Linux下常用安全策略设置的六个方法

　　“安全第一”对于linux管理界乃至计算机也都是一个首要考虑的问题。加密的安全性依赖于密码本身而非算法!而且，此处说到的安全是指数据的完整性，由此，数据的认证安全和完整性高于数据的私密安全，也就是说数据发送者的不确定性以及数据的完整性得不到保证的话，数据的私密性当无从谈起!

　　1. 禁止系统响应任何从外部/内部来的ping请求攻击者一般首先通过ping命令检测此主机或者IP是否处于活动状态 ，如果能够ping通 某个主机或者IP，那么攻击者就认为此系统处于活动状态，继而进行攻击或破坏。如果没有人能ping通机器并收到响应，那么就可以大大增强服务器的安全性，linux下可以执行如下设置，禁止ping请求：

　　[root@localhost ~]#echo “1”> /proc/sys/net/ipv4/icmp_echo_ignore_all默认情况下“icmp_echo_ignore_all”的值为“0”，表示响应ping操作。

　　可以加上面的一行命令到/etc/rc.d/rc.local文件中，以使每次系统重启后自动运行。

　　2．禁止Control-Alt-Delete组合键重启系统

　　在linux的默认设置下，同时按下Control-Alt-Delete键，系统将自动重启，这是很不安全的，因此要禁止Control-Alt-Delete组合键重启系统，只需修改/etc/inittab文件：

　　代码如下:

　　[root@localhost ~]#vi /etc/inittab

　　找到此行：ca::ctrlaltdel:/sbin/shutdown -t3 -r now在之前加上“#”

　　然后执行：

　　代码如下:

　　[root@localhost ~]#telinit q

　　3．限制Shell记录历史命令大小

　　默认情况下，bash shell会在文件$HOME/.bash_history中存放多达1000条命令记录(根据系统不同，默认记录条数不同)。系统中每个用户的主目录下都有一个这样的文件。

　　这么多的历史命令记录，肯定是不安全的，因此必须限制该文件的大小。

　　可以编辑/etc/profile文件，修改其中的选项如下：

　　HISTSIZE=30

　　表示在文件$HOME/.bash_history中记录最近的30条历史命令。如果将“HISTSIZE”设置为0，则表示不记录历史命令，那么也就不能用键盘的上下键查找历史命令了。

　　　4．删除系统默认的不必要用户和组

　　Linux提供了各种系统账户，在系统安装完毕，如果不需要某些用户或者组，就要立即删除它，因为账户越多，系统就越不安全，越容易受到攻击。

　　删除系统不必要的用户用下面命令

　　代码如下:

　　[root@localhost ~]# userdel username

　　删除系统不必要的组用如下命令：

　　代码如下:

　　[root@localhost ~]# groupdel groupname

　　Linux系统中可以删除的默认用户和组有：

　　删除的用户,如adm,lp,sync,shutdown,halt,news,uucp,operator,games,gopher等。

　　删除的组,如adm,lp,news,uucp,games,dip,pppusers,popusers,slipusers等。

　　5. 关闭selinux

　　SELinux是 Security-Enhanced Linux的简称，是一种内核强制访问控制安全系统，目前SELinux已经集成到Linux 2.6内核的主线和大多数Linux发行版上，由于SELinux与现有Linux应用程序和Linux内核模块兼容性还存在一些问题，因此建议初学者先关闭selinux，等到对linux有了深入的认识后，再对selinux深入研究不迟!

　　查看linux系统selinux是否启用，可以使用getenforce命令：

　　代码如下:

　　[root@localhost ~]# getenforce

　　Disabled

　　关闭selinux，在redhat系列发行版中，可以直接修改如下文件：

　　代码如下:

　　[root@localhost ~]#vi /etc/sysconfig/selinux# This file controls the state of SELinux on the system.

　　# SELINUX=can take one of these three values:

　　# enforcing - SELinux security policy is enforced.

　　# permissive - SELinux prints warnings instead of enforcing.

　　# disabled - SELinux is fully disabled.

　　SELINUX=enforcing

　　# SELINUXTYPE=type of policy in use. Possible values are:

　　# targeted - only targeted network daemons are protected.

　　# strict - Full SELinux protection.

　　SELINUXTYPE=targeted

　　将SELINUX=enforcing修改为SELINUX=disabled, 重启系统后将会停止SElinux。

　　6．设定tcp_wrappers防火墙

　　Tcp_Wrappers是一个用来分析TCP/IP封包的软件，类似的IP封包软件还有iptables，linux默认都安装了此软件，作为一个安全的系统，Linux本身有两层安全防火墙，通过IP过滤机制的iptables实现第一层防护，iptables防火墙通过直观地监视系统的运行状况，阻挡网络中的一些恶意攻击，保护整个系统正常运行，免遭攻击和破坏。关于iptables的实现，将在下个章节详细讲述。如果通过了第一层防护，那么下一层防护就是tcp_wrappers了，通过Tcp_Wrappers可以实现对系统中提供的某些服务的开放与关闭、允许和禁止，从而更有效地保证系统安全运行。

　　Tcp_Wrappers的使用很简单，仅仅两个配置文件：/etc/hosts.allow和/etc/hosts.deny(1) 查看系统是否安装了Tcp_Wrappers

　　[root@localhost ~]#rpm -q tcp_wrappers 或者[root@localhost ~]#rpm -qa | grep tcp

　　tcp_wrappers-7.6-37.2

　　tcpdump-3.8.2-10.RHEL4

　　如果有上面的类似输出，表示系统已经安装了tcp_wrappers模块。如果没有显示，可能是没有安装，可以从linux系统安装盘找到对应RPM包进行安装。

　　(2)tcp_wrappers防火墙的局限性