Solaris安全加固和Bind安装配置Word下载.docx
- 文档编号:22834788
- 上传时间:2023-02-05
- 格式:DOCX
- 页数:13
- 大小:20.88KB
Solaris安全加固和Bind安装配置Word下载.docx
《Solaris安全加固和Bind安装配置Word下载.docx》由会员分享,可在线阅读,更多相关《Solaris安全加固和Bind安装配置Word下载.docx(13页珍藏版)》请在冰豆网上搜索。
timedgramudpwaitrootinternal
echostreamtcpnowaitrootinternal
echodgramudpwaitrootinternal
discardstreamtcpnowaitrootinternal
discarddgramudpwaitrootinternal
daytimestreamtcpnowaitrootinternal
daytimedgramudpwaitrootinternal
rstatd/2-4tlirpc/datagram_vwaitroot/usr/lib/netsvc/rstat/rpc.rstatdrpc.rstatd//性能监测也可去掉
fsstreamtcpwaitnobody/usr/openwin/lib/fs.autofs
100083/1tlirpc/tcpwaitroot/usr/dt/bin/rpc.ttdbserverdrpc.ttdbserverd
在只需要不多图形操作的服务器或是要保证相当的安全,你也许应该关掉字体服务fs,也可以关掉系统性能监视器rstatd和tooltalk服务器ttdbserverd。
事实上在确实需要安全的机器上
你甚至应该注释掉telnet和ftp。
你可以用grep找出机器能过inetd所提供的服务:
grep-v"
^#"
/etc/inetd.conf
这将返回/etc/inetd.conf中所有没被注释掉的行。
在/etc/inetd.conf中做出改变之后,找到inetd进程的id号,用kill向它发送HUP信号来刷新
它。
一定要确保kill了inetd进程后,它还在运行,例如:
root@multics:
ps-ef|grepinetd
root1961015:
32:
14?
0:
00/usr/sbin/inetd-s
kill-HUP196
5.修改文件:
/etc/rcx.d关闭不需要的服务
去掉:
S01MOUNTFSYS+加载文件系统/******启动
S05RMTMPFILES+清空/tmp文件系统过程按数字大小的顺序为准
S10lu=当运行liveupdate后清理系统
S15nfs.server-启动nfs服务器NFS网络文件服务器
S13kdc.master-启动Kerberos服务器
S14kdc-启动Kerberos服务器Kerberos认证服务器
S16boot.server-启动bootp服务器
S20sysetup+设置系统初始参数
S21perf=性能记账服务(无效)
S+配置基本网络参数
S34dhcp=启动dhcp
S40llc2+启动ClassIIlogicallinkcontroldriver逻辑链路控制程序驱动
S42ncakmod=启动SolarisNetworkCacheandAccelerator(NCA)NCA网络缓存加速驱动,可以提高HTTPServer吞吐率
S47pppd-启动拨号访问服务器进程串行线拨号访问服务器
S50apache-启动apache服务器
S69inet=启动inetd进程Internet服务超级进程,配置文件/etc/inetd.conf,启动一系列
服务,如telnet/ftp等。
s70uucp-启动uucpuucp服务,无用
S71rpc+启动rpcbind服务rpcbind(RPCPortmap服务),如果需要CDE的话,这个进程是必需的
S71sysid.sys+配置一些系统参数
S71ldap.client-启动LDAP客户端
S72directory-启动目录服务
S72inetsvc+启动inetserver,包含named/nis启动名字解析服务,包含named和nis两部分
s72slpd-启动slpd打印服务系统的一部分
S72autoinstall=启动自动安装守护进程当放入sun兼容的媒体介质时,会自动启动安装脚本
S73cachefs.daemon-启动cachefsdNFS缓存服务,可以提高NFS吞吐率
S73nfs.client=启动nfs客户端NFS客户端程序
S74syslog+启动syslog系统日志守护进程,必需
s74autofs-启动automountfsd当使用NFS时,这个进程会自动加载或卸载无用的用户网络文件系统配置文件/etc/auto_home和auto_master但是当没有使用nfs时,这个进程会对系统管理造成一些负面影响
s74xntpd-启动网络时间同步服务
S75cron+启动crontab服务系统任务自动调度守护进程
S75savecore+
S76nscd+启动nscd,名字服务缓存DNS名字缓存服务
S76snmpdx-启动snmp服务器
启动SNMP服务,允许远程网络管理
S77dmi-启动snmp-dmi服务SNMP子服务
S80spc-启动lpd打印守护进程打印服务系统的一部分
S80lp-启动lpd打印调度守护进程打印服务系统的一部分
S80mipagent-启动MobileIP代理
S85lmgrd+启动flexlmlicense服务器SolarisLicense管理服务器
85power+启动电源守护进程
S88utmpd+启动utmpd
s88sendmail-启动sendmail
S89PRESERVE=保留,无效
S89sshd+启动sshd服务器
S90wbem=启动wbem,基于web的管理界面WBEM,Solaris系统管理界面服务器,可以使用/usr/sadm/bin/smc启动客户端程序连接管理
S90samba-启动samba服务器SambaCIFS网络文件服务器
S93cacheos.finish–
S94ncalogd=启动SolarisNetworkCacheandAcceleratorLOGdNCA进程日志
S95IIim+启动输入法守护进程
Solaris国际化支持的一部分,启动东亚语言输入法
S95svm.sync+启动devfsadm,devfs同步进程监控系统硬件,使/dev与/devices设备文同步
S99audit启动BSM审计进程SolarisBaseSecurieyModula,启动SolarisC2安全审计默认未动
S99dtlogin=启动CDE登录进程SolarisCDE图形界面启动进程
说明:
在上面的启动脚本说明中,第二个域说明服务的必要性,个人的经验总结。
+代表必须服务,系统正常运行必须
=代表可选服务,由用户环境决定
-代表无效,不必要,或不安全的服务
*****************/////
Snmpfs
Volmgt#VolumeDeamon
lpsched#lpprintservice
sendmail
atofsautomounter
nscdnamingServicesCachingDaemon名字服务缓冲守护程序
xntpdntp时间服务
99dtlogin使用图形控制台登录
S80lp,S80spc打印服务
rpcunix一种远程认证服务
uucp可以引起缓冲区溢出问题,常被黑客用来攻击。
主要修改/etc/rc2.d和/etc/rc3.d将其中的文件改为不是以S开头的
(主要有:
sendmailnfsautomount等)可以修改名字也可以删除
如:
rm/etc/rc2.d/{S74autofs,S,S71sysid.sys,S72autoinstall}
rm/etc/rc2.d/{S93cacheos.finish,S73cachefs.daemon,S80PRESERVE}
rm/etc/rc2.d/{S85power,K07dmi}
rm/etc/rc3.d/S77dmi
Ifyouhaveserver/developerpackages:
rm/etc/rc2.d/{S47asppp,S89bdconfig,S70uucp}
rm/etc/rc2.d/{S73nfs.client,K28nfs.server}/etc/rc3.d/S15nfs.server/etc/dfs/dfstab
×
修改后重新启动系统,使配置生效。
用ps-elf检查是否还有无关进程启动。
6.使用静态路由
touch/etc/notroute
对于Solaris2.5(或者更高版本),简单地"
touch/etc/notrouter"
即可。
注意,启动过程中IP转发功能关闭前Solaris主机依旧可以在多块网卡之间进行IP转发,存在小小的潜在安全隐患。
或者在/etc/defaultrouter添加路由
routeaddnet-addrsubnet-maskrouterhops
7.删除/etc/hosts.equiv和/.rhosts文件,编辑/etc/inetd.conf文件,屏蔽所有r系列服务。
即不允许不经过验证的远程服务
8. 在/etc/system中增加如下设置来防止某些缓冲溢出攻击。
这些保护是那些需在堆栈中执行的攻击方式。
但需要硬件的支持(只在sun4u/sun4d/sun4m系统中有效):
setnoexec_user_stack=1
setnoexec_user_stack_log=1
9在Inetinit中是IPforwarding和sourecrouting(源路)由无效(假如有超过一个网络接口的话)。
在/etc/init.d/inetinit中增加下面所示设置:
ndd-set/dev/ipip_forward_directed_broadcasts0
ndd-set/dev/ipip_forward_src_routed0
ndd-set/dev/ipip_forwarding0
在/etc/default/inetinit中增加如下的生成初始化序列号设置来防 止TCP序列号预测攻击(ip欺骗):
TCP_STRONG_ISS=2
10.TELNET
描述:
防止telnet程序现实系统版本信息
安全层面:
远程
解决方法:
移除/etc/default/telnetd文件里的信息:
Banner=””
加入/etc/default/telnetd文件不存在,按如下步骤操作:
touch/etc/default/telnetd
echo"
BANNER=\"
\"
"
>
/etc/default/telnetd
chmod444/etc/default/telnetd
11.确认root的PATH环境变量设置是安全的,应该只包含/usr/bin:
/sbin:
/usr/sbin,
避免当前工作目录.出现在PATH环境变量中,这有助于对抗特洛伊木马。
echo$PATH|grep"
:
."
确认
12.添加或修改/etc/rc2.d/S?
?
inet
缩短ARP缓存的存在周期
ndd-set/dev/arparp_cleanup_interval60000/*1min(defaultis5min)*/
缩短条目在arp-table里刷新的时间
ndd-set/dev/ipip_ire_flush_interval60000/*1min(defaultis20min)*/
启动时禁止源路由
ndd-set/dev/ipip_forward_src_routed0#defaultis1
防止系统在启动时启动ip转发
ndd-set/dev/ipip_forwarding0#defaultis1
设置系统禁止ip包转发
ndd-set/dev/ipip_ignore_redirect1#defaultis0
设置系统精确的多路寻址
ndd-set/dev/ipip_strict_dst_multihoming1#defaultis0
13.#eepromsecurity-mode=command命令来改变openboot的安全级别到command级
二.配置系统和网络
1./etc/hostname.interface包含主机名和ip地址
/etc/hostname:
eriX:
Y文件,其中的X代表物理设备接口,Y代表虚拟的接口编号。
2./etc/nodename文件包含着本地计算机的名字
3./etc/defaultdomain文件这个文件包含着所本地主机的域名。
4./etc/defaultrouter文件这个文件包含着主机的默认路由地址。
5.主机数据库主机数据库包含着IP地址和系统的主机名/etc/hosts或者/etc/inet/hosts
6.子网掩码数据库
/etc/netmasks或者/etc/inet/netmasks
7.dns配置
/etc/nsswitch.conf
输入:
hosts:
filesdns(注:
原先为hosts:
files,改成hosts:
filesdns)
i/etc/resol.conf(注:
若无此文件,请创建)
domain
nameserer10.27.1.30(注:
首选DNS)
nameserer202.102.24.35(注:
备选DNS)
init6重新启动
三.安装配置bind
1.
tar-zxvfbind-9.x..x.tat.gz
cdbind-9.x.x
./configure–prefix=/usr/local/named
make;
makeinstall
2.
mkdir–p/chroot/naned
cd/chroot/named
mkdiretc/namedvar/rundev
groupaddnamed
useradd–gnamed–s/bin/nologin–d/chroot/namednamed
passwd–lnamed
mkmoddev/randomc13
mknoddev/nullc15
mknoddev/zeroc18
ln–s/usr/share/zoneinfo/Asia/Shanghaietc/localtime
3.
vi/chroot/named/etc/named.conf
options{
directory“/etc/named”;
pid-file/var/run/named.pid”;
zone“.”{
typehint;
file“name.root”;
};
zone“localhost”{
typemaster;
file“db.localhost”;
zone“0.0.127.in-addr.arpa”{
file“db.local”;
zone“”{
file“db.shipengbo”;
zone“3.2.1.in-addr.arpa”{
file“db.shipengbo.addr”;
4
1>
dig>
/chroot/named/etc/named/name.root.
2>
vi/chroot/named/namedb/db.localhost
$TTL86400
$ORIGINlocalhost.
@1DINSOA@root(
42;
serial(d.adams)
3H;
refresh
15M;
retry
1W;
expiry
1D);
minimum
1DINNS@
1DINA127.0.0.1
3>
vi/chroot/named/namedb/db.local
@INSOAlocalhost.root.localhost.(
2005022700;
Serial
28800;
Refresh
14400;
Retry
3600000;
Expire
86400);
Minimum
INNSlocalhost.
1INPTRlocalhost.
4>
vi/chroot/named/etc/namedb/db.shipengbo
TTL1D
@INSOA..(
1053891162
3H
15M
1W
1D)
INNS.
INMX5.
wwwA1.2.3.4
ftpCNAME.
5>
vi/chroot/named/etc/namedb/db.shipengbo.addr
4PTR.
四.设置权限并启动服务
chown–Rnamed.named./
chmod–R700./
ln–s/chroot/named/etc/named.conf/etc/named.conf
/usr/local/sbin/named–t/chroot/named/-c/etc/named.conf–unamed&
ps–ef|grepnamed
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Solaris 安全 加固 Bind 安装 配置