基線檢查內容：
一:共享賬號檢查
配置名稱:用戶賬號分配檢查,避免共享賬號存在配置要求:1、系統需按照實際用戶分配賬號; 2、避免不同用戶間共享賬號,避免用戶賬號和服務器間通信使用的賬號共享。操作指南:參考配置操作:cat /etc/passwd查看當前所有用戶的情況;檢查方法:命令cat /etc/passwd查看當前所有用戶的信息,與管理員確認是否有共享賬號情況存在。配置方法:如需建立用戶,參考如下: #useradd username #創建賬號 #passwd username #設置密碼 使用該命令為不同的用戶分配不同的賬號,設置不同的口令及權限信息等。適用版本:Linux Redhat AS 3、Linux Redhat AS 4
二:多余賬戶鎖定策略
配置名稱:多余賬戶鎖定策略配置要求:應鎖定與設備運行、維護等工作無關的賬號。操作指南:參考配置操作: 查看鎖定用戶: # cat /etc/password,查看哪些賬戶的shell域中為nologin;檢查方法:人工檢查: # cat /etc/password后查看多余賬戶的shell域為nologin為符合; BVS基線檢查: 多余賬戶處於鎖定狀態為符合。配置方法:鎖定用戶: 修改/etc/password文件,將需要鎖定的用戶的shell域設為nologin; 或通過#passwd –l username鎖定賬戶; 只有具備超級用戶權限的使用者方可使用#passwd –l username鎖定用戶,用#passwd –d username解鎖后原有密碼失效,登錄需輸入新密碼。 補充操作說明: 一般情況下,需要鎖定的用戶:lp,nuucp,hpdb,www,demon適用版本:Linux Redhat AS 3、Linux Redhat AS 4
三:root賬戶遠程登錄限制
配置名稱:root賬戶遠程登錄賬戶限制配置要求:1、限制具備超級管理員權限的用戶遠程登錄。 2、遠程執行管理員權限操作,應先以普通權限用戶遠程登錄后,再切換到超級管理員權限賬號后執行相應操作。操作指南:使用root賬戶遠程嘗試登陸檢查方法:1、root遠程登錄不成功,提示“Not on system console”; 2、普通用戶可以登錄成功,而且可以切換到root用戶;配置方法:修改/etc/ssh/sshd_config文件,將PermitRootLogin yes改為PermitRootLogin no,重啟sshd服務。適用版本:Linux Redhat AS 3、Linux Redhat AS 4
四:口令復雜度策略
配置名稱:操作系統口令復雜度策略配置要求:口令長度至少12位,並包括數字、小寫字母、大寫字母和特殊符號。操作指南:1、參考配置操作 # cat /etc/pam.d/system-auth,找到password模塊接口的配置部分,找到類似如下的配置行: password requisite /lib/security/$ISA/pam_cracklib.so minlen =6 2、補充操作說明 參數說明如下: 1、retry=N,確定用戶創建密碼時允許重試的次數; 2、minlen=N,確定密碼最小長度要求,事實上,在默認配置下,此參數代表密碼最小長度為N-1; 3、dcredit=N,當N小於0時,代表新密碼中數字字符數量不得少於(-N)個。例如,dcredit=-2代表密碼中要至少包含兩個數字字符; 4、ucredit=N,當N小於0時,代表則新密碼中大寫字符數量不得少於(-N)個; 5、lcredit=N,當N小於0時,代表則新密碼中小寫字符數量不得少於(-N)個; 6、ocredit=N,當N小於0時,代表則新密碼中特殊字符數量不得少於(-N)個;檢查方法:# cat /etc/pam.d/system-auth,參考操作指南檢查對應參數 口令的最小長度至少12位 口令最少應包含的字符數量 口令中最少應包含的字母字符數量 口令中最少應包含的非字母數字字符數量 通過以上4子項的輸出綜合判斷該項是否滿足。配置方法:# vi /etc/pam.d/system-auth,找到password模塊接口的配置部分,按照配置要求內容修改對應屬性。適用版本:Linux Redhat AS 4
五: 口令最長生存期策略
配置名稱:口令最長生存期策略配置要求:要求操作系統的賬戶口令的最長生存期不長於90天操作指南:# cat /etc/login.defs文件中指定配置項,其中: PASS_MAX_DAYS配置項決定密碼最長使用期限; PASS_MIN_DAYS配置項決定密碼最短使用期限; PASS_WARN_AGE配置項決定密碼到期提醒時間。檢查方法:PASS_MAX_DAYS值小於等於90為符合; “對於采用靜態口令認證技術的設備,賬戶口令的生存期不長於90天”項的當前值:表示當前的口令生存期長度。配置方法:vi /etc/login.defs文件,修改PASS_MAX_DAYS值為小於等於9適用版本:Linux Redhat AS 3、Linux Redhat AS 4
六:系統關鍵目錄權限控制
配置名稱:關鍵目錄權限控制配置要求:根據安全需要,配置某些關鍵目錄其所需的最小權限; 重點要求password配置文件、shadow文件、group文件權限。 當前主流版本的linux系統在默認情況下即對重要文件做了必要的權限設置,在日常管理和操作過程中應避免修改此類文件權限,除此以外, 應定期對權限進行檢查及復核,確保權限設置正確。操作指南:查看關鍵目錄的用戶對應權限參考命令 ls -l /etc/passwd ls -l /etc/shadow ls -l /etc/group檢查方法:與管理員確認已有權限為最小權限。配置方法:參考配置操作: 通過chmod命令對目錄的權限進行實際設置。 補充操作說明: /etc/passwd 所有用戶都可讀,root用戶可寫 –rw-r—r— 配置命令:chmod 644 /etc/passwd /etc/shadow 只有root可讀 –r-------- 配置命令:chmod 600 /etc/shadow; /etc/group 必須所有用戶都可讀,root用戶可寫 –rw-r—r— 配置命令:chmod 644 /etc/group; 如果是有寫權限,就需移去組及其它用戶對/etc的寫權限(特殊情況除外)執行命令#chmod -R go-w,o-r /etc適用版本:Linux Redhat AS 3、Linux Redhat AS 4
七:用戶缺省權限控制
配置名稱:用戶缺省權限控制配置要求:控制用戶缺省訪問權限,當在創建新文件或目錄時應屏蔽掉新文件或目錄不應有的訪問允許權限,防止同屬於該組的其它用戶及別的組的用戶修改該用戶的文件或更高限制。操作指南:1、# cat /etc/bashrc 查看全局默認設置umask值 2、查看具體用戶home目錄下bash_profile,具體用戶的umask檢查方法:查看全局默認設置umask值為027或更小權限為符合(如有特許權限需求,可根據實際情況判斷); 查看具體用戶的umask,本着最小權限的原則。配置方法:參考配置操作: 單獨針對用戶設置 可修改用戶home目錄下的.bash_profile腳本文件,例如,可增加一條語句:umask 027;對於權限要求較嚴格的場合,建議設置為077。 全局默認設置: 默認通過全局腳本/etc/bashrc設置所有用戶的默認umask值,修改腳本即可實現對用戶默認umask值的全局性修改, 通常建議將umask設置為027以上,對於權限要求較嚴格的場合,建議設置為077。適用版本:Linux Redhat AS 3、Linux Redhat AS 4
八:安全日志完備性要求
配置名稱:安全日志完備性要求配置要求:系統應配置完備日志記錄,記錄對與系統相關的安全事件。操作指南:1、# cat /etc/syslog.conf查看是否有對應配置 2、# cat /var/log/secure查看是否有對應配置檢查方法:1、cat /etc/syslog.conf確認有對應配置; 2、查看/var/log/secure,應記錄有需要的設備相關的安全事件。配置方法:修改配置文件vi /etc/syslog.conf。 配置如下類似語句: authpriv.* /var/log/secure 定義為需要保存的設備相關安全事件。適用版本:Linux Redhat AS 3、Linux Redhat AS 4
九:統一遠程日志服務器配置
配置名稱:統一遠程日志服務器配置配置要求:當前系統應配置遠程日志功能,將需要重點關注的日志內容傳輸到日志服務器進行備份。操作指南:# cat /etc/syslog.conf查看是否有對應配置檢查方法:配置了遠程日志服務器為符合配置方法:1、參考配置操作 修改配置文件vi /etc/syslog.conf, 加上這一行: *.* @192.168.0.1 可以將 "*.*"替換為你實際需要的日志信息。比如:kern.* / mail.* 等等;可以將此處192.168.0.1替換為實際的IP或域名。 重新啟動syslog服務,執行下列命令: services syslogd restart 2、補充操作說明 注意:*.*和@之間為一個Tab適用版本:Linux Redhat AS 3、Linux Redhat AS 4
十:設置history時間戳
配置名稱:設置history時間戳配置要求:配置history時間戳,便於審計。操作指南: # cat /etc/bashrc查看是否有對應配置檢查方法:已添加,如:“export HISTTIMEFORMAT="%F %T”配置為符合。配置方法:參考配置操作: 在/etc/bashrc文件中增加如下行: export HISTTIMEFORMAT="%F %T適用版本:Linux Redhat AS 4
十一:SSH登錄配置
配置名稱:SSH登錄配置配置要求:系統應配置使用SSH等加密協議進行遠程登錄維護,並安全配置SSHD的設置。不使用TELENT進行遠程登錄維護。操作指南:1、查看SSH服務狀態:# ps –elf|grep ssh; 2、查看telnet服務狀態:# ps –elf|grep telnet。檢查方法:1、 不能使用telnet進行遠程維護; 2、 應使用SSH進行遠程維護; 3、 SSH配置要符合如下要求; Protocol 2 #使用ssh2版本 X11Forwarding yes #允許窗口圖形傳輸使用ssh加密 IgnoreRhosts yes#完全禁止SSHD使用.rhosts文件 RhostsAuthentication no #不設置使用基於rhosts的安全驗證 RhostsRSAAuthentication no #不設置使用RSA算法的基於rhosts的安全驗證 HostbasedAuthentication no #不允許基於主機白名單方式認證 PermitRootLogin no #不允許root登錄 PermitEmptyPasswords no #不允許空密碼 Banner /etc/motd #設置ssh登錄時顯示的banner 4、以上條件都滿足為符合。配置方法:1、參考配置操作 編輯 sshd_config,添加相關設置,SSHD相關安全設置選項參考檢查方法中的描述。 2、補充操作說明 查看SSH服務狀態:# ps –elf|grep ssh適用版本:Linux Redhat AS 4
十二:關閉不必要的系統服務
配置名稱:關閉不必要的系統服務配置要求:根據每台機器的不同角色,關閉不需要的系統服務。操作指南中的服務項提供參考,根據服務器的角色和應用情況對啟動項進行修改。如無特殊需要,應關閉Sendmail、Telnet、Bind等服務。操作指南:執行命令 #chkconfig --list,查看哪些服務開放。檢查方法:與管理員確認無用服務已關閉配置方法:1、參考配置操作 使用如下方式禁用不必要的服務 #service <服務名> stop #chkconfig --level 35 off 2、參考說明 Linux/Unix系統服務中,部分服務存在較高安全風險,應當禁用,包括: “lpd”,此服務為行式打印機后台程序,用於假脫機打印工作的UNIX后台程序,此服務通常情況下不用,建議禁用; “telnet”,此服務采用明文傳輸數據,登陸信息容易被竊取,建議用ssh代替; “routed”,此服務為路由守候進程,使用動態RIP路由選擇協議,建議禁用; “sendmail”,此服務為郵件服務守護進程,非郵件服務器應將其關閉; “Bluetooth”,此服務為藍牙服務,如果不需要藍牙服務時應關閉; “identd”,此服務為AUTH服務,在提供用戶信息方面與finger類似,一般情況下該服務不是必須的,建議關閉; “xfs”,此服務為Linux中X Window的字體服務,關於該服務歷史上出現過信息泄露和拒絕服務等漏洞,應以減少系統風險; R服務(“rlogin”、“rwho”、“rsh”、“rexec”),R服務設計上存在嚴重的安全缺陷,僅適用於封閉環境中信任主機之間便捷訪問, 其他場合下均必須禁用; 基於inetd/xinetd的服務(daytime、chargen、echo等),此類服務建議禁用。適用版本:Linux Redhat AS 3、Linux Redhat AS 4
十三:禁止Control-Alt-Delete鍵盤關閉命令
配置名稱:禁止Control-Alt- Delete鍵盤關閉命令配置要求:應禁止使用Control-Alt-Delete組合鍵重啟服務器,防止誤操作操作指南:命令cat /etc/inittab,查看配置檢查方法:/etc/inittab 中應有:“#ca::ctrlaltdel:/sbin/shutdown -t3 -r now”配置為符合。配置方法:1、參考配置操作 在“/etc/inittab” 文件中注釋掉下面這行(使用#): ca::ctrlaltdel:/sbin/shutdown -t3 -r now 改為: #ca::ctrlaltdel:/sbin/shutdown -t3 -r now 為了使此改動生效,輸入下面這個命令: # /sbin/init q 2、補充說明 禁止ctl-alt-del使得在控制台直接按ctl-alt-del不能重新啟動計算機。適用版本:Linux Redhat AS 4
十四:安裝操作系統更新補丁
配置名稱:安裝操作系統更新補丁配置要求:安裝操作系統更新補丁,修復系統漏洞操作指南:1、查看當前系統補丁版本 2、檢查官網當前系統版本是否發布安全更新。檢查方法:版本應保持為最新配置方法:通過訪問https: //rhn.redhat.com/errata/下載補丁安裝包,在打開的頁面上,選擇與自己使用相對應的系統后,點擊連接進入補丁包下載列表界面,選擇需要的補丁下載。 下載的補丁為rpm安裝包,將該安裝包復制到目標系統上,使用命令rpm –ivh xxx.rpm進行安裝,隨后重新啟動系統, 檢查所安裝補丁的服務或應用程序是否運行正常,即完成該補丁的安裝和升級工作。適用版本:Linux Redhat AS 3 Linux Redhat AS 4分類: 網絡安全
腳本功能：
檢測密碼設置策略的口令生存期是否符合規范
檢測密碼設置策略的口令更改最小間隔天數是否符合規范
檢測密碼設置策略的口令最小長度是否符合規范
檢測密碼設置策略的口令過期前警告天數是否符合規范
檢測是否設置帳號超時自動注銷
檢測是否設置系統引導管理器密碼
檢測是否存在空口令賬號
檢查是否存在除root之外UID為0的用戶
檢查用戶umask設置是否符合規范
檢查重要目錄或文件權限是否符合規范
檢查系統core dump是否符合規范
檢測是否禁止root用戶遠程登錄
檢查系統openssh安全配置,禁止使用協議1
檢測保留歷史命令的條數
檢測重要文件是否設置不可修改
檢測snmp團體字設置不能使用默認的團體字
檢測是否關閉關閉系統信任主機
檢測是否日志審核配置
檢測系統磁盤分區是否有足夠的剩余空間
腳本代碼：
#! /bin/bash #vesion 1.0 #author by (魔法劍客) ipadd=`ifconfig -a | grep Bcast | awk -F "[ :]+" '{print $4}' | tr "\n" "_"` cat <<EOF ************************************************************************************* ***** linux基線檢查腳本 ***** ***** Author(魔法劍客) ***** ************************************************************************************* ***** linux基線配置規范設計 ***** ***** 輸出結果"/tmp/${ipadd}_checkResult.txt" ***** ************************************************************************************* EOF echo "IP: ${ipadd}" >> "/tmp/${ipadd}_checkResult.txt" user_id=`whoami` echo "當前掃描用戶：${user_id}" >> "/tmp/${ipadd}_checkResult.txt" scanner_time=`date '+%Y-%m-%d %H:%M:%S'` echo "當前掃描時間：${scanner_time}" >> "/tmp/${ipadd}_checkResult.txt" echo "***************************" echo "賬號策略檢查中..." echo "***************************" #編號：SBL-Linux-02-01-01 #項目：帳號與口令-用戶口令設置 #合格：Y;不合格：N #不合格地方 passmax=`cat /etc/login.defs | grep PASS_MAX_DAYS | grep -v ^# | awk '{print $2}'` passmin=`cat /etc/login.defs | grep PASS_MIN_DAYS | grep -v ^# | awk '{print $2}'` passlen=`cat /etc/login.defs | grep PASS_MIN_LEN | grep -v ^# | awk '{print $2}'` passage=`cat /etc/login.defs | grep PASS_WARN_AGE | grep -v ^# | awk '{print $2}'` echo "SBL-Linux-02-01-01:" >> "/tmp/${ipadd}_checkResult.txt" if [ $passmax -le 90 -a $passmax -gt 0 ];then echo "Y:口令生存周期為${passmax}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令生存周期為${passmax}天，不符合要求,建議設置不大於90天" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $passmin -ge 6 ];then echo "Y:口令更改最小時間間隔為${passmin}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令更改最小時間間隔為${passmin}天，不符合要求，建議設置大於等於6天" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $passlen -ge 8 ];then echo "Y:口令最小長度為${passlen},符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令最小長度為${passlen},不符合要求，建議設置最小長度大於等於8" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $passage -ge 30 -a $passage -lt $passmax ];then echo "Y:口令過期警告時間天數為${passage},符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令過期警告時間天數為${passage},不符合要求，建議設置大於等於30並小於口令生存周期" >> /"/tmp/${ipadd}_checkResult.txt" fi echo "***************************" echo "賬號是否會主動注銷檢查中..." echo "***************************" checkTimeout=$(cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}') if [ $? -eq 0 ];then TMOUT=`cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}'` if [ $TMOUT -le 600 -a $TMOUT -ge 10 ];then echo "Y:賬號超時時間${TMOUT}秒,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:賬號超時時間${TMOUT}秒,不符合要求，建議設置小於600秒" >> "/tmp/${ipadd}_checkResult.txt" fi else echo "N:賬號超時不存在自動注銷,不符合要求，建議設置小於600秒" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-01-02 #項目：帳號與口令-root用戶遠程登錄限制 #合格：Y;不合格：N #不合格地方 echo "***************************" echo "檢查root用戶是否能遠程登錄限制..." echo "***************************" echo "SBL-Linux-02-01-02:" >> "/tmp/${ipadd}_checkResult.txt" remoteLogin=$(cat /etc/ssh/sshd_config | grep -v ^# |grep "PermitRootLogin no") if [ $? -eq 0 ];then echo "Y:已經設置遠程root不能登陸，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:已經設置遠程root能登陸，不符合要求，建議/etc/ssh/sshd_config添加PermitRootLogin no" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-01-03 #項目：帳號與口令-檢查是否存在除root之外UID為0的用戶 #合格：Y;不合格：N #不合格地方 #查找非root賬號UID為0的賬號 echo "SBL-Linux-02-01-03:" >> "/tmp/${ipadd}_checkResult.txt" UIDS=`awk -F[:] 'NR!=1{print $3}' /etc/passwd` flag=0 for i in $UIDS do if [ $i = 0 ];then echo "N:存在非root賬號的賬號UID為0，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" else flag=1 fi done if [ $flag = 1 ];then echo "Y:不存在非root賬號的賬號UID為0，符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-01-04 #項目：帳號與口令-檢查telnet服務是否開啟 #合格：Y;不合格：N #不合格地方 #檢查telnet是否開啟 echo "SBL-Linux-02-01-04:" >> "/tmp/${ipadd}_checkResult.txt" telnetd=`cat /etc/xinetd.d/telnet | grep disable | awk '{print $3}'` if [ "$telnetd"x = "yes"x ]; then echo "N:檢測到telnet服務開啟，不符合要求，建議關閉telnet" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-01-05 #項目：帳號與口令-root用戶環境變量的安全性 #合格：Y;不合格：N #不合格地方 #檢查目錄權限是否為777 echo "SBL-Linux-02-01-05:" >> "/tmp/${ipadd}_checkResult.txt" dirPri=$(find $(echo $PATH | tr ':' ' ') -type d \( -perm -0777 \) 2> /dev/null) if [ -z "$dirPri" ] then echo "Y:目錄權限無777的,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:文件${dirPri}目錄權限為777的，不符合要求。" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-01-06 #項目：帳號與口令-遠程連接的安全性配置 #合格：Y;不合格：N #不合格地方 echo "SBL-Linux-02-01-06:" >> "/tmp/${ipadd}_checkResult.txt" fileNetrc=`find / -xdev -mount -name .netrc -print 2> /dev/null` if [ -z "${fileNetrc}" ];then echo "Y:不存在.netrc文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:存在.netrc文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi fileRhosts=`find / -xdev -mount -name .rhosts -print 2> /dev/null` if [ -z "$fileRhosts" ];then echo "Y:不存在.rhosts文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:存在.rhosts文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-01-07 #項目：帳號與口令-用戶的umask安全配置 #合格：Y;不合格：N #不合格地方 #檢查umask設置 echo "SBL-Linux-02-01-07:" >> "/tmp/${ipadd}_checkResult.txt" umask1=`cat /etc/profile | grep umask | grep -v ^# | awk '{print $2}'` umask2=`cat /etc/csh.cshrc | grep umask | grep -v ^# | awk '{print $2}'` umask3=`cat /etc/bashrc | grep umask | grep -v ^# | awk 'NR!=1{print $2}'` flags=0 for i in $umask1 do if [ $i != "027" ];then echo "N:/etc/profile文件中所所設置的umask為${i},不符合要求，建議設置為027" >> "/tmp/${ipadd}_checkResult.txt" flags=1 break fi done if [ $flags == 0 ];then echo "Y:/etc/profile文件中所設置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi flags=0 for i in $umask2 do if [ $i != "027" ];then echo "N:/etc/csh.cshrc文件中所所設置的umask為${i},不符合要求，建議設置為027" >> "/tmp/${ipadd}_checkResult.txt" flags=1 break fi done if [ $flags == 0 ];then echo "Y:/etc/csh.cshrc文件中所設置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi flags=0 for i in $umask3 do if [ $i != "027" ];then echo "N:/etc/bashrc文件中所設置的umask為${i},不符合要求，建議設置為027" >> "/tmp/${ipadd}_checkResult.txt" flags=1 break fi done if [ $flags == 0 ];then echo "Y:/etc/bashrc文件中所設置的umask為${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-01-08 #項目：帳號與口令-grub和lilo密碼是否設置檢查 #合格：Y;不合格：N #不合格地方 #grub和lilo密碼是否設置檢查 echo "SBL-Linux-02-01-08:" >> "/tmp/${ipadd}_checkResult.txt" grubfile=$(cat /etc/grub.conf | grep password) if [ $? -eq 0 ];then echo "Y:已設置grub密碼,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:沒有設置grub密碼，不符合要求,建議設置grub密碼" >> "/tmp/${ipadd}_checkResult.txt" fi lilo=$(cat /etc/lilo.conf | grep password) if [ $? -eq 0 ];then echo "Y:已設置lilo密碼,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:沒有設置lilo密碼，不符合要求,建議設置lilo密碼" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-02-01 #項目：文件系統-重要目錄和文件的權限設置 #合格：Y;不合格：N #不合格地方 echo "SBL-Linux-02-02-01:" >> "/tmp/${ipadd}_checkResult.txt" echo "***************************" echo "檢查重要文件權限中..." echo "***************************" file1=`ls -l /etc/passwd | awk '{print $1}'` file2=`ls -l /etc/shadow | awk '{print $1}'` file3=`ls -l /etc/group | awk '{print $1}'` file4=`ls -l /etc/securetty | awk '{print $1}'` file5=`ls -l /etc/services | awk '{print $1}'` file6=`ls -l /etc/xinetd.conf | awk '{print $1}'` file7=`ls -l /etc/grub.conf | awk '{print $1}'` file8=`ls -l /etc/lilo.conf | awk '{print $1}'` #檢測文件權限為400的文件 if [ $file2 = "-r--------" ];then echo "Y:/etc/shadow文件權限為400，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/shadow文件權限不為400，不符合要求，建議設置權限為400" >> "/tmp/${ipadd}_checkResult.txt" fi #檢測文件權限為600的文件 if [ $file4 = "-rw-------" ];then echo "Y:/etc/security文件權限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/security文件權限不為600，不符合要求，建議設置權限為600" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file6 = "-rw-------" ];then echo "Y:/etc/xinetd.conf文件權限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/xinetd.conf文件權限不為600，不符合要求，建議設置權限為600" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file7 = "-rw-------" ];then echo "Y:/etc/grub.conf文件權限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/grub.conf文件權限不為600，不符合要求，建議設置權限為600" >> "/tmp/${ipadd}_checkResult.txt" fi if [ -f /etc/lilo.conf ];then if [ $file8 = "-rw-------" ];then echo "Y:/etc/lilo.conf文件權限為600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/lilo.conf文件權限不為600，不符合要求，建議設置權限為600" >> "/tmp/${ipadd}_checkResult.txt" fi else echo "N:/etc/lilo.conf文件夾不存在" fi #檢測文件權限為644的文件 if [ $file1 = "-rw-r--r--" ];then echo "Y:/etc/passwd文件權限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/passwd文件權限不為644，不符合要求，建議設置權限為644" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file5 = "-rw-r--r--" ];then echo "Y:/etc/services文件權限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/services文件權限不為644，不符合要求，建議設置權限為644" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file3 = "-rw-r--r--" ];then echo "Y:/etc/group文件權限為644，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/group文件權限不為644，不符合要求，建議設置權限為644" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-02-02 #項目：文件系統-查找未授權的SUID/SGID文件 #合格：Y;不合格：N #不合格地方 echo "SBL-Linux-02-02-02:" >> "/tmp/${ipadd}_checkResult.txt" unauthorizedfile=`find / \( -perm -04000 -o -perm -02000 \) -type f ` echo "C:文件${unauthorizedfile}設置了SUID/SGID，請檢查是否授權" >> "/tmp/${ipadd}_checkResult.txt" #編號：SBL-Linux-02-02-03 #項目：文件系統-檢查任何人都有寫權限的目錄 #合格：Y;不合格：N;檢查：C #不合格地方 echo "SBL-Linux-02-02-03:" >> "/tmp/${ipadd}_checkResult.txt" checkWriteDre=$(find / -xdev -mount -type d \( -perm -0002 -a ! -perm -1000 \) 2> /dev/null) if [ -z "${checkWriteDre}" ];then echo "Y:不存在任何人都有寫權限的目錄，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:${checkWriteDre}目錄任何人都可以寫，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-02-04 #項目：文件系統-檢查任何人都有寫權限的文件 #合格：Y;不合格：N;檢查：C #不合格地方 echo "SBL-Linux-02-02-04:" >> "/tmp/${ipadd}_checkResult.txt" checkWriteFile=$(find / -xdev -mount -type f \( -perm -0002 -a ! -perm -1000 \) 2> /dev/null) if [ -z "${checkWriteFile}" ];then echo "Y:不存在任何人都有寫權限的目錄，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:${checkWriteFile}目錄任何人都可以寫，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-02-02-05 #項目：文件系統-檢查異常隱含文件 #合格：Y;不合格：N;檢查：C #不合格地方 echo "SBL-Linux-02-02-05:" >> "/tmp/${ipadd}_checkResult.txt" hideFile=$(find / -xdev -mount \( -name "..*" -o -name "...*" \) 2> /dev/null) if [ -z "${hideFile}" ];then echo "Y:不存在隱藏文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:${hideFile}是隱藏文件，建議審視" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-03-01-01 #項目：日志審計-syslog登錄事件記錄 #合格：Y;不合格：N;檢查：C #不合格地方 echo "SBL-Linux-03-01-01:" >> "/tmp/${ipadd}_checkResult.txt" recodeFile=$(cat /etc/syslog.conf) if [ ! -z "${recodeFile}" ];then logFile=$(cat /etc/syslog.conf | grep -V ^# | grep authpriv.*) if [ ! -z "${logFile}" ];then echo "Y:存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:不存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt" fi else echo "N:不存在／etc/syslog.conf文件，建議對所有登錄事件都記錄" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-03-01-02 #項目：系統文件-檢查日志審核功能是否開啟 #合格：Y;不合格：N;檢查：C echo "SBL-Linux-03-01-02:" >> "/tmp/${ipadd}_checkResult.txt" auditdStatus=$(service auditd status 2> /dev/null) if [ $? = 0 ];then echo "Y:系統日志審核功能已開啟，符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $? = 3 ];then echo "N:系統日志審核功能已關閉，不符合要求，建議service auditd start開啟" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-04-01-01 #項目：系統文件-系統core dump狀態 #合格：Y;不合格：N;檢查：C echo "SBL-Linux-04-01-01:" >> "/tmp/${ipadd}_checkResult.txt" limitsFile=$(cat /etc/security/limits.conf | grep -V ^# | grep core) if [ $? -eq 0 ];then soft=`cat /etc/security/limits.conf | grep -V ^# | grep core | awk {print $2}` for i in $soft do if [ "$i"x = "soft"x ];then echo "Y:* soft core 0 已經設置" >> "/tmp/${ipadd}_checkResult.txt" fi if [ "$i"x = "hard"x ];then echo "Y:* hard core 0 已經設置" >> "/tmp/${ipadd}_checkResult.txt" fi done else echo "N:沒有設置core，建議在/etc/security/limits.conf中添加* soft core 0和* hard core 0" >> "/tmp/${ipadd}_checkResult.txt" fi #編號：SBL-Linux-04-01-02 #項目：系統文件-檢查磁盤動態空間，是否大於等於80% #合格：Y;不合格：N;檢查：C # echo "SBL-Linux-04-01-02:" >> "/tmp/${ipadd}_checkResult.txt" space=$(df -h | awk -F "[ %]+" 'NR!=1{print $5}') for i in $space do if [ $i -ge 80 ];then echo "C:警告！磁盤存儲容量大於80%,建議擴充磁盤容量或者刪除垃圾文件" >> "/tmp/${ipadd}_checkResult.txt" fi done