Linux系统安全加固与优化实战指南

“Linux 安全加固及优化.pdf” 在Linux系统中，安全加固与优化是保障服务器稳定运行的重要环节。这份资料详细介绍了多个层面的安全措施，包括系统优化、用户管理、防火墙设置以及应用程序安全配置等。以下是这些知识点的详细说明： 1. **保护引导过程**：为了防止未经授权的访问，可以通过修改`/etc/inittab`文件，在单用户模式下启用`sulogin`，要求输入主机密码。同时，禁用`ctrl+alt+del`组合键以防止意外重启，通过在`/etc/inittab`中添加井号注释掉相应行。 2. **内核参数优化**：调整内核参数可以提高系统的性能和安全性。例如，修改`/etc/sysctl.conf`文件，设置`kernel.shmall`为268435456，优化内存管理。此外，还可以调整TCP参数，如`net.ipv4.tcp_syncookies`，增强网络连接的安全性。 3. **系统用户优化**：应定期审计用户，删除无用账户，并设定合理的密码策略，比如最小长度、过期时间和复杂度要求。 4. **密码口令策略**：确保用户使用强壮的密码，避免使用简单或常见的口令。可以使用工具如`pam_cracklib`进行密码强度检查。 5. **历史命令保留**：可以调整`HISTSIZE`和`HISTFILESIZE`环境变量，限制命令历史记录的数量，防止敏感信息泄露。 6. **Banner伪装**：修改SSH、FTP等服务的欢迎消息，避免暴露系统版本信息，增加黑客攻击的难度。 7. **IPtables防火墙**：设置防火墙规则，例如防止CC攻击，限制特定主机登录，以及监控和阻止异常连接。 8. **防止暴力登录**：使用`fail2ban`等工具监控失败登录尝试，自动封锁恶意IP。 9. **监控终端操作**：通过`auditd`等工具记录和监控所有用户的操作，以便追踪异常行为。 10. **更改危险文件权限**：降低一些关键系统文件和命令的权限，防止未经授权的修改。 11. **杀毒软件**：安装并定期更新杀毒软件，如ClamAV，以防御病毒和恶意软件。 12. **rootkit检测**：使用rkhunter和Chkrootkit等工具检测rootkit，确保系统未被恶意程序侵入。 13. **inotify监控系统文件**：结合rsync，利用inotify实时监控文件系统变化，及时发现并恢复被篡改的数据。 14. **系统应用安全配置**： - **Apache和Nginx**：调整配置以限制请求大小、启用SSL加密、隐藏服务器信息、禁止目录浏览等。 - **PHP**：禁止执行危险函数，开启`magic_quotes_gpc`防止SQL注入，关闭注册全局变量，使用安全模式，控制错误信息显示，写入日志。 - **Tomcat**：保持最新稳定版本，加固监听端口，定制错误页面，禁用管理界面，用非root用户运行，以及限制不安全的选项。 这些措施旨在构建一道坚固的防线，减少系统受到攻击的风险，同时提高系统的整体性能。对于任何Linux系统管理员来说，理解和实践这些优化策略都是必要的。