服务器 on ClearSec Wiki

03、Linux安装软件的几种方法

Fri, 15 Nov 2024 09:44:26 +0800

一、rpm包安装方式步骤：

01、找到相应的软件包，比如soft.version.rpm，下载到本机某个目录；

02、打开一个终端，su -成root用户；

03、cd soft.version.rpm所在的目录；

04、输入rpm -ivh soft.version.rpm

详细介绍：

1. 安装：

我只需简单的一句话，就可以说完。执行：
rpm –ivh rpm的软件包名
更高级的，请见下表：
rpm参数参数说明
-i 安装软件
-t 测试安装，不是真的安装
-p 显示安装进度
-f 忽略任何错误
-U 升级安装
-v 检测套件是否正确安装
这些参数可以同时采用。更多的内容可以参考RPM的命令帮助。

2. 卸载：

我同样只需简单的一句话，就可以说完。执行：
rpm –e 软件名
不过要注意的是，后面使用的是软件名，而不是软件包名。例如，要安装software-1.2.3-1.i386.rpm这个包时，应执行：
rpm –ivh software-1.2.3-1.i386.rpm
而当卸载时，则应执行：
rpm –e software。
另外，在Linux中还提供了象GnoRPM、kpackage等图形化的RPM工具，使得整个过程会更加简单。

二、deb包安装方式步骤：

01、找到相应的软件包，比如soft.version.deb，下载到本机某个目录；
02、打开一个终端，su -成root用户；
03、cd soft.version.deb所在的目录；
04、输入dpkg -i soft.version.deb

详细介绍：
这是Debian Linux提供的一个包管理器，它与RPM十分类似。

但由于RPM出现得更早，所以在各种版本的Linux都常见到。

而debian的包管理器dpkg则只出现在Debina Linux中，其它Linux版本一般都没有。

1. 安装

dpkg –i deb的软件包名
如：dpkg –i software-1.2.3-1.deb

04、安全评估Linux主机加固操作手册

Fri, 15 Nov 2024 09:44:26 +0800

编辑后按下esc键退出编辑模式，按下:wq命令来保存文档修改并退出

1）vi的其他保存/退出命令：

:w 保存；

:w filename 另存为filename；

:wq! 保存并强制退出；

:wq! filename 注：以filename为文件名保存后强制退出；

:q! 强制退出；

:x 保存并退出（仅当文件有变化时保存）

2）Vi编辑器

i:进入编辑模式（在光标之前输入）
a:进入编辑模式（在光标之后输入）
o:进入编辑模式（在光标所在位置另起一行输入）

01、用户账户配置

1.1配置说明

root权限：
查看系统中存在的账户：
#cat /etc/passwd
应存在secadm、audadm账户，若不存在使用以下命令创建：
#useradd secadmin
#useradd audadmin
#useradd sysadmin
#passwd secadmin
#passwd audadmin
#passwd sysadmin
系统中mail、news、games、sync、halt账户更改为nologin状态，命令如下：
#usermod -s /sbin/nologin mail
#usermod -s /sbin/nologin games
#usermod -s /sbin/nologin news
#usermod -s /sbin/nologin sync
#usermod -s /sbin/nologin halt

1.2配置操作及参数说明

cat /etc/passwd
–查看用户列表
useradd –添加用户
usermod -s /sbin/nologin
–更改用户状态

05、安全评估Windows操作系统安全加固

Fri, 15 Nov 2024 09:44:26 +0800

1.用户权限策略配置

1.按下Win+R，输入框输入winver，确认系统版本;

2.按下Win+R，输入框输入compmgmt.msc，进入“计算机管理->本地用户和组->用户->新建用户”，分别创建安全管理员（secadmin）、审计管理员（audadmin）和系统管理员（sysadmin）；

3.安全管理员权限配置

选择用户“secadmin”，右击“属性”，进入“隶属于->添加->选择组->高级->立即查找”，同时选择BackupOperators和PowerUsers组，点击确定；

**注：**安全管理员隶属于BackupOperators和PowerUsers组，

审计管理员隶属于EventLogReaders和PerformanceLogUser组，

系统管理员隶属于NetworkConfigurationOperators组。

2.用户口令过期提醒

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“交互式登录：提示用户在过期之前更改密码”，设置为10天，点击确定。

3.用户口令复杂度策略

1.进入“控制面板->管理工具->本地安全策略->帐户策略->密码策略”；

或按下Win+R，输入框输入secpol.msc，进入“密码策略”；

2.双击“密码长度最小值”，设置“密码长度最小值”为8个字符，点击确定；

3.双击“密码必须符合复杂性要求”，勾选已启用，点击确定。

4.禁止用户修改IP

1.按下Win+R，输入框输入gpedit.msc，打开“本地组策略编辑器”；

2.进入“用户配置->管理模板->网络->网络连接”；

3.双击“禁止访问LAN连接组件的属性”，设置为已启用，点击确定；

4.双击“禁止访问LAN连接的属性”，设置为已启用，点击确定；

5.双击“禁用TCP/IP高级配置”，设置为已启用，点击确定。

5.禁止用户更改计算机名

1.按下Win+R，输入框输入gpedit.msc，打开“本地组策略编辑器”；

2.进入“用户配置->管理模板->桌面”；

3.双击“从‘计算机（我的电脑）’图标上下文菜单中删除属性”，设置为“已启用”，点击确定。

6.开启屏幕保护程序

1.桌面“右键->个性化->锁屏界面->屏幕保护程序”；

2.选择屏幕保护程序界面，设置“等待”为5，点击确定。

7.用户登录失败锁定

1.进入“控制面板->管理工具->本地安全策略->账户策略->帐户锁定策略”；

或按下Win+R，输入框输入secpol.msc，进入“帐户锁定策略”；

2.双击“帐户锁定阀值”设置，设置无效登录次数为5次，点击确定；

3.双击“帐户锁定时间”设置，设置锁定时间10分钟，点击确定。

8.系统不显示上次登录名

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“交互式登陆：不显示最后的用户名”，选择“已启用”，点击确定。

9.关闭默认共享

1.进入“开始->控制面板->管理工具->计算机管理（本地）->共享文件夹->共享”；

或按下Win+R，输入框输入compmgmt.msc，进入“共享文件夹“；

2.查看右侧窗口，选择对应的共享文件夹（例如C$，D$，ADMIN$，IPC$等），右击停止共享。

10.用户账户控制设置（UAC）

进入“开始->控制面板->用户账户和家庭安全->用户账户”；
更改“用户账户控制设置”，设置为“默认”，点击确定；

或按下Win+R，输入框输入useraccountcontrolsettings.exe，进行更改。

11.禁止未登录关机

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“关机: 允许系统在未登录的情况下关闭”，设置属性为“已禁用”，点击确定。

12.关机时清除虚拟内存页面文件

1.进入“开始->控制面板->管理工具->本地安全策略->安全选项”；

或按下Win+R，输入框输入secpol.msc，进入“安全选项”；

2.双击“关机: 清除虚拟内存页面文件”，属性设置为“已启用”，点击确定。

13.禁止非管理员关机

1.进入“开始->控制面板->管理工具->本地安全策略->本地策略->用户权限分配”；

或按下Win+R，输入框输入secpol.msc，进入“用户权限分配”；

2.分别双击“关闭系统”和“从远程系统强制关机”选项，仅配置系统管理员（sysadmin）用户。

14.启用SYN保护

1.按下Win+R，输入框中输入regedit命令；

2.查看注册表项，进入

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters；

新建字符串值，重命名为SynAttackProtect，双击修改数值数据为2；

4.新建字符串值，重命名为TcpMaxportsExhausted，双击修改数值数据为5；

5.新建字符串值，重命名为TcpMaxHalfOpen，双击修改数值数据为500；

6.新建字符串值，重命名为TcpMaxHalfOpenRetried，双击修改数值数据为400。

15.设置最小挂起时间

1.进入“控制面板->管理工具->本地安全策略->本地策略->安全选项”；

07、等保测评Centos操作系统安全加固

Fri, 15 Nov 2024 09:44:26 +0800

CentOS口令有效期配置

编辑该文档/etc/login.defs

PASS_MAX_DAYS 90

PASS_MIN_DAYS 5

PASS_MIN_LEN 8

PASS_WARN_AGE 7

CentOS操作系统账户禁用配置

Linux禁用无用账户，在该文件 /etc/passwd用户后面添加nologin

CentOS操作系统口令复杂度配置

在/etc/pam.d/system-auth文件中password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= 后添加

enforce_for_root minlen=8 ucredit=-1 lcredit=-1 ocredit=-1 dcredit=-1

CentOS操作系统登录失败处理配置

分别在cat /etc/pam.d/system-auth；

cat /etc/pam.d/login；

cat /etc/pam.d/sshd

中分别添加auth required pam_tally2.so deny=5 unlock_time=600 even_deny_root root_unlock_time=30

CentOS操作系统登录连接超时配置

连接超时在/etc/profile后添加

export TMOUT=600

CentOS操作系统口令修改

修改root密码

新建用户及修改普通用户密码

CentOS操作系统禁止root远程登录

认识sshd_congfig配置文件

禁止root远程登录配置

CentOS操作系统日志存储时间相关配置

示最大日志文件容量修改该文件中etc/audit/auditd.conf

max_log_file = 300

配置日志记录时间

修改/etc/logrotate.conf中rotate值为25

日志发送日志审计设备

修改/etc/rsyslog.conf中#. @@remote-host:514

11、等保2.0 Linux加固手册

Fri, 15 Nov 2024 09:44:26 +0800

一、身份鉴别

1）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

建议操作系统对登录的用户进行身份标识和鉴别，身份鉴别信息配置复杂度要求开启定期更换策略，避免使用弱口令，至少包含字母和数字，密码长度至少8位。密码最长使用90天，5次内不重复。整改方案如下：

1.修改 /etc/login.defs 文件内容即可，加入如下

密码最大有效期

PASS_MAX_DAYS 90

两次修改密码的最小间隔时间

PASS_MIN_DAYS 1

密码最小长度，对于root无效

PASS_MIN_LEN 8

密码过期前 7 天开始提示

PASS_WARN_AGE 7

2.对于密码的强度要求可以修改system-auth文件，vim /etc/pam.d/system-auth，修改如下：

添加以下内容

password requisite pam_cracklib.so retry=5 difok=3 minlen=10 ucredit=-1 lcredit=-3 dcredit=-3 dictpath=/usr/share/cracklib/pw_dict

remember=5 5次内密码不重复

retry=3 输入错误重试3次

difok=3

minlen=10表示最小密码长度为 10 类型数量

ucredit=-1表示密码必须至少包含1个大写字母

lcredit=-3表示密码必须至少包含3个小写字母

dcredit=-3表示密码必须至少包含3个数字

2）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

1.登录失败建议操作系统开启登录失败处理功能配置登录失败5次及锁定时间30分钟；输入命令vim /etc/pam.d/system-auth

添加以下内容

auth required pam_tally2.so onerr=fail deny=5 unlock_time=1800 even_deny_root root_unlock_time=1800

参数含义：密码错误 5 次锁定 1800 秒

2.会话过期，修改 /etc/profile 文件，输入命令vim /etc/profile

单位秒 1800秒

export TMOUT=1800

source /etc/profile

服务器 on ClearSec Wiki

03、Linux安装软件的几种方法

一、rpm包安装方式步骤：

1. 安装：

2. 卸载：

二、deb包安装方式步骤：

1. 安装

04、安全评估Linux主机加固操作手册

01、用户账户配置

1.1配置说明

1.2配置操作及参数说明

05、安全评估Windows操作系统安全加固

1.用户权限策略配置

2.用户口令过期提醒

3.用户口令复杂度策略

4.禁止用户修改IP

5.禁止用户更改计算机名

6.开启屏幕保护程序

7.用户登录失败锁定

8.系统不显示上次登录名

9.关闭默认共享

10.用户账户控制设置（UAC）

11.禁止未登录关机

12.关机时清除虚拟内存页面文件

13.禁止非管理员关机

14.启用SYN保护

15.设置最小挂起时间

07、等保测评Centos操作系统安全加固

CentOS口令有效期配置

CentOS操作系统账户禁用配置

CentOS操作系统口令复杂度配置

CentOS操作系统登录失败处理配置

CentOS操作系统登录连接超时配置

CentOS操作系统口令修改

修改root密码

新建用户及修改普通用户密码

CentOS操作系统禁止root远程登录

CentOS操作系统日志存储时间相关配置

配置日志记录时间

日志发送日志审计设备

11、等保2.0 Linux加固手册

一、身份鉴别

密码最大有效期

两次修改密码的最小间隔时间

密码最小长度，对于root无效

密码过期前 7 天开始提示

添加以下内容

remember=5 5次内密码不重复

retry=3 输入错误重试3次

difok=3

minlen=10表示最小密码长度为 10 类型数量

ucredit=-1表示密码必须至少包含1个大写字母

lcredit=-3表示密码必须至少包含3个小写字母

dcredit=-3表示密码必须至少包含3个数字

添加以下内容

参数含义： 密码错误 5 次锁定 1800 秒

单位秒 1800秒

参数含义：密码错误 5 次锁定 1800 秒