等保測評linux主機加固

控制點	安全要求	要求解讀	測評方法	預期結果或主要證據
身份鑒別	a)應對登錄的用戶進行身份標識和鑒別，身份標識具有唯一性，身份鑒別信息具有復雜度要求並定期更換	Linux系統的用戶鑒別過程與其他UNIX系統相同：系統管理員為用戶建立一個賬戶並為其指定一個口令,用戶使用指定的口今登錄后重新配置自己的自已的口令，這樣用戶就具備一個私有口令。etc/password文件中記錄用戶的屬性信息，包括用戶名、密碼、用戶標識、組標識等信息。現在Linux系統中不再直接保存在/etc/password文件中,通常將password文件中的口令字段使用一個“x”來代替，將/etc/shadow作為真正的口令文件，用於保存包括個人口令在內的數據。當然，shadow文件是不能被普通用戶讀取的，只有超級用戶才有權讀取。 Linux中的/etc/login.defs是登錄程序的配置文件，在這里我們可配置密碼的最大過期天數，密碼的最大長度約束等內容。如果/etc/pam.d/system-auth文件里有相同的選項，則以/etc/pam.d/system-auth里的設置為准，也就是說/etc/pam.d/system-aut的配置優先級高於/etc/login.defs。 Linux系統具有調用PAM的應用程度認證用戶。登示服務、屏保等功能，其中一個重要的文件使是etc/pam.d/system-auth(在Kedhat Cent0s 和Fedora系上）。/etc/pam.d/system-auth或/etc/login.defs中的配置優先級高於其他地方的配置。 另外，root用戶不受pam認證規則的限制，相關配置不會影響root用戶的密碼，root用戶可以隨意設置密碼的。login.defs文件也是對root用戶無效的。	1)訪談系統管理員系統用戶是否已設置密碼，並查看登錄過程中系統賬戶是否使用了密碼進行驗證登錄。 2)以有權限的賬戶身份登錄操作系統后，使用命令more查看/etc/shadow文件，核查系統是否存在空口令賬戶 3)使用命令more查看/etc/login. defs文件，查看是否設置密碼長度和定期更換要求 #more /etc/login. defs 使用命令more查看/etc/pam.d/system-auth文件。查看密碼長度和復雜度要求 4)檢查是否存在旁路或身份鑒別措施可繞過的安全風險	1)登錄需要密碼 2)不存在空口令賬戶 3)得出類似反饋信息，如下: PASS MAX_DAYS 90 #登錄密碼有效期90天 PASS MIN_DAYS 0 #登錄密碼最短修改時間，增加可以防止非法用戶短期更改多次 PASS MIN_LEN 7 #登錄密碼最小長度7位 PASS WARN_AGE 7 #登錄密碼過期提前7天提示修改 4)不存在繞過的安全風險
	b)應具有登錄失敗處理功能，應配置並啟用結束會話、限制非法登錄次數和當登錄連接超時自動退出等相關措施	Linux系統具有調用PAM的應用程度認證用戶、登錄服務、屏保等功能，其中一個重要的文件便/etc/pam.d/system-auth ，Redhat5以后版本使用pam_tally2.so模塊控制用戶密碼認證失敗的次數上限，可以實現登錄次數、超時時間，解鎖時間等。 着只是針對某個程序的認證規則，在PAM目錄(/etc/pam d)下形如sshd、login 等等的對應各程序的認證規則文件中進行修改。若所有密碼認證均應用規則， 可直接修改system_auth文件	1)系統配置並啟用了登錄失敗處理功能 2)以root身份登錄進入Linux， 查看文件內容: # cat /ete/pam.d/system -auth或根據linux版本不同在common文件中 3)查看/etc/profile中的TIMEOUT環境變量，是否配置超時鎖定參數	得出類似反饋信息，如下: 1)和2)查看登錄失敗處理功能相關參數，/etc/pam.d/system—auth文件中存在"account required /lib/security/pam_tally.so deny=3 no_ magic root reset" ; 3)記錄在文件/etc/profile中設置了超時鎖定參數，在profile下設置TMOUT= 300s
	c)當進行遠程管理時，應采取必要措施、防止鑒別信息在網絡傳輸過程中被竊聽	Linux提供了遠程訪問與管理的接口，以方便管理員進行管理操作，網絡登錄的方式也是多樣的，例如可以使用Telnet登錄，也可以使用SSH登錄。但是，Telnet不安全。I因為其在教據傳輸過程中，賬戶與密碼均明文傳輸，這是非常危險的。黑客通過一些網絡對嗅探工是能夠輕易地的竊取網絡中明文傳輸的賬戶與密碼，因此不建議通過Telnet協議對服務器進行遠程管理。針對Telnet協議不安全這種情況，可以在遠程登錄時使用SSH協議。其原理跟Telnet類似，只是其具有更高的安全性。SSH是一個運行在傳輸控制層上的應用程序，與Telnet相比，它提供了強大的認證與加密功能，可以保證在遠程連接過程中，其傳輸的數據是加密處理過的。因此保障了賬戶與口令的安全	訪談系統管理員，進行遠程管理的方式。 1)以root身份登錄進入Linux查看是否運行了sshd服務，service - status-all | grep sshd 查看相關的端口是否打開，netstat -an|grep 22 若未使用SSH方式進行遠程管理，則查看是否使用了Telnet 方式進行遠程管理 service - -status-all|grep running, 查看是否存在Telnet服務 2)可使用wireshark等抓包工具，查看協議是否為加密 3)本地化管理，N/A	1)使用SSH方式進行遠程管理，防止鑒別信息在傳輸過程中被竊聽,Telnet默認不符合 2)通過抓包工具，截獲信息為密文，無法讀取，協議為加密 3) N/A本地管理
	d)應采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現	對於第三級及以上的操作系統要求采用口令、密碼技術、生物技術等兩種或兩種以上組合的鑒別技術對用戶進行身份鑒別，且其中一種鑒別技術至少應使用密碼技術來實現	訪談和核查系統管理員在登錄操作系統的過程中使用了哪些身份鑒別方法，是否采用了兩種或兩種以上組合的鑒別技術，如口令教字證書Ukey、令牌、指紋等，是否有一種鑒別方法在鑒別過程中使用了密碼技術	除口令之外，采用了另外一種鑒別機制，此機制采用了密碼技術，如調用了密碼機或采取SM1-SM4等算法
訪問控制	a)應對登錄的用戶分配賬戶和權限	對於Linux中一些重要的文件，應檢查Linux系統主要目錄的權限設置情況，Linux系統對文件的操作權限，包括4種:讀(r,4)；寫(w,2)；執行(x,1) ；空(一，0)，文件的權限分為屬主(擁有者)、屬組、其它用戶和用戶組的權限	以有相應權限的身份登錄進入Linux,使用“1s-1文件名”命令，查看重要文件和目錄權限設置是否合理，如: # 1s -1 /etc/passwd #744。	重點查看以下文件和目錄權限是否設置合理。 —rwx- - - - - :數字表示為700  -rwxr--r- -:數字表示為744 -rw-rw-r-x:數字表示為665 drwx-x一x:數字表示為711 drwr- - - - -:數字表示為700 配置文件權限值不能大於644，對於可執行文件不能大於755
	b)應重命名或刪除默認賬戶，修改默認賬戶的默認口令	Linux操作系統本身安裝后提供各種賬號，如adm Ip sync shutdown halt mail uucp operator games gopher ftp等， 但這些賬戶使用時並不需要，有的帳號越多，就越容易受到攻擊，應禁用或者刪除這些用戶。 root作為重要的默認賬戶，一般要求禁止遠程登錄	1)以有相應權限的身份登錄進入Linux,使用more查看/etc/shadow文件，查看文件中的用戶，是否存在adm、 lp. sync、 shutdown、 halt.、mail、 uucp、operator,、games.、gopher ftp等默認的、無用的用戶。 2)查看root賬戶是否能夠進行遠程登錄	1)不存在默認無用的賬戶 2)使用more查看/etc/ssh/sshd_config文件中的"PermitRootLogin"參數設置為“no “ ，即: PermitRootLogin no, 即不許可root遠程登錄
	c)應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在	通常操作系統在運行一段時間后，因業務應用或管理員崗位的調整，出現一些多余的、過期的賬戶；另一方面，也會出現多個系統管理員或用戶使用同一賬戶登錄操作系統的情況，造成審計追蹤時無法定位到自然人。如果存在多余的，過期的賬戶，可能會被攻擊者利用其進行非法操作的風險，因此應及時清理系統中的賬戶，刪除或停用多余的、過期的賬戶，同時避免共享賬戶的存在	1)應核查是否不存在多余或過期賬戶，如查看games、news、 ftp、 1p等系統默認賬戶是否被禁用，特權賬號halt、shutdown是否被刪除 2)應訪談網絡管理員、安全管理員、系統管理員不同用戶是否采用不同賬戶登錄系統	1)禁用或刪除不需要的系統默認賬戶，如games、news、 ftp、 1p、halt、shutdown等 2)各類管理員均使用自己分配的特定權限賬戶登錄，不存在多余、過期賬戶
	d)應授予管理用戶所需的最小權限，實現管理用戶的權限分離	根據管理用戶的角色對權限進行細致的划分，有利於各崗位細致協調工作，同時僅授予管理用戶所需的最小權限，避免出現權限的漏洞使得一些高級用戶擁有過大的權限。Linux 系統安裝后，root擁有所有權限，使用sudo授予普通用戶root級權限，在sudoer.conf中進行配置	1)以有相應權限的身份登錄進入Linux, 使用more查看/etc/passwd文件中的非默認用戶，詢問各賬戶的權限，是否實現管理用戶的權限分離 2)以有相應權限的身份登錄進入Linux, 使用more查看/etc/sudo.conf文件，核查root級用戶的權限都授予哪些賬戶	1)各用戶均具備最小權限,不與其他用戶權限交叉。設備下可支持新建多用戶角色功能 2)管理員權限僅分配root用戶
	d)應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則	操作系統的訪問控制策略應由授權主體（如安全管理員）進行配置，非授權主體不得更改訪問控制策略。訪問控制策略規定操作系統用戶對操作系統資源(如文件和目錄)具有哪些權限，能進行哪些操作、通過在操作系統中配置訪問控制策略，實現對操作系統各用戶權限的限制	1)訪談系統管理員，是否指定授權人對操作系統訪問控制權限進行配置 2)核查賬戶權限配置，是否依據安全策略配置各賬戶的訪問規則	1)由專門的安全員負責對訪問控制權限的授權工作 2)各賬戶權限配置，均是基於安全員的安全策略配置進行的訪問控制
	e)訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數據庫表級	明確提出訪問控制的粒度要求，重點目錄的訪問控制的主體可能為某個用戶或某個進程，應能夠控制用戶或進程對文件、數據庫表等客體的訪問	使用“ls -1文件名”命令，查看重要文件和目錄權限設置是否合理,如:#ls -1/etc/passwd #744,應重點查看以下文件和目錄權限是否被修改過	由管理用戶進行用戶訪問權限分配進行設置，依據訪問控制策略,對各類文件和數據庫表級進行訪問。重要文件和目錄權限均在合理范圍內，用戶可根據對文件不同的權限進行操作
	f)應對重要主體和客體設置安全標記，並控制主體對有安全標記信息資源的訪問	敏感標記是由強認證為安全管理員進行設置的，通過對重要信息資源設置敏感標記，決定主體以何種權限對客體進行操作，實現強制訪問控制。安全增強型Linux (Security Enhanced Linux)簡稱SELinux,是一個Linux內核模塊，也是Linux的一個安全子系統。2.6及以上版本的Linux內被都團經集成了SELinux模塊，在使用SELinux的操作系統中，決定一個資源是否能夠被訪問的因素除了用戶的權限(讀、寫、執行)外，還需要判斷每一類進程是否擁有對某一類資源的訪問權限，這種權限管理機制的主體是進程，也稱為強制訪問控制(MAC)。在SELinux中，主體等同於進程，客體是主體訪問的資源，可以是文件、目錄、端口、設備等	1)明確系統中是否有敏感信息 2)在主體用戶或進程划分級別並設置敏感標記，在客體文件設置敏感標記 3)應測試是否依據主體、客體安全標記控制主體對客體訪問的強制訪問控制策略 4)以有相應權限的身份登錄進入Linux,使用more查看/etc/selinux/config文件中的SELINUX參數的設定	1) 2) 3)4) linux服務器默認關閉SELinux服務。或采取第三方主機加固系統或對操作系統內核進行二次開發加固，並實際查看系統可視化界面。 SELINUX有三種工作模式，分別是: enforcing:強制模式。違反SELinux規則的行為將阻止並記錄到日志中，表示使用SELinux。 permissive:寬容模式。違反SELinux規則的行為只會記錄到日志中，一般為調試用，表示使用SELinux disabled:關閉SELinux,使用SELinux
安全審計	a)應啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進行審計	Redhat Enterprise Linux-3 update 2以后都開始使用LASU (Linux Aduit Subsystem)來進行審計。且志系統可以記錄系統的各種信息,如:安全、調試、運行信息。審計子系統專用來記錄安全信息，用於對系統安全事件的追溯。如果審計子系統沒有運行，Linux 內核就將安全審計信息傳遞給日志系統。 Linux 操作系統的auditd進程主要用來記錄安全信息。用於對系統安全事件的追溯；而rsyslog進程用來記錄系統中的各種信息，如硬件報警和軟件日志。Linux操作系統在安全審計配置文件/etc/audit/audit.rules中配置安全事件審計規則	1)以root 身份登錄進入Linux, 查看服務進程 2)若運行了安全審計服務，則查看安全審計的守護進程是否正常 # ps -ef|grep auditd 3)若未開啟系統安全審計功能，則確認是否部署了第三方安全審計工具 4)以root身份登錄進入Linux查看安全事件配置: #gerep“@priv-ops" /etc/audit/filter.conf .... more/etc/audit/audit.rules .....	1)開啟審計進程內容如下: [root@localhost april]# service auditd status auditd (pid  1656) is running... [root@localhost april]# service rsyslog statusr syslogd (pid 1681) is running... [root@localhost april]# 2)Linux服務器默認開啟守護進程 3)audit.rules中記錄對文件和底層調用的相關記錄，記錄的安全事件較為全面
	b)審計記錄應包括事件的日期和時間，用戶、事件類型，事件是否成功及其他與審計相關的信息	詳細的審計記錄才能實現有效的審計，審計記錄應該包括事件的日期、時間、類型、主體標識、客體標識和結果等。通過記錄中的詳細信息，能夠幫助管理員或其他相關檢查人員准確的分析和定位事件。Linux用戶空間審計系統由auditd、ausearch和aureport等應用程序組成，其中ausearch是查找審計事件的工具，可以用來查看系統日志	以有相應權限的身份登錄進入Linux,使用命令"ausearch-ts today ”，其中，-ts指定時間后的log,或命令"tail -20 /var/log/audit/audit.log“查看審計日志	審計記錄應包括事件的日期、時間、類型、主體標識、客體標識和結果
	c)應對審計記錄進行保護，定期備份，避免受到未預期的刪除、修改或覆蓋等	非法用戶進入系統后的第一件事情就是去清理系統日志和審計日志，而發現入侵的最簡單最直接的方法就是去看系統記錄和安全審計文件。因此，必須對審計記錄進行安全保護，避免受到未預期的刪除修改或覆蓋等。	訪談審計記錄的存儲、備份和保護的措施，是否將操作系統日志定時發送到日志服務器上等，並使用sylog方式或smp方式將日志發送到日志服務器。 如果部署了日志服務器,登錄日志服務器查看操作系統的日志是否在收集的范圍內	操作系統日志定期備份，共定期將本地存儲日志轉發至日志服務器
	d)應對審計進程進行保護，防止未經授權的中斷	保護好審計進程，當安全事件發生時能夠及時記錄事件發生的詳細內容。 在Linux中,Auditd是審計守護進程, syslogd是日志守護進程,保護好審計進程，當事件發生時，能夠及時記錄事件發生的詳細內容。	1)訪談對審計進程監控和保護的措施 2)測試使用非安全審計員中斷審計進程，查看審計進程的訪問權限是否設置合理。 3)查看是否有第三方系統對被測操作系統的審計進程進行監控和保護	1）2）審計進程不可以非審計人員權限修改 3）部署有第三方審計工具，可實時記錄審計日志，管理員不可對日志進行刪除
入侵防范	a)應遵循最小安裝的原則僅安裝需要的組件和應用程序	在安裝Linux操件系統時，應試循最小化安裝原則，即不需要的包不進行安裝。安裝的包越多，面臨的風險起大，系統瘦身有利於提高系統的安全性。在操作系統使用過程中，為了避象由於多余組件和應用程序帶來的安全風險，通常遵循最小安裝原則，僅安裝需要的組件和應用程序	1)訪談安裝系統時是否遵循最小化安裝原則，查看安裝操作手冊 2)使用命令“yum list installed" 查看操作系統中已安裝的程序包，詢問是否有目前不需要的組件和應用程序	1)系統安裝遵循最小化安裝原則 2)不存在業務所不需要的組件和應用程序
	b)應關閉不需要的系統服務、默認共享和高危端口	Linux默認安裝時會開啟許多不必要的系統服務，為了避免由於多余的系統服務帶來安全風險，通常可以將其關閉。通過查看監聽端口，能夠直觀地發現並對比系統所運行的服務和程序,關閉高危端口,是操作系統常用的安全加固方式	1)以有相應權限的身份登錄進入L.inux, 使用命令"service - status-all| grep running" 查看是否已經關閉危險的網絡服務 2)以有相應權限的身份登錄進入L.inux,使用命令"netstat -ntlp”查看並確認是否開放的端口都為業務需要端口， 是否已經關閉非必需的端口,L.inux不存在共享問題	1)關閉了系統多余服務，危險服務和進程 2)關閉了多余端口
	c)應通過設定終端接入方式或網絡地址范圍對通過網絡進行管理的管理終端進行限制	在Linux系統中存在/etc/hosts.allowr和/etc/hosts.deny兩個文件,它們是tcpd服務器的配置文件，tcpd服務器可以控制外部IP對本機服務的訪問。其中/etc/hosts.allow控制可以訪問本機的IP地址，/ete/hosts.deny控制禁止訪問本機的IP,如果兩個文件的配置有沖突，以/etc/hosts. deny為准	查看在/etc/hosts.deny中是否有“ALL: ALL",禁止所有的請求:在/etc/hosts.allow中，是否有如下配置(舉例): sshd: 192.168.1.10/255. 255. 255. 0 2)是否采用了從防火牆設置了對接入終端的限制	1)使用more查看/etc/hosts.allow中是否有如下配置限制IP及其訪問方式，如(舉例): ssbd; 192. 168. 1.10/255.255 255.0 2)對終端接入方式，網絡地址范圍等條件進行限制。通過RADUS.、堡壘主機、安全城、防火牆等運維方式實現對終端入方式的限制
	d) 應能發現可能存在的已知漏洞，並在經過充分測試評估后，及時修補漏洞	攻擊者可能利用操作系統存在的安全漏洞對系統進行攻擊，應對系統進行漏洞掃描，及時發現系統中存在的已知漏洞，並在經過充分測試評估后更新系統補丁，避免遭受由系統漏洞帶的風險	1)查看甲方自查的洞掃報告或通過第三方檢查的漏洞報告，有無高風險漏洞 2)系統有無漏洞測試環境，補丁更新的機制和流程加何? 3)訪談補丁升級機制，查看補丁安裝情況：#rpm -qa grep patch	1有運維團隊定期進行漏洞掃描，發現安全風險，及時補修 2)3）更斷補丁時間為最近，對補丁進行控制和管理
	e)應能夠檢測到對重要節點進行入侵的行為，並在發生嚴重入侵事件時提供報警	要維護真正安全的環境，只具備安全系統還遠遠不夠。如果假設自己不會受到攻擊，或認為防護措施已足以保護自己的安全，都是非常危險的。要維護系統安全，必須進行主動監視，以檢查是否發生了入侵和攻擊。 一般意義上，入侵威脅分為外部滲透、內部滲透和不法行為三種，入侵行為分為物理入侵、系統入侵和遠程入侵三種。此項中，關注的操作系統所面對的入侵成脅可能包含了三種造成入侵威脅的入侵行為主要是系統入侵和遠程入侵兩種。系統入侵，指入侵者在擁有系統的一個低級賬號權限下進行的破壞活動。通常，如果系統沒有及時更新最近的補丁程序，那么擁有低級權限的用戶就可能利用系統漏洞獲取更高的管理特權。遠程入侵，指入侵者通過網絡滲透到一個系統中。這種情況下，入侵者通常不具備任何特殊權限，他們通過漏洞掃掃描端口掃描等技術發現攻擊目標，再利用相關技術執行破壞活動	1)訪談並查看入侵檢測的措施，如經常通過如下命令查看入侵的重要線索(試圖Telnet.FTP等),涉及命令“#more /var/log /secure|grep refused" 2)查看是否啟用了主機防火牆、TCP SYN保護機制等設置 3)訪談系統管理員是否安裝了主機入侵檢測軟件。查看已安裝的主機入侵，檢查系統的配置情況，是否具備報警功能。可執行命令: find / -namie <daemonname> -print 檢查是否安裝了主機入侵檢測軟件，如Dragon Squire by Enterasys Networks ，ITA by Symantec. Hostsentry by Psionic Software.Logcheck by Psiomc Software. RealSecure-agent by ISS  4)查看網絡拓撲圖，查看網絡上是否部署了網絡入侵檢測系統，如IDS	1）入侵的重要路徑均deny 2)開啟主機防火牆相關置 3)安裝有基於主機的IDS設備 4)若主機未部署主機IDS設備。可在網絡鏈路上查香是否是IDS、 IPS. 發生入侵事件時，記錄報警措施等
惡意代碼防范	應采用免受惡意代碼攻擊的技術措施或主動免疫可信驗證機制及時識別入侵和病毒行為，並將其有效阻斷	作為Linux系統，也面臨着木馬和蠕蟲的破壞，可以采用免受惡意代碼攻擊的技術措施或主動免疫可信驗證機制對惡意代碼進行檢測	1)核查操作系統中安裝了什么防病毒軟件，訪談管理員病毒庫是否經常更新，核查病毒庫最新版本，更新日期是否超過一個星期 2)核查操作系統是否實現了可信驗證機制，能夠對系統程序、應用程序和重要配置文件/參數進行可信執行驗途	1)部署有網絡版防病毒軟件，病毒庫最新，支持防惡意代碼的統-管理個 2)部署有主動免疫可信驗證機制，可對病責入侵進行及時阻斷
可信驗證	可基於可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進行可信驗證，並在應用程序的關鍵執行環節進行動態可信驗證，在檢測到其可信性受到破壞后進行報警，並將驗證結果形成審計記錄送至安全管理中心	針對服務器設備，需要服務器在啟動過程對預裝軟件(包括系統引導程序、系統程序、相關應用程序和重要配置參數)進行完整性驗證或檢測，確保對系統引導程序、系統程序、重要配置參數和關鍵應用程序的篡改行為能被發現，並報警便於后續的處置動作	1)核查服務器的啟動，是否實現可信驗證的檢測過程，查看對那些系統引導程序、系統程序或重要配置參數進行可信驗證 2)修改其中的重要系統程序之一和應用程序之一，核查是否能夠檢測到並進行報警 3)是否將驗證結果形成審計記錄送至安全管理中心	l）服務器具有可信根芯片或硬件 2)啟動過程基於可信根對系統引導程序、系統程序，重要配置參數和關鍵應用程序等進行可信驗證度量 3)在檢測到其可信性受到破壞后進行報警，並將驗證結果形成審計記錄送至安全管理中心 4)安全管理中心可以接收設備的驗證結果記錄
數據備份恢復	應提供重要數據處理系統的熱冗余，保證系統的高可用性	對於可用性要求較高的等級保護對象來說，僅僅進行數據備份是遠遠不夠的，還必須進行系統備份。重要數據處理系統要求采用熱冗余,保證系統的高可用性	1)訪談系統管理員哪些是重要數據處理系統，重要數據處理系統是否有備份機制，是否采用本地熱備份站點備份或異地活動互援備份。 2)核查設備列表，重要數據處理系統是否采用熱備服務器	1)對重要數據，如用戶數據，鑒別數據等定期進行備份，通過磁帶備份到本地 2)對於重要設備，采取熱備、集群、負載均衡等高可用方式