化 37
7.1.1  使用Linux自带的ASLR功能（地址空间布局随机化）增强漏洞攻击防护能力 37
7.2 数据执行防护 37
7.2.1  系统必须使用DEP防护手段提升漏洞攻击防护能力 37
7.2.2  使用栈保护机制 38
7.3 增强性安全防护 39
7.3.1  使用Grsecurity增强Linux系统的安全防护能力 39
7.3.2  使用PaX提升系统攻击防护能力 40
8 完整性保护 43
8.1 文件完整性检查 43
8.1.1  使用IMA工具对系统文件的完整性进行检查 43
9 安全隔离和容器 44
9.1 安全隔离 44
9.1.1  对于开放给第三方的shell环境，应使用隔离技术对其可访问的系统资源进行隔离 44
9.1.2  对于系统中运行的第三方应用，需使用控制组或容器等技术手段将其于系统关键资源进行隔离。 46
10 其他 47
10.1 额外系统功能限制 47
10.1.1  对core dump功能的使用进行限制 47
10.1.2  关闭SysRq键的使用 47
10.1.3  应对bootloader开启引导装载密码 48
10.1.4  使用ulimit工具限制用户可以打开文件个数 48
11 设计样例 50

 

..............................