一：共享賬號檢查
配置名稱：用戶賬號分配檢查，避免共享賬號存在
配置要求：1、系統需按照實際用戶分配賬號； 2、避免不同用戶間共享賬號，避免用戶賬號和服務器間通信使用的賬號共享。 操作指南：參考配置操作：cat /etc/passwd查看當前所有用戶的情況； 檢查方法：命令cat /etc/passwd查看當前所有用戶的信息，與管理員確認是否有共享賬號情況存在。 配置方法：如需建立用戶，參考如下： #useradd username #創建賬號 #passwd username #設置密碼 使用該命令為不同的用戶分配不同的賬號，設置不同的口令及權限信息等。 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
二：多余賬戶鎖定策略
配置名稱：多余賬戶鎖定策略
配置要求：應鎖定與設備運行、維護等工作無關的賬號。
操作指南：參考配置操作：
查看鎖定用戶：
# cat /etc/password，查看哪些賬戶的shell域中為nologin； 檢查方法：人工檢查： # cat /etc/password后查看多余賬戶的shell域為nologin為符合； BVS基線檢查： 多余賬戶處於鎖定狀態為符合。 配置方法：鎖定用戶： 修改/etc/password文件，將需要鎖定的用戶的shell域設為nologin； 或通過#passwd –l username鎖定賬戶； 只有具備超級用戶權限的使用者方可使用#passwd –l username鎖定用戶,用#passwd –d username解鎖后原有密碼失效，登錄需輸入新密碼。 補充操作說明： 一般情況下，需要鎖定的用戶：lp,nuucp,hpdb,www,demon 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
三：root賬戶遠程登錄限制
配置名稱：root賬戶遠程登錄賬戶限制
配置要求：1、限制具備超級管理員權限的用戶遠程登錄。 2、遠程執行管理員權限操作，應先以普通權限用戶遠程登錄后，再切換到超級管理員權限賬號后執行相應操作。 操作指南：使用root賬戶遠程嘗試登陸 檢查方法：1、root遠程登錄不成功，提示“Not on system console”； 2、普通用戶可以登錄成功，而且可以切換到root用戶； 配置方法：修改/etc/ssh/sshd_config文件，將PermitRootLogin yes改為PermitRootLogin no，重啟sshd服務。 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
四：口令復雜度策略
配置名稱：操作系統口令復雜度策略
配置要求：口令長度至少12位，並包括數字、小寫字母、大寫字母和特殊符號。
操作指南：1、參考配置操作
# cat /etc/pam.d/system-auth，找到password模塊接口的配置部分，找到類似如下的配置行： password requisite /lib/security/$ISA/pam_cracklib.so minlen =6 2、補充操作說明 參數說明如下： 1、retry=N，確定用戶創建密碼時允許重試的次數； 2、minlen=N，確定密碼最小長度要求，事實上，在默認配置下，此參數代表密碼最小長度為N-1； 3、dcredit=N，當N小於0時，代表新密碼中數字字符數量不得少於（-N）個。例如，dcredit=-2代表密碼中要至少包含兩個數字字符； 4、ucredit=N，當N小於0時，代表則新密碼中大寫字符數量不得少於（-N）個； 5、lcredit=N，當N小於0時，代表則新密碼中小寫字符數量不得少於（-N）個； 6、ocredit=N，當N小於0時，代表則新密碼中特殊字符數量不得少於（-N）個； 檢查方法：# cat /etc/pam.d/system-auth，參考操作指南檢查對應參數 口令的最小長度至少12位 口令最少應包含的字符數量 口令中最少應包含的字母字符數量 口令中最少應包含的非字母數字字符數量 通過以上4子項的輸出綜合判斷該項是否滿足。 配置方法：# vi /etc/pam.d/system-auth，找到password模塊接口的配置部分，按照配置要求內容修改對應屬性。 適用版本：Linux Redhat AS 4
五： 口令最長生存期策略
配置名稱：口令最長生存期策略
配置要求：要求操作系統的賬戶口令的最長生存期不長於90天 操作指南：# cat /etc/login.defs文件中指定配置項，其中： PASS_MAX_DAYS配置項決定密碼最長使用期限； PASS_MIN_DAYS配置項決定密碼最短使用期限； PASS_WARN_AGE配置項決定密碼到期提醒時間。 檢查方法：PASS_MAX_DAYS值小於等於90為符合； “對於采用靜態口令認證技術的設備，賬戶口令的生存期不長於90天”項的當前值：表示當前的口令生存期長度。 配置方法：vi /etc/login.defs文件，修改PASS_MAX_DAYS值為小於等於9 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
六：系統關鍵目錄權限控制
配置名稱：關鍵目錄權限控制
配置要求：根據安全需要，配置某些關鍵目錄其所需的最小權限；
重點要求password配置文件、shadow文件、group文件權限。 當前主流版本的linux系統在默認情況下即對重要文件做了必要的權限設置，在日常管理和操作過程中應避免修改此類文件權限，除此以外， 應定期對權限進行檢查及復核，確保權限設置正確。 操作指南：查看關鍵目錄的用戶對應權限參考命令 ls -l /etc/passwd ls -l /etc/shadow ls -l /etc/group 檢查方法：與管理員確認已有權限為最小權限。 配置方法：參考配置操作： 通過chmod命令對目錄的權限進行實際設置。 補充操作說明： /etc/passwd 所有用戶都可讀，root用戶可寫 –rw-r—r— 配置命令：chmod 644 /etc/passwd /etc/shadow 只有root可讀 –r-------- 配置命令：chmod 600 /etc/shadow； /etc/group 必須所有用戶都可讀，root用戶可寫 –rw-r—r— 配置命令：chmod 644 /etc/group； 如果是有寫權限，就需移去組及其它用戶對/etc的寫權限（特殊情況除外）執行命令#chmod -R go-w,o-r /etc 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
七：用戶缺省權限控制
配置名稱：用戶缺省權限控制
配置要求：控制用戶缺省訪問權限，當在創建新文件或目錄時應屏蔽掉新文件或目錄不應有的訪問允許權限,防止同屬於
該組的其它用戶及別的組的用戶修改該用戶的文件或更高限制。
操作指南：1、# cat /etc/bashrc 查看全局默認設置umask值 2、查看具體用戶home目錄下bash_profile，具體用戶的umask 檢查方法：查看全局默認設置umask值為027或更小權限為符合（如有特許權限需求，可根據實際情況判斷）； 查看具體用戶的umask，本着最小權限的原則。 配置方法：參考配置操作： 單獨針對用戶設置 可修改用戶home目錄下的.bash_profile腳本文件，例如，可增加一條語句：umask 027；對於權限要求較嚴格的場合，建議設置為077。 全局默認設置： 默認通過全局腳本/etc/bashrc設置所有用戶的默認umask值，修改腳本即可實現對用戶默認umask值的全局性修改， 通常建議將umask設置為027以上，對於權限要求較嚴格的場合，建議設置為077。 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
八：安全日志完備性要求
配置名稱：安全日志完備性要求
配置要求：系統應配置完備日志記錄，記錄對與系統相關的安全事件。
操作指南：1、# cat /etc/syslog.conf查看是否有對應配置 2、# cat /var/log/secure查看是否有對應配置 檢查方法：1、cat /etc/syslog.conf確認有對應配置； 2、查看/var/log/secure，應記錄有需要的設備相關的安全事件。 配置方法：修改配置文件vi /etc/syslog.conf。 配置如下類似語句： authpriv.* /var/log/secure 定義為需要保存的設備相關安全事件。 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
九：統一遠程日志服務器配置
配置名稱：統一遠程日志服務器配置
配置要求：當前系統應配置遠程日志功能，將需要重點關注的日志內容傳輸到日志服務器進行備份。
操作指南：# cat /etc/syslog.conf查看是否有對應配置 檢查方法：配置了遠程日志服務器為符合 配置方法：1、參考配置操作 修改配置文件vi /etc/syslog.conf， 加上這一行： *.* @192.168.0.1 可以將"*.*"替換為你實際需要的日志信息。比如：kern.* / mail.* 等等；可以將此處192.168.0.1替換為實際的IP或域名。 重新啟動syslog服務，執行下列命令： services syslogd restart 2、補充操作說明 注意：*.*和@之間為一個Tab 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
十：設置history時間戳
配置名稱：設置history時間戳
配置要求：配置history時間戳，便於審計。
操作指南：
十一：SSH登錄配置
配置名稱：SSH登錄配置
配置要求：系統應配置使用SSH等加密協議進行遠程登錄維護，並安全配置SSHD的設置。不使用TELENT進行遠程登錄維護。
操作指南：1、查看SSH服務狀態：# ps –elf|grep ssh； 2、查看telnet服務狀態：# ps –elf|grep telnet。 檢查方法：1、 不能使用telnet進行遠程維護； 2、 應使用SSH進行遠程維護； 3、 SSH配置要符合如下要求； Protocol 2 #使用ssh2版本 X11Forwarding yes #允許窗口圖形傳輸使用ssh加密 IgnoreRhosts yes#完全禁止SSHD使用.rhosts文件 RhostsAuthentication no #不設置使用基於rhosts的安全驗證 RhostsRSAAuthentication no #不設置使用RSA算法的基於rhosts的安全驗證 HostbasedAuthentication no #不允許基於主機白名單方式認證 PermitRootLogin no #不允許root登錄 PermitEmptyPasswords no #不允許空密碼 Banner /etc/motd #設置ssh登錄時顯示的banner 4、以上條件都滿足為符合。 配置方法：1、參考配置操作 編輯 sshd_config，添加相關設置，SSHD相關安全設置選項參考檢查方法中的描述。 2、補充操作說明 查看SSH服務狀態：# ps –elf|grep ssh 適用版本：Linux Redhat AS 4
十二：關閉不必要的系統服務
配置名稱：關閉不必要的系統服務
配置要求：根據每台機器的不同角色，關閉不需要的系統服務。操作指南中的服務項提供參考，根據服務器的角色和應用情況對啟動項進行修改。
如無特殊需要，應關閉Sendmail、Telnet、Bind等服務。
操作指南：執行命令 #chkconfig --list，查看哪些服務開放。 檢查方法：與管理員確認無用服務已關閉 配置方法：1、參考配置操作 使用如下方式禁用不必要的服務 #service <服務名> stop #chkconfig --level 35 off 2、參考說明 Linux/Unix系統服務中，部分服務存在較高安全風險，應當禁用，包括： “lpd”，此服務為行式打印機后台程序，用於假脫機打印工作的UNIX后台程序，此服務通常情況下不用，建議禁用； “telnet”，此服務采用明文傳輸數據，登陸信息容易被竊取，建議用ssh代替； “routed”，此服務為路由守候進程，使用動態RIP路由選擇協議，建議禁用； “sendmail”，此服務為郵件服務守護進程，非郵件服務器應將其關閉； “Bluetooth”，此服務為藍牙服務，如果不需要藍牙服務時應關閉； “identd”，此服務為AUTH服務，在提供用戶信息方面與finger類似，一般情況下該服務不是必須的，建議關閉； “xfs”，此服務為Linux中X Window的字體服務，關於該服務歷史上出現過信息泄露和拒絕服務等漏洞，應以減少系統風險； R服務（“rlogin”、“rwho”、“rsh”、“rexec”），R服務設計上存在嚴重的安全缺陷，僅適用於封閉環境中信任主機之間便捷訪問， 其他場合下均必須禁用； 基於inetd/xinetd的服務（daytime、chargen、echo等），此類服務建議禁用。 適用版本：Linux Redhat AS 3、Linux Redhat AS 4
十三：禁止Control-Alt-Delete鍵盤關閉命令
配置名稱：禁止Control-Alt-Delete鍵盤關閉命令 配置要求：應禁止使用Control-Alt-Delete組合鍵重啟服務器，防止誤操作 操作指南：命令cat /etc/inittab，查看配置 檢查方法：/etc/inittab 中應有：“#ca::ctrlaltdel:/sbin/shutdown -t3 -r now”配置為符合。 配置方法：1、參考配置操作 在“/etc/inittab” 文件中注釋掉下面這行（使用#）： ca::ctrlaltdel:/sbin/shutdown -t3 -r now 改為： #ca::ctrlaltdel:/sbin/shutdown -t3 -r now 為了使此改動生效，輸入下面這個命令： # /sbin/init q 2、補充說明 禁止ctl-alt-del使得在控制台直接按ctl-alt-del不能重新啟動計算機。 適用版本：Linux Redhat AS 4
十四：安裝操作系統更新補丁
配置名稱：安裝操作系統更新補丁
配置要求：安裝操作系統更新補丁，修復系統漏洞
操作指南：1、查看當前系統補丁版本 2、檢查官網當前系統版本是否發布安全更新。 檢查方法：版本應保持為最新 配置方法：通過訪問 https:
