實用技巧：如何用幾個簡單的命令改善你的Linux安全
譯文【51CTO.com快譯】本文中，我們將討論如何通過一些Linux的安全命令，加固你的Linux系統(tǒng)。
在最開始,我們需要問的一個問題是：Linux是已經(jīng)足夠被安全加固了嗎?答案當然是否定的。那些嫻熟的攻擊者所帶來的危險是與日俱增的。每天、甚至是每小時都有新的漏洞被發(fā)現(xiàn)。對這些漏洞的利用方法通常建立在它們被發(fā)現(xiàn)后的數(shù)小時之內(nèi)。一些漏洞甚至直到有人將其利用到攻擊的主機上才被發(fā)現(xiàn)?？梢?，安全應(yīng)該是我們所有人需要關(guān)心的。因此，我想在本文中用一些實際的例子來展示如何增強系統(tǒng)的安全性。
沒有一個帖子或是一本書能夠回答Linux所有的安全問題或是涉及所有可能的威脅。因此，本文理所當然地也不可能包括所有，但是我們希望你一定會發(fā)現(xiàn)到其“用武之處”。
我們的主要議題包括：
控制臺安全
密碼生命周期
Sudo的通知
SSH調(diào)優(yōu)
使用Tripwire進行入侵檢測
使用Firewalld
回歸iptable
限制編譯器
不可修改文件太棒了
用Aureport來管理SELinux
使用sealert工具
一、控制臺安全
你可以通過限制能夠登錄的一組特定終端來限制root用戶的訪問。為了實現(xiàn)該目的，請編輯/etc/下安全文件的內(nèi)容。該文件列出的是允許root用戶登錄的所有設(shè)備。
我建議你只允許root用戶去登錄到一個終端之上，且強制所有其他用戶都使用非root用戶的身份進行登錄。而如果確實需要root用戶權(quán)限的時候，請使用su命令來獲取。
二、密碼生命周期
密碼的生命周期就是允許你為密碼指定一個有效的時間周期。時間到期后，系統(tǒng)將強制要求用戶輸入一個新的密碼。這樣有效地確保了密碼的定期更換，以及密碼在被偷盜、破解或為人所知的情況下能夠迅速過期。
有兩種方法可以實現(xiàn)這個效果。第一種方法是通過命令行使用如下的改變命令：
- $ chage -M 20 likegeeks
我們使用- M選項為likegeeks用戶設(shè)置了有效期限為20天的密碼。
你也可以輸入不帶任何選項的chage命令，它會自動提示你選項：
- $ chage likegeeks
第二種方法是在/etc/login.defs中為所有用戶設(shè)置默認值。你可以參照下面，按需改變其數(shù)值：
- PASS_MAX_DAYS 20
- PASS_MIN_DAYS 0
- PASS_WARN_AGE 5
三、Sudo的通知
Sudo命令雖然可以使得你的“生活”更為輕松，但是它們也會因為Linux的安全問題而毀了你的“生活”。
我們都知道，sudo命令允許非root用戶以root身份運行各種命令。你可以在/etc/sudoers文件中查到所有的sudo配置。
你可以禁止用戶去運行那些root才能運行的命令。
當sudo命令被使用的時侯，你可以通過在文件中添加如下一行語句，以配置其向外發(fā)送電子郵件。
- mailto yourname@yourdomain.com
當然你也可以用如下語句改變sudo的發(fā)郵件狀態(tài)：
- mail_always on
四、SSH調(diào)優(yōu)
只要說到Linux安全，我們必然會討論到SSH服務(wù)。SSH應(yīng)該是你系統(tǒng)中重要的一種服務(wù)，它使你能夠輕松地連接到自己的系統(tǒng)。而且這可能是在出現(xiàn)各種狀況的時候，唯一能讓你的系統(tǒng)“幸存”的途徑。所以對SSH的調(diào)優(yōu)是非常重要的。
由于我們在本文所使用的是CentOS 7，那么其SSH的配置文件就存放在：
- /etc/ssh/sshd_config
讓我們來深入了解一下吧。
攻擊者所使用的掃描器或自動工具一般嘗試運用默認端口22來連接SSH。因此通常情況下，你應(yīng)該改變SSH的原有端口到另一個未使用的端口上，比如說5555。
- Port 5555
你也可以通過更新PermitRootLogin的值為no來限制root的登錄，例如：
- PermitRootLogin no
并禁用無密碼的通道，且改用公鑰登錄的方式。
- PasswordAuthentication no
- PermitEmptyPasswords no
其實還有另外一種可能阻止攻擊的調(diào)整，但它要求SSH通過正向和反向DNS查詢遠程的主機名，這將在系統(tǒng)日志文件中生成一些適當?shù)木?。你只需啟用UseDNS的值便可實現(xiàn)。
- UseDNS yes
此外，當GSSAPI服務(wù)器被要求驗證相關(guān)用戶的身份時，SSH會調(diào)用一個不常用的功能來實現(xiàn)GSSAPI的認證方式。為了避免這種情況可能會引起的某種麻煩，請按照如下將GSSAPIAuthentication設(shè)為no：
- GSSAPIAuthentication no
考慮到SSH通常會出現(xiàn)的超時問題，你可以通過正確地配置ServerAliveInterval、ServerAliveCountMax和TCPKeepAlive的值來進行管控。
例如下面的規(guī)則就意味著每隔60秒就產(chǎn)生一個數(shù)據(jù)包。
- ServerAliveInterval 15
- ServerAliveCountMax 3
- TCPKeepAlive yes
通過調(diào)整這些值，你可以提供一個更長的連接。
- ClientAliveInterval 30
- ClientAliveCountMax 5
你可以通過指定那些被允許用來使用SSH的用戶名，從而使得SSH服務(wù)更為安全。
- AllowUsers user1 user2
或者指定允許的組：
- AllowGroup group1 group2
除此之外，你還可以為SSH啟用諸如Google Authenticator這樣的雙因素認證方式：
- $ yum install google-authenticator
然后運行之，以驗證是否成功安裝：
- $ google-authenticator
你的移動手機上應(yīng)該已經(jīng)安裝了Google authenticator的應(yīng)用，那么請將下面一行添加到/etc/pam.d/sshd之中。
- auth required pam_google_authenticator.so
最后的事情就是通過添加下面一行到/etc/ssh/sshd_config中，以通知SSH。
- ChallengeResponseAuthentication yes
然后重啟你的SSH：
- $ systemctl restart sshd
之后，當你使用SSH登錄的時候，它將會詢問一個驗證碼。這便意味著你的SSH已經(jīng)能夠應(yīng)對暴力破解的攻擊，且更為穩(wěn)固了。
五、使用Tripwire進行入侵檢測
Tripwire是Linux安全里的重要工具之一。這是一種基于主機的入侵檢測系統(tǒng)(HIDS)。它通過收集配置和文件系統(tǒng)的細節(jié)，并使用這些信息來提供系統(tǒng)先前與當前狀態(tài)之間的參考點等方式進行工作。該過程監(jiān)測文件或目錄的屬性包括：進去哪些被添加或修改了、誰修改的、修改了什么、何時修改的。因此它就是你文件系統(tǒng)的“看門狗”。
你需要訪問EPEL存儲庫來獲取Tripwire。你可以按如下方法輕松地添加該庫：
- wget http://dl.fedoraproject.org/pub/epel/7/x86_64/e/epel-release-7-9.noarch.rpm
- $ rpm -ivh epel-release-7-9.noarch.rpm
一旦成功安裝了EPEL庫，你就可以安裝Tripwire了：
- $ sudo yum install tripwire
在使用Tripwire之前，你需要用如下命令來創(chuàng)建本地和網(wǎng)站密鑰：
- $ tripwire-setup-keyfiles
它會提示你輸入一個用于網(wǎng)站和本地密鑰文件的密碼。Tripwire也會建議你使用大寫字母、小寫字母、數(shù)字和標點符號的組合。
你可以通過更改如下文件來定制Tripwire：
- /etc/tripwire/twpol.txt
因為每一行都有注釋，且描述也很到位，因此該文件還是比較容易閱讀和修改的。
你可以用如下的方式更新自己的Tripwire策略。
- $ tripwire --update-policy --secure-mode low /etc/tripwire/twpol.txt
Tripwire將通過參考你的更改，在屏幕上持續(xù)刷新顯示各個階段的步驟。當這些完成之后，你就應(yīng)該能夠以如下方式初始化Tripwire數(shù)據(jù)庫了：
- $ tripwire --init
然后Tripwire將開始掃描系統(tǒng)。它所需要的時長取決于系統(tǒng)的總體規(guī)模。
任何對文件系統(tǒng)更改將被認為是一種系統(tǒng)的入侵，因此管理員會被通知到，而且他需要使用受信任的文件予以系統(tǒng)恢復(fù)。正是出于這個原因，Tripwire必須去驗證任何的系統(tǒng)更改。你可以通過如下命令來驗證你的現(xiàn)有的策略文件：
- $ tripwire --check
關(guān)于Tripwire，我的最后一點建議是：請額外去加固twpol.txt和twcfg.txt文件的安全。
更多有關(guān)Tripwire的選項和設(shè)置，你可以通過man tripwire查閱到。
六、使用Firewalld
Firewalld替代了iptables，并且通過在不停止當前連接的情況下啟用各種配置的更改，從而改善了Linux的安全管理。
Firewalld作為守護進程形式運行著。它允許各種規(guī)則被即時地添加和更改，而且它使用各種網(wǎng)絡(luò)區(qū)域來為任何以及所有與網(wǎng)絡(luò)相關(guān)的連接定義一種信任級別。
要想知道Firewalld的當前運行狀態(tài)，你可以輸入如下命令：
- $ firewall-cmd --state
你可以用如下命令羅列出預(yù)定義的區(qū)域：
- $ firewall-cmd --get-zones
其值也可以如下方式進行更新：
- $ firewall-cmd --set-default-zone=
你可以用以下命令獲取任何特定區(qū)域的所有相關(guān)信息：
- $ firewall-cmd --zone= --list-all
你也能列出所有支持的服務(wù)：
- $ firewall-cmd --get-services
而且你可以添加或刪除額外的服務(wù)。
- $ firewall-cmd--zone=--add-service=
- $ firewall-cmd--zone=--remove-service=
你能通過如下命令列出任何特定區(qū)域中所有開放的端口：
- $ firewall-cmd --zone= --list-ports
你可用如下方式管理TCP/UDP端口的增加與刪除：
- $ firewall-cmd--zone=--add-port=
- $ firewall-cmd--zone=--remove-port=
你可以如下命令添加或刪除端口的轉(zhuǎn)發(fā)：
- $ firewall-cmd--zone=--add-forward-port=
- $ firewall-cmd--zone=--remove-forward-port=
Firewalld是非常全面的。其中Firewalld最棒的地方當數(shù)：你可以在不需要停止或重新啟動防火墻服務(wù)的情況下，管理該防火墻的體系結(jié)構(gòu)。而這正是運用IPtables所無法實現(xiàn)的。
七、回歸iptable
有一些人仍然還是喜歡IP tables 勝過Firewalld。那么如果你正好處于這種想舍去Firewalld而回歸IP tables的話，請首先禁用Firewalld：
- $ systemctl disable firewalld
- $ systemctlstop firewalld
然后來安裝IP tables：
- $ yum install iptables-services
- $ touch /etc/sysconfig/iptables
- $ touch /etc/sysconfig/ip6tables
現(xiàn)在你就可以啟動IP tables的服務(wù)了：
- $ systemctlstart iptables
- $ systemctlstart ip6tables
- $ systemctl enable iptables
- $ systemctl enable ip6tables
為了能讓內(nèi)核采用新的配置，你必須重新啟動系統(tǒng)。
八、限制編譯器
如果你的系統(tǒng)被黑掉了，那么攻擊者會對系統(tǒng)使用的是哪種編譯器很感興趣。為什么呢?因為他們可以去下載一個簡單的C文件(POC)，并且在你的系統(tǒng)上進行編譯，從而在幾秒鐘之內(nèi)就成為了root用戶。如果編譯器是開啟的話，他們還可以在你的系統(tǒng)上做一些嚴重的破壞。
首先，你需要檢查單個的數(shù)據(jù)包以確定其包含有哪些二進制文件。然后你需要限制這些二進制文件的權(quán)限。
- $ rpm -q --filesbypkg gcc | grep 'bin'
現(xiàn)在我們需要創(chuàng)建一個可以訪問二進制文件的編譯器的組名稱了：
- $ groupadd compilerGroup
然后，你可以賦予這個組能夠改變?nèi)魏味M制文件的所有權(quán)：
- $ chown root:compilerGroup /usr/bin/gcc
最后重要的是：僅編譯器組才有改變該二進制文件的權(quán)限：
- $ chmod 0750 /usr/bin/gcc
至此，任何試圖使用gcc的用戶將會看到權(quán)限被拒絕的信息了。
我知道有些人可能會說，如果攻擊者發(fā)現(xiàn)編譯器被關(guān)閉了的話，他會去下載編譯器本身。這就是另外一個故事了，我們會在未來的文章中涉及到的。
九、不可修改文件太棒了
不可修改文件是Linux系統(tǒng)中一種最為強大的安全特性。任何用戶(即使是root用戶)，無論他們的文件權(quán)限是怎樣的，都無法對不可修改文件進行寫入、刪除、重命名甚至是創(chuàng)建硬鏈接等操作。這真是太棒了!
它們是保護配置文件或防止你的文件被修改的理想選擇。請使用chattr命令來將任何文件變得不修改：
- $ chattr +i /myscript
你也可以如下方法去除其不可修改屬性：
- $ chattr -i /myscript
/sbin 和/usr/lib兩個目錄內(nèi)容能被設(shè)置為不可改變，以防止攻擊者替換關(guān)鍵的二進制文件或庫文件成為惡意軟件版本。我將其他有關(guān)使用不可改變文件的例子，留給你去想象。
十、用Aureport來管理SELinux
通常情況下，如果你使用的是主機控制面板，或者當有一個或多個特定的應(yīng)用程序可能會碰到一些問題的時候，他們是不會運行在SELinux已啟用的模式下的，也就是說你會發(fā)現(xiàn)SELinux是禁用掉的。
但是禁用SELinux確實會將系統(tǒng)暴露于風險之中。我的觀點是：由于SELinux有一定的復(fù)雜性，對于我們這些仍想獲益于安全性的人來說，完全可以通過運行aureport的選項來使得工作輕松些。
aureport工具被設(shè)計為創(chuàng)建一些基于列特征的報告，以顯示在審計日志文件中所記錄的那些事件。
- $ aureport --avc
你也可以運用同樣的工具來創(chuàng)建一個可執(zhí)行文件的列表：
- $ aureport -x
你也可以使用aureport來產(chǎn)生一個認證的全量報告：
- $ aureport -au -i
或者你還可以列出那些認證失敗的事件：
- $ aureport -au --summary -i --failed
或者你也需要一個認證成功的事件的摘要：
- $ aureport -au --summary -i --success
可見，當你使用一個運行著SELinux的系統(tǒng)來進行系統(tǒng)的故障診斷的時侯，你作為系統(tǒng)管理員首要考慮的應(yīng)該就是使用aureport的各種好處了。
十一、使用Sealert工具
除了aureport工具你也可以使用一個很好的Linux安全工具—sealert。你可以用以下的命令來進行安裝：
- $ yum install setools
那么現(xiàn)在我們就有了一個工具，它將積極地從/var/log/audit/audit.log這一日志文件中返回各種警告，并將其轉(zhuǎn)換得更為“人性化”且可讀。
這個稱為sealert的工具，其目的是能報告出任何與SELinux有關(guān)聯(lián)的問題。你可以這樣來使用它：
- $ sealert -a /var/log/audit/audit.log
關(guān)于所生成的報告，其最好之處是：在每個被發(fā)現(xiàn)的問題的警報末尾，系統(tǒng)都會給出如何去解決該問題的相關(guān)解釋。
在這篇文章中，我們討論了一些可以幫助你加固Linux系統(tǒng)的安全技巧。當然，對于各種運行的服務(wù)而言，仍有許多值得加固的Linux安全技巧有待發(fā)掘。我希望你能從本文中找到對你有用和有趣的內(nèi)容。
原文標題：Useful Linux Security Tricks To Harden Your System，作者: Seco Max
【51CTO譯稿，合作站點轉(zhuǎn)載請注明原文譯者和出處為51CTO.com】
