Hpux安全配置规范Word文件下载.docx
- 文档编号:18814639
- 上传时间:2023-01-01
- 格式:DOCX
- 页数:35
- 大小:27.85KB
Hpux安全配置规范Word文件下载.docx
《Hpux安全配置规范Word文件下载.docx》由会员分享,可在线阅读,更多相关《Hpux安全配置规范Word文件下载.docx(35页珍藏版)》请在冰豆网上搜索。
1)修改/etc/shadow文件,用户名后加NP
2)将/etc/passwd文件中的shell域设置成/bin/noshell
3)#passwd-lusername
只有具备超级用户权限的使用者方可使用,#passwd-lusername锁定用户,用#passwd–dusername解锁后原有密码失效,登录需输入新密码,修改/etc/shadow能保留原有密码。
需要锁定的用户:
lp,nuucp,hpdb,。
注:
无关的账号主要指测试帐户、共享帐号、长期不用账号(半年以上未用)等
被删除或锁定的账号无法登录成功;
使用删除或锁定的与工作无关的账号登录系统;
3
根据系统要求及用户的业务需求,建立多帐户组,将用户账号分配到相应的帐户组。
创建帐户组:
#groupadd–gGIDgroupname#创建一个组,并为其设置GID号,若不设GID,系统会自动为该组分配一个GID号;
#usermod–ggroupusername#将用户username分配到group组中。
查询被分配到的组的GID:
#idusername
可以根据实际需求使用如上命令进行设置。
可以使用-g选项设定新组的GID。
0到499之间的值留给root、bin、mail这样的系统账号,因此最好指定该值大于499。
如果新组名或者GID已经存在,则返回错误信息。
当group_name字段长度大于八个字符,groupadd命令会执行失败;
当用户希望以其他用户组成员身份出现时,需要使用newgrp命令进行更改,如#newgrpsys即把当前用户以sys组身份运行;
可以查看到用户账号分配到相应的帐户组中;
或都通过命令检查账号是否属于应有的组:
#idusername
查看组文件:
cat/etc/group
文件中的格式说明:
group_name:
:
GID:
user_list
2.2口令
对于采用静态口令认证技术的设备,口令长度至少8位,并包括数字、小写字母、大写字母和特殊符号4类中至少3类。
1参考配置操作
ch_rc–a-pMIN_PASSWORD_LENGTH=8/etc/default/security
ch_rc–a-pPASSWORD_HISTORY_DEPTH=10\
/etc/default/security
ch_rc–a–pPASSWORD_MIN_UPPER_CASE_CHARS=1\
ch_rc–a–pPASSWORD_MIN_DIGIT_CHARS=1\
ch_rc–a–pPASSWORD_MIN_SPECIAL_CHARS=1\
ch_rc–a–pPASSWORD_MIN_LOWER_CASE_CHARS=1\
modprdef-mnullpw=NO
modprdef-mrstrpw=YES
MIN_PASSWORD_LENGTH=8#设定最小用户密码长度为8位
PASSWORD_MIN_UPPER_CASE_CHARS=1#表示至少包括1个大写字母
PASSWORD_MIN_DIGIT_CHARS=1#表示至少包括1个数字
PASSWORD_MIN_SPECIAL_CHARS=1#表示至少包括1个特殊字符(特殊字符可以包括控制符以及诸如星号和斜杠之类的符号)
PASSWORD_MIN_LOWER_CASE_CHARS=1#表示至少包括1个小写字母
当用root帐户给用户设定口令的时候不受任何限制,只要不超长。
不同的HP-UX版本可能会有差异,请查阅当前系统的manpagesecurity(5)详细说明
不符合密码强度的时候,系统对口令强度要求进行提示;
符合密码强度的时候,可以成功设置;
1、检查口令强度配置选项是否可以进行如下配置:
i.配置口令的最小长度;
ii.将口令配置为强口令。
2、创建一个普通账号,为用户配置与用户名相同的口令、只包含字符或数字的简单口令以及长度短于8位的口令,查看系统是否对口令强度要求进行提示;
输入带有特殊符号的复杂口令、普通复杂口令,查看系统是否可以成功设置。
对于采用静态口令认证技术的设备,帐户口令的生存期不长于90天。
以下的shell语句将设置除root外的所有有效登录的账号密码过期和过前期的收到警告设置:
logins-ox\
|awk-F:
'
($8!
="
LK"
&
&
$1!
root"
){print$1}'
\
|whilereadlogname;
do
passwd–x91–n7–w28"
$logname"
/usr/lbin/modprpw-mexptm=90,mintm=7,expwarn=30\
"
done
echoPASSWORD_MAXDAYS=91>
>
echoPASSWORD_MINDAYS=7>
echoPASSWORD_WARNDAYS=28>
/usr/lbin/modprdef-mexptm=90,expwarn=30
用户将在密码过期前的30天收到警告信息(28天没有运行在HP-UX的Trusted模式)
登录不成功;
使用超过90天的帐户口令登录;
测试时可以将90天的设置缩短来做测试。
对于采用静态口令认证技术的设备,应配置设备,使用户不能重复使用最近5次(含5次)内已使用的口令。
vi/etc/default/passwd,修改设置如下
HISTORY=5
#HISTORYsetsthenumberofpriorpasswordchangestokeepand
#checkforauserwhenchangingpasswords.SettingtheHISTORY
#valuetozero(0),orremoving/commentingouttheflagwill
#causeallusers'
priorpasswordhistorytobediscardedatthe
#nextpasswordchangebyanyuser.Nopasswordhistorywill
#becheckediftheflagisnotpresentorhaszerovalue.
#ThemaximumvalueofHISTORYis26.
NIS系统无法生效,非NIS系统或NIS+系统能够生效。
设置密码不成功
cat/etc/default/passwd,设置如下
默认没有HISTORY的标记,即不记录以前的密码
4
对于采用静态口令认证技术的设备,应配置当用户连续认证失败次数超过6次(不含6次),锁定该用户使用的账号。
指定当本地用户登陆失败次数等于或者大于允许的重试次数则账号被锁定:
logins-ox\
/usr/lbin/modprpw-mumaxlntr=6"
modprdef-mumaxlntr=6
echoAUTH_MAXTRIES=6>
/etc/default/security
除root外的有效账号都将被设置重复登录失败次数为6
帐户被锁定,不再提示让再次登录;
创建一个普通账号,为其配置相应的口令;
并用新建的账号通过错误的口令进行系统登录6次以上(不含6次);
1、补充说明
root账号不在锁定的限制范围内
2.3文件与目录权限
在设备权限配置能力内,根据用户的业务需要,配置其所需的最小权限。
通过chmod命令对目录的权限进行实际设置。
etc/passwd必须所有用户都可读,root用户可写–rw-r—r—
/etc/shadow只有root可读–r--------
/etc/group必须所有用户都可读,root用户可写–rw-r—r—
使用如下命令设置:
chmod644/etc/passwd
chmod600/etc/shadow
chmod644/etc/group
如果是有写权限,就需移去组及其它用户对/etc的写权限(特殊情况除外)
执行命令#chmod-Rgo-w/etc
1、设备系统能够提供用户权限的配置选项,并记录对用户进行权限配置是否必须在用户创建时进行;
2、记录能够配置的权限选项内容;
3、所配置的权限规则应能够正确应用,即用户无法访问授权范围之外的系统资源,而可以访问授权范围之内的系统资源。
1、利用管理员账号登录系统,并创建2个不同的用户;
2、创建用户时查看系统是否提供了用户权限级别以及可访问系统资源和命令的选项;
3、为两个用户分别配置不同的权限,2个用户的权限差异应能够分别在用户权限级别、可访问系统资源以及可用命令等方面予以体现;
4、分别利用2个新建的账号访问设备系统,并分别尝试访问允许访问的内容和不允许访问的内容,查看权限配置策略是否生效。
控制用户缺省访问权限,当在创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。
防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高限制。
设置默认权限:
Vi/etc/default/security在末尾增加umask027
修改文件或目录的权限,操作举例如下:
#chmod444dir;
#修改目录dir的权限为所有人都为只读。
根据实际情况设置权限;
如果用户需要使用一个不同于默认全局系统设置的umask,可以在需要的时候通过命令行设置,或者在用户的shell启动文件中配置。
权限设置符合实际需要;
不应有的访问允许权限被屏蔽掉;
查看新建的文件或目录的权限,操作举例如下:
#ls-ldir;
#查看目录dir的权限
#cat/etc/default/login查看是否有umask027内容
umask的默认设置一般为022,这给新创建的文件默认权限755(777-022=755),这会给文件所有者读、写权限,但只给组成员和其他用户读权限。
umask的计算:
umask是使用八进制数据代码设置的,对于目录,该值等于八进制数据代码777减去需要的默认权限对应的八进制数据代码值;
对于文件,该值等于八进制数据代码666减去需要的默认权限对应的八进制数据代码值。
3
如果需要启用FTP服务,控制FTP进程缺省访问权限,当通过FTP服务创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。
if[["
$(uname-r)"
=B.10*]];
then
else
fi
fornameinrootdaemonbinsysadmlp\
uucpnuucpnobodyhpdbuseradm
echo$name
done>
$
sort–u$>
cp$$
rm–f$
chownbin:
bin$
chmod600$
查看#cat
说明:
在这个列表里边的用户名是不允许ftp登陆的。
root
daemon
bin
sys
adm
lp
uucp
nuucp
listen
nobody
hpdb
useradm
#more/etc/[/ftpd]/
#more/etc/passwd
2.4远程维护
1
限制具备超级管理员权限的用户远程登录。
远程执行管理员权限操作,应先以普通权限用户远程登录后,再切换到超级管理员权限账号后执行相应操作。
2、参考配置操作
编辑/etc/securetty,加上:
console
保存后退出,并限制其他用户对此文本的所有权限:
chownroot:
sys/etc/securetty
chmod600/etc/securetty
此项只能限制root用户远程使用telnet登录。
用ssh登录,修改此项不会看到效果的
如果限制root从远程ssh登录,修改/etc/ssh/sshd_config文件,将PermitRootLoginyes改为PermitRootLoginno,重启sshd服务。
root远程登录不成功,提示“没有权限”;
普通用户可以登录成功,而且可以切换到root用户;
root从远程使用telnet登录;
普通用户从远程使用telnet登录;
root从远程使用ssh登录;
普通用户从远程使用ssh登录;
限制root从远程ssh登录,修改/etc/ssh/sshd_config文件,将PermitRootLoginyes改为PermitRootLoginno,重启sshd服务。
2
对于使用IP协议进行远程维护的设备,设备应配置使用SSH等加密协议,禁止使用telnet等明文传输协议进行远程维护;
1、下载和安装OpenSSH
在网站上免费获取OpenSSH;
并根据安装文件说明执行安装步骤。
2、完成下面安装后的配置:
cd/opt/ssh/etc
cp-psshd_configsshd_config.tmp
awk'
/^Protocol/{$2="
2"
};
/^X11Forwarding/{$2="
yes"
/^IgnoreRhosts/{$2="
/^RhostsAuthentication/{$2="
no"
/^RhostsRSAAuthentication/{$2="
/(^#|^)PermitRootLogin/{
$1="
PermitRootLogin"
;
$2="
/^PermitEmptyPasswords/{$2="
/^#Banner/{
Banner"
/etc/issue"
}
{print}'
sshd_config.tmp>
sshd_config
rm-fsshd_config.tmp
chownroot:
sysssh_configsshd_config
chmodgo-wssh_configsshd_config
先拷贝一份配置,再用awk生成一份修改了安全配置的临时文件,最后替换原始配置文件ssh_config,其中配置含义如下:
Protocol=2#使用ssh2版本
X11Forwarding#允许窗口图形传输使用ssh加密
IgnoreRhosts=yes#完全禁止SSHD使用.rhosts文件
RhostsAuthentication=no#不设置使用基于rhosts的安全验证
RhostsRSAAuthentication=no#不设置使用RSA算法的基于rhosts的安全验证。
3、补充操作说明
查看SSH服务状态:
#ps–elf|grepssh
禁止使用telnet等明文传输协议进行远程维护;
如特别需要,需采用访问控制策略对其进行限制;
#ps–ef|grepssh
是否有ssh进程存在
是否有telnet进程存在
查看telnet服务状态:
#ps–ef|greptelnet
2.5补丁安全
应根据需要及时进行补丁装载。
对服务器系统应先进行兼容性测试。
看版本是否为最新版本。
执行下列命令,查看版本及大补丁号。
#uname–a
HP-UX:
执行下列命令,查看各包的补丁号
#swlist
#uname–a查看版本及大补丁号
#swlist命令检补丁号
在保证业务及网络安全的前提下,经过实验室测试后,更新使用最新版本的操作系统补丁
2.6日志安全
打开syslog系统日志审计功能有助于系统的日常维护和故障排除,或者防止被攻击后查看日志采取防护补救措施,增强系统安全日志。
修改配置文件vi/etc/syslog.conf,
配置如下类似语句:
*.err;
kern.debug;
daemon.notice;
/var/adm/messages
定义为需要保存的设备相关安全事件。
查看/var/adm/messages,记录有需要的设备相关的安全事件。
设备应配置权限,控制对日志文件读取、修改和删除等操作。
检查系统日志:
awk<
/etc/syslog.conf'
$0!
~/^#/&
$2~"
^/"
{
print$2
}
'
|sort-u|whilereadfile
doif[-d"
$file"
-o-c"
-o\
-b"
-o-p"
]
then:
elif[!
-f"
thenmkdir-p"
$(dirname"
)"
touch"
chmod640"
elsechmodo-w"
fi
done
检查其他日志:
hostname=`uname-n`
chmodo-w
/tmp/snmpd.log\
/var/X11/Xserver/logs/X0.log
/var/X11/Xserver/logs/X1.log
/var/X11/Xserver/logs/X2.log
/var/adm/automount.log
/var/adm/snmpd.log
/var/opt/dce/svc/error.log
/var/opt/dce/svc/fatal.log
/var/opt/dce/svc/warning.log
/var/opt/dde/dde_error_log
/var/opt/hppak/hppak_error_log
/var/opt/ignite/logs/makrec.log1
/var/opt/ignite/recovery/fstab
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Hpux 安全 配置 规范