Linux服務器
控制點
2.
訪問控制
在系統中實施訪問控制的目的是為了保證系統資源（操作系統和數據庫管理系統）受控、合法地被使用。用戶只能根據自己的權限來訪問系統資源，不得越權訪問。
a)
安全要求：應對登錄的用戶分配賬戶和權限。
要求解讀:對於Linux操作系統中的一些重要文件，應檢查系統主要目錄的權限設置情況，Linux操作系統的文件操作權限，包括4種：讀（r，4）、寫（w，2）、執行（x，1）、空（-，0），文件的權限分別為屬主（擁有者）、屬組、其它用戶、用戶組。
檢查方法
以具有相應權限的賬戶身份登錄進入Linux操作系統，使用“ls -l文件名”命令查看重要文件和目錄的權限設置是否合理，例如“# ls-l /etc/passwd #744”。
重點查看以下文件和目錄的權限設置是否合理。
-rwx------：數字表示為700。
-rwxr--r--：數字表示為744。
-rw-rw-r-x：數字表示為665。
drwx--x--x：數字表示為711。
drwx------：數字表示為700。
期望結果
配置文件的權限值不能大於644，可執行文件的權限不能大於755。
b)
安全要求：應重命名或刪除默認賬戶，修改默認賬戶的默認口令。
要求解讀：Linux操作系統本身提供了各種賬戶，如adm、 lp、 sync、shutdown、halt、mail、uucp、operator、games、gopher、ftp等，但這些賬戶並不會被使用，而且賬戶越多，系統就越容易受到攻擊，因此，應禁用或刪除這些賬戶。root是重要的默認賬戶，一般應禁止其遠程登錄。
檢查方法
1.以具有相應權限的賬戶身份登錄Linux操作系統，執行more命令，查看/etc/shadow文件中是否存在adm、lp、sync、shutdown、halt、mai1、uucp、operator、games、gopher、ftp等默認無用的用戶。
2.查看root賬戶是否能進行遠程登錄（通常為不能）。
期望結果
1.不存在默認無用的賬戶。
2.已將/etc/ssh/sshd_config文件中的“PermitRootLogin”參數設置為no，也就是PermitRootLogin no，表示不允許root遠程登錄。
c)
安全要求：應及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在。
要求解讀：操作系統運行一段時間后，會因業務應用或管理員崗位的調整而出現一些多余的、過期的賬戶，也會出現多個系統管理員或用戶使用同一賬戶登錄的情況，導致無法通過審計追蹤定位自然人。多余的、過期的賬戶可能會被攻擊者利用進行非法操作，因此應及時清理系統中的賬戶，刪除或停用多余的、過期的賬戶，同時避免共享賬戶的存在。
檢查方法
1.核查是否不存在多余或過期的賬戶（應為不存在）。例如，查看games、news、ftp、lp等系統默認賬戶是否已被禁用，特權賬戶halt、shutdown 是否已被被刪除。
2.訪談網絡管理員、安全管理員、系統管理員，核查不同的用戶是否使用不同的賬戶登錄系統。
期望結果
1.已禁用或刪除不需要的系統默認賬戶。
2.各類管理員均使用自己的特定權限賬戶登錄，不存在多余的、過期的賬戶。
d)
安全要求：應授予管理用戶所需的最小權限，實現管理用戶的權限分離。
要求解讀：根據管理用戶的角色對權限進行細致的划分，有利於各崗位精准協調工作。同時，僅授予管理用戶所需的最小權限，可以避免出現權限漏洞而使一些高級用戶擁有過高的權限。Linux操作系統的root賬戶擁有所有權限，使用sudo命令可授予普通用戶root權限（在sudoer.conf中進行配置）。
檢查方法
1.以具有相應權限的賬戶身份登錄Linux操作系統，執行more命令，查看/etc/passwd文件中的非默認用戶，了解各用戶的權限，核查是否實現了管理用戶的權限分離。
2.以具有相應權限的賬戶身份登錄Linux操作系統，執行more命令，查看/etc/sudoers文件，核查哪些用戶具有root權限。
期望結果
1.各用戶均具備最小權限，且不與其他用戶的權限交叉。設備支持新建多用戶角色功能。
2.管理員權限僅分配給root用戶。
e)
安全要求：應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則。
要求解讀：操作系統的訪問控制策略應由授權體（例如安全管理員）進行配置，非授權主體不得更改訪問控制策略。訪問控制策略規定了操作系統用戶對操作系統資源（例如文件和目錄）具有哪些權限，能進行哪些操作。通過在操作系統配置訪問控制策略，可以實現對操作系統各用戶權限的限制。
檢查方法
1.詢問系統管理員，核查是否由指定授權人對操作系統的訪問控制權限進行配置。
2.核查賬戶權限配置，了解是否依據安全策略配置各賬戶的訪問規則。
期望結果
1.由專門的安全員負責訪問控制權限的授權工作。
2.各賬戶權限配置均基於安全員的安全策略配置進行訪問控制。
f)
安全要求：訪問控制的粒度應達到主體為用戶級或進程級，客體為文件、數據庫表級。
要求解讀：此項明確提出了訪問控制粒度方面的要求。重點目錄的訪問控制主體可能為某個用戶或某個進程，應能夠控制用戶或進程對文件、數據庫表等客體的訪問。
檢查方法
使用“ls-l文件名”命令查看重要文件和目錄權限的設置是否合理（例如“
# ls-l/etc/passwd #744”）。應重點核查文件和目錄權限是否被修改過。
期望結果
由管理用戶進行用戶訪問權限的分配，用戶依據訪問控制策略對各類文件和數據庫表進行訪問。重要文件和目錄的權限均在合理范圍內，用戶可根據自身擁有的對文件不同的權限進行操作。
g)
安全要求：應對重要主體和客體設置安全標記，並控制主體對有安全標記信息資源的訪問。
要求解讀：敏感標記是由強認證的安全管理員設置的。通過對重要信息資源設置敏感標記，可以決定主體以何種權限對客體進行操作，實現強制訪問控制。
安全增強型Linux（Security-Enhanced Linux，SELinux）是一個Linux內核模塊，也是Linux的一個安全子系統。2.6及以上版本的Linux內核都已集成SELinux模塊。在使用SELinux的Linux操作系統中，決定資源是否能夠被訪問的因素，除了用戶的權限（讀、寫、執行），還有每一類進程對某一類資源的訪問權限。這種權限管理機制的主體是進程，也稱為強制訪問控制。在SELinux中，主體等同於進程，客體是主體訪問的資源（可以是文件、目錄、端口、設備等）。
SELINUX有三種工作模式。
-
enforcing：強制模式。違反SELinux規則的行為將被阻止並記錄到日志中，表示使用SELinux。
-
permissive：寬容模式。違反SELinux規則的行為只會被記錄到日志中，一般在調試時使用，表示使用SELinux。
-
disabled：關閉SELinux，表示不使用SELinux。
檢查方法
1.核查系統中是否有敏感信息。
2.核查是否為主體用戶或進程划分了級別並設置了敏感標記，以及是否在客體文件中設置了敏感標記。
3.測試驗證是否依據主體和客體的安全標記來控制主體對客體訪問的強制訪問控制策略。
4．以具有相應權限的賬戶身份登錄Linux操作系統，使用more命令，查看
/etc/selinux/config文件中SELinux的參數。
期望結果
Linux服務器默認關閉SELinux服務，或者已使用第三方主機加固系統或對系統內核進行了二次開發加固（需要實際查看系統可視化界面）。