Linux配置审计策略，保障系统安全。 (linux修改审计策略)
Linux配置审计策略，保障系统安全
随着信息化建设的逐步推进，计算机系统已经成为各个领域中不可或缺的工具。而针对计算机系统的安全问题，也日益引起人们的重视。在保障计算机系统的安全方面，审计策略是非常重要的一种方法。本文主要探讨如何通过Linux配置审计策略来保障系统的安全。
一、Linux配置审计的基本概念
Linux配置审计是指对Linux系统配置文件进行跟踪、监控，并对所有行为进行记录、报告的一种技术手段。Linux系统在遭受攻击或出现异常时，系统管理员可以通过审计记录分析，找出安全漏洞，及时采取措施，保护系统安全。
通过Linux配置审计，可以监控系统的各种配置文件，如/etc/passwd、/etc/group、/etc/shadow等文件的变更情况，也可以监控系统日志、端口号的变化情况等。并将上述所有数据放入审计日志中，供管理员分析使用。
二、Linux配置审计的重要性
Linux是一种开源操作系统，受到了广泛的应用。然而，Linux系统也存在很多与安全相关的问题。黑客可以利用各种漏洞攻击操作系统，从而获取重要的数据、访问权限等敏感信息。但是，Linux配置审计可以将所有的行为记录下来，有利于管理员发现潜在的安全隐患，并及时采取措施。
此外，对于一些对数据安全要求较高的组织，部门以及金融、能源等关键行业，Linux配置审计非常重要。这些关键行业的数据安全问题如果存在漏洞，将会给社会带来严重的后果。通过Linux配置审计，管理员可以及时发现问题，加强系统的安全性。
三、Linux配置审计的实现方法
方法一、syslog-ng
syslog-ng是一款免费的开源日志管理程序，可以对Linux系统中的日志信息进行管理和审计。syslog-ng可以对系统日志进行过滤和分类，并将相关信息记录到审计日志文件中，方便管理员进行分析和处理。
方法二、auditd
auditd是一款免费的Linux审核守护程序，可以监视系统中所有的操作，并将相关信息记录到审计日志中。auditd监视的范围非常广泛，包括系统调用、进程启动、文件访问等一系列行为。这些行为将被记录下来，以便管理员进行监控以及故障诊断。
方法三、logrotate
logrotate是一个管理日志文件的程序，可以自动压缩、轮换、删除系统的日志文件。通过logrotate，管理员可以合理的管理系统日志，避免出现系统磁盘空间不足等情况，并及时备份重要的日志文件。
四、 Linux配置审计策略的应用
在实际应用中，Linux配置审计策略通常具有以下几个方面：
方面一、审计用户登录信息
Linux系统以账户登录的方式进行使用，而账户登录信息的安全性非常重要。管理员可以在Linux系统的/etc/profile.d目录中添加一个脚本，记录所有用户的登录时间、登录IP地址等信息。通过及时监控这些信息，管理员可以发现异常登录情况，提高系统的安全性。
方面二、审计系统日志
Linux系统在运行过程中会生成大量的系统日志信息，审计这些信息非常重要。管理员可以使用logrotate程序管理日志文件，定期备份重要的日志文件，同时也可将日志信息发送到远程日志服务器上，进行集中管理与审计。
方面三、审计文件访问日志
Linux系统的很多关键文件，如/etc/passwd、/etc/shadow等文件都是存储用户信息的文件，必须保护好。管理员可以通过auditd程序对这些文件进行监视和审计，记录文件的访问和修改等操作。当这些文件被非法修改时，管理员可以及时发现并进行处理。
五、结论
通过Linux配置审计策略，可以实现对系统行为的全方位监视和审计，有利于提高系统的安全性。在实际应用中，管理员可以根据实际需要选择适合自己的审计方式，针对不同的系统行为进行监控。同时，审计策略的实施需要得到上层领导的支持和配合，加强工作的协调与配合，才能够真正发挥其在保障系统安全方面的作用。
相关问题拓展阅读：
linux安全加固应关闭什么服务
这些都是安全加固的方法，服务不是靠关闭就能加固的。
一. 账户安全
1.1 锁定系统中多余的自建帐号
检查方法:
执行命令
#cat /etc/passwd
#cat /etc/shadow
查看账户、口令文件，与系统桐洞管理员确认不必要的账号。对于一些保留的系统伪帐户如：bin, sys，adm，uucp，lp, nuucp，hpdb, www, daemon等可根据需要锁定登陆。
备份方法：
#cp -p /etc/passwd /etc/passwd_bak
#cp -p /etc/shadow /etc/shadow_bak
加固方法:
使用命令passwd -l 锁定不必要的账号。
使用命令passwd -u 解锁需要恢复的账号。
图1
风险:
需要与管理员确认此项操作不会影响到业务系统的登录
1.2设置系统口令策略
检查方法：
扰唯 使用命令
#cat /etc/login.defs|grep PASS查看密码策略设置
备份方法：
cp -p /etc/login.defs /etc/login.defs_bak
加固方法：
#vi /etc/login.defs修改配置文件
PASS_MAX_DAYS 90 #新建用户的密码最长使用天数
PASS_MIN_DAYS 0 #新建用户的密码最短使用天数
PASS_WARN_AGE 7 #新建用户的密码到期提缓轮培前提醒天数
PASS_MIN_LEN 9 #最小密码长度9
图2
风险：无可见风险
1.3禁用root之外的超级用户
检查方法：
#cat /etc/passwd 查看口令文件，口令文件格式如下：
login_name：password：user_ID：group_ID：comment：home_dir：command
login_name：用户名
password：加密后的用户密码
user_ID：用户ID，(1 ~ 6000) 若用户ID=0，则该用户拥有超级用户的权限。查看此处是否有多个ID=0。
group_ID：用户组ID
comment：用户全名或其它注释信息
home_dir：用户根目录
command：用户登录后的执行命令
备份方法：
#cp -p /etc/passwd /etc/passwd_bak
加固方法：
使用命令passwd -l 锁定不必要的超级账户。
使用命令passwd -u 解锁需要恢复的超级账户。
风险：需要与管理员确认此超级用户的用途。
1.4 限制能够su为root的用户
检查方法：
#cat /etc/pam.d/su,查看是否有auth required /lib/security/pam_wheel.so这样的配置条目
备份方法：#cp -p /etc/pam.d /etc/pam.d_bak
加固方法：
#vi /etc/pam.d/su
在头部添加：
auth required /lib/security/pam_wheel.so group=wheel
这样，只有wheel组的用户可以su到root
#usermod -G10 test 将test用户加入到wheel组
图3
风险：需要PAM包的支持;对pam文件的修改应仔细检查，一旦出现错误会导致无法登陆;和管理员确认哪些用户需要su。
当系统验证出现问题时，首先应当检查/var/log/messages或者/var/log/secure中的输出信息，根据这些信息判断用户账号的有效
性。如果是因为PAM验证故障，而引起root也无法登录，只能使用single user或者rescue模式进行排错。
1.5 检查shadow中空口令帐号
检查方法：
#awk -F: ‘( == “”) { print }’ /etc/shadow
备份方法：cp -p /etc/shadow /etc/shadow_bak
加固方法：对空口令账号进行锁定，或要求增加密码
图4
风险：要确认空口令账户是否和应用关联，增加密码是否会引起应用无法连接。
二、最小化服务
2.1 停止或禁用与承载业务无关的服务
检查方法：
#who –r或runlevel 查看当前init级别
#chkconfig –list 查看所有服务的状态
备份方法：记录需要关闭服务的名称
加固方法：
#chkconfig –level on|off|reset 设置服务在个init级别下开机是否启动
图5
风险：某些应用需要特定服务，需要与管理员确认。
三、数据访问控制
3.1 设置合理的初始文件权限
检查方法：
#cat /etc/profile 查看umask的值
备份方法：
#cp -p /etc/profile /etc/profile_bak
加固方法：
#vi /etc/profile
umask=027
风险：会修改新建文件的默认权限，如果该服务器是WEB应用，则此项谨慎修改。
四、网络访问控制
4.1 使用SSH进行管理
检查方法：
#ps –aef | grep sshd 查看有无此服务
备份方法：
加固方法：
使用命令开启ssh服务
#service sshd start
风险：改变管理员的使用习惯
4.2 设置访问控制策略限制能够管理本机的IP地址
检查方法：
#cat /etc/ssh/sshd_config 查看有无AllowUsers的语句
备份方法：
#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak
加固方法：
#vi /etc/ssh/sshd_config，添加以下语句
AllowUsers .*.* 此句意为：仅允许10.138.0.0/16网段所有用户通过ssh访问
保存后重启ssh服务
#service sshd restart
风险：需要和管理员确认能够管理的IP段
4.3 禁止root用户远程登陆
检查方法：
#cat /etc/ssh/sshd_config 查看PermitRootLogin是否为no
备份方法：
#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak
加固方法：
#vi /etc/ssh/sshd_config
PermitRootLogin no
保存后重启ssh服务
service sshd restart
图6
风险：root用户无法直接远程登录，需要用普通账号登陆后su
4.4 限定信任主机
检查方法：
#cat /etc/hosts.equiv 查看其中的主机
#cat /$HOME/.rhosts 查看其中的主机
备份方法：
#cp -p /etc/hosts.equiv /etc/hosts.equiv_bak
#cp -p /$HOME/.rhosts /$HOME/.rhosts_bak
加固方法：
#vi /etc/hosts.equiv 删除其中不必要的主机
#vi /$HOME/.rhosts 删除其中不必要的主机
风险：在多机互备的环境中，需要保留其他主机的IP可信任。
4.5 屏蔽登录banner信息
检查方法：
#cat /etc/ssh/sshd_config 查看文件中是否存在Banner字段，或banner字段为NONE
#cat /etc/motd 查看文件内容，该处内容将作为banner信息显示给登录用户。
备份方法：
#cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config_bak
#cp -p /etc/motd /etc/motd_bak
加固方法：
#vi /etc/ssh/sshd_config
banner NONE
#vi /etc/motd
删除全部内容或更新成自己想要添加的内容
风险：无可见风险
4.6 防止误使用Ctrl+Alt+Del重启系统
检查方法：
#cat /etc/inittab|grep ctrlaltdel 查看输入行是否被注释
备份方法：
#cp -p /etc/inittab /etc/inittab_bak
加固方法：
#vi /etc/inittab
在行开头添加注释符号“#”
#ca::ctrlaltdel:/in/shutdown -t3 -r now
图7
风险：无可见风险
五、用户鉴别
5.1 设置帐户锁定登录失败锁定次数、锁定时间
检查方法：
#cat /etc/pam.d/system-auth 查看有无auth required pam_tally.so条目的设置
备份方法：
#cp -p /etc/pam.d/system-auth /etc/pam.d/system-auth_bak
加固方法：
#vi /etc/pam.d/system-auth
auth required pam_tally.so onerr=fail deny=6 unlock_time=300 设置为密码连续错误6次锁定，锁定时间300秒
解锁用户 faillog -u -r
风险：需要PAM包的支持;对pam文件的修改应仔细检查，一旦出现错误会导致无法登陆;
当系统验证出现问题时，首先应当检查/var/log/messages或者/var/log/secure中的输出信息，根据这些信息判断用户账号的有效
性。
5.2 修改帐户TMOUT值，设置自动注销时间
检查方法：
#cat /etc/profile 查看有无TMOUT的设置
备份方法：
#cp -p /etc/profile /etc/profile_bak
加固方法：
#vi /etc/profile
增加
TMOUT=600 无操作600秒后自动退出
风险：无可见风险
5.3 Grub/Lilo密码
检查方法：
#cat /etc/grub.conf|grep password 查看grub是否设置密码
#cat /etc/lilo.conf|grep password 查看lilo是否设置密码
备份方法：
#cp -p /etc/grub.conf /etc/grub.conf_bak
#cp -p /etc/lilo.conf /etc/lilo.conf_bak
加固方法：为grub或lilo设置密码
风险：etc/grub.conf通常会链接到/boot/grub/grub.conf
5.4 限制FTP登录
检查方法：
#cat /etc/ftpusers 确认是否包含用户名，这些用户名不允许登录FTP服务
备份方法：
#cp -p /etc/ftpusers /etc/ftpusers_bak
加固方法：
#vi /etc/ftpusers 添加行，每行包含一个用户名，添加的用户将被禁止登录FTP服务
风险：无可见风险
5.5 设置Bash保留历史命令的条数
检查方法：
#cat /etc/profile|grep HISTSIZE=
#cat /etc/profile|grep HISTFILESIZE= 查看保留历史命令的条数
备份方法：
#cp -p /etc/profile /etc/profile_bak
加固方法：
#vi /etc/profile
修改HISTSIZE=5和HISTFILESIZE=5即保留最新执行的5条命令
图8
风险：无可见风险
六、审计策略
6.1 配置系统日志策略配置文件
检查方法：
#ps –aef | grep syslog 确认syslog是否启用
#cat /etc/syslog.conf 查看syslogd的配置，并确认日志文件是否存在
系统日志(默认)/var/log/messages
cron日志(默认)/var/log/cron
安全日志(默认)/var/log/secure
备份方法：
#cp -p /etc/syslog.conf
图9
6.2 为审计产生的数据分配合理的存储空间和存储时间
检查方法：
#cat /etc/logrotate.conf 查看系统轮询配置，有无
# rotate log files weekly
weekly
# keep 4 weeks worth of backlogs
rotate 4 的配置
备份方法：
#cp -p /etc/logrotate.conf /etc/logrotate.conf_bak
加固方法：
#vi /etc/logrotate.d/syslog
增加
rotate 4 日志文件保存个数为4，当第5个产生后，删除最早的日志
size 100k 每个日志的大小
加固后应类似如下内容：
/var/log/syslog/*_log {
missingok
notifempty
size 100k # log files will be rotated when they grow bigger that 100k.
rotate 5 # will keep the logs for 5 weeks.
compress # log files will be compressed.
sharedscripts
postrotate
/etc/init.d/syslog condrestart >/dev/null 2>1 || true
endscript
}
1、禁用无关的组(编辑： vi /etc/group)
2、禁止root用户远程尘孝登录
3、如果不需要Windows网络共享功能，则可以放心关闭Samba。
使用下面的命令能查看伴随猜兄耐系统启动而启动的服务穗春：
如何修改Linux系统的 /etc/ssh/sshd
之一步：枯伏雀我们使用命令行vim /etc/ssh/sshd_config 执行修改，强制保持 ：wq！ 系统不让我们修改这个文件
“/etc/ssh/sshd_config”
“/etc/ssh/厅蠢sshd_config” E212: Can’t open file for writing
Press ENTER or type command to continue
既然不让我们编辑 我们就换个命令行
第二步：命令行没早输入 sudo gedit /etc/ssh/sshd_config，
系统提示我们输入密码，输入密码即可
在这里我们就可以编辑想要编辑的内容了 然后保存即可
不能连接的主尺隐卖要原因是因为防火墙阻挡了新的端口,说明你的永久的更改了sshd的端口,但是防火墙策略确是临时的(也就是重启就会失效的),lz可以将防火墙策略保存,以便重启机器后仍然能使ssh新端口正常服务,不受防火墙阻拦陵逗.如果lz所用防火墙的iptables的携闷话
红帽系统查询是否开启审计功能
红帽系统可以通过查看当前系统是否安装了蔽岩审计相关的软件包来判断是否开启了审计功能。通常情况下，Red Hat Enterprise Linux（RHEL）系统默认已安装了审计相关的软件包，例如audit和audit-libs。此外，还可以通过检查系统中的auditd服务是否正在运行来确定审计功能是否开启。如果auditd服务正在运行，则说明审计功能已经开启。
审计功能可以对系统中的各种操作进行监控和记录，包括用户登录、文件访问、系统配置变更等。通过审计功能，可以提高系统的安全性和可审计性，有助于追踪系统中的异常行腔迅为和安全事件。在红帽系统中，伍并此可以通过配置auditd服务来实现更加细粒度的审计策略，并定期对审计日志进行分析和审计报告生成，以便对系统运行情况进行全面的监控和分析。
查询红帽系统是否开启审计功能，可以执行以下命令：
“`
systemctl status auditd
“`
如果返回结果中显示”Active: active (running)”，则表示审计功能已开启。如果返回结果中显示”Active: inactive (dead)”，则表示审计功能未开启。
审计功能可以记录系统的操作日志和事件，包括用户登录、文件访问、网漏皮改络连接等，用于监控系统安全和追踪系统问题。因此，开启审计功能可以提升系统的安全性和可靠性，对于需要保护隐私和敏感信息的握让系统尤为重要。
在红帽系统中，审计功能的配置和管理可以通过auditd服务来完成，可以使用auditctl命令进行配置和查询。同时，还可以使用第三方工具如aureport、ausearch等来分析和查询审计日志。
总之，开启审计功能不仅可以提升系统的安全性和可靠性，还可以提供重要的日志信息用于系统监控和返判问题排查。
查询红帽系统是否开启审计功能，可以通过查看系统日志文件/var/log/audit/audit.log是否存在来判断。如果该文件存在，则核拦表明系统启用了审计功能，否则则表示未启余睁用。审计功能可以记录系统中的各种活动，包括用户登录、文件操作、系统配置更改等等，能够帮助管理员竖氏岁及时发现并追踪系统中的异常活动，保障系统的安全性和稳定性。
此外，对于已启用审计功能的系统，还可以通过auditctl命令来查看、添加、删除审计规则，以满足不同的安全需求。例如，可以通过添加规则来对某些文件或目录进行监控，当文件或目录被修改或删除时，可以及时记录并提醒管理员。审计功能在保障系统安全方面起到了重要作用，建议管理员在配置系统时启用该功能。
linux修改审计策略的介绍就聊到这里吧，感谢你花时间阅读本站内容，更多关于linux修改审计策略,Linux配置审计策略，保障系统安全。,linux安全加固应关闭什么服务,如何修改Linux系统的 /etc/ssh/sshd,红帽系统查询是否开启审计功能的信息别忘了在本站进行查找喔。
