Linux Security（三）之系统审计，服务安全，Linux安全之打补丁

一、系统审计
1.什么是审计
    基于事先配置的规则生成日志，记录可能发生在系统上的事件
    审计不会为系统提供额外的安全保护，但它会发现并记录违反安全策略的人及对应的行为
    审计能够记录的日志内容：
        日期与事件，事件结果
        触发事件的用户
        所有认证机制的使用都可以被记录，如ssh等
        对关键数据文件的修改
        
2.审计的案例
    监控文件访问
    监控系统调用
    记录用户运行的命令
    审计可以监控网络访问行为
    ausearch工具，可以根据条件过滤审计日志
    aureport工具，可以生成审计报告
    
3.部署audit
    使用审计系统需要安装audit软件包
    主配置文件/etc/audit/auditd.conf 
[root@web100 ~]# yum -y install audit
[root@web100 ~]# cat /etc/audit/auditd.conf 
log_file = /var/log/audit/audit.log       ==>>日志文件
[root@web100 ~]# systemctl start auditd
[root@web100 ~]# systemctl enable auditd

4.auditctl命令
    控制审计系统并设置规则决定哪些行为会被记录日志
[root@web100 ~]# auditctl -s     ==>>查询状态
[root@web100 ~]# auditctl -l     ==>>查看规则
[root@web100 ~]# auditctl -D     ==>>删除所有规则

5.定义临时规则
    定义文件系统规则，语法如下：
        auditctl -w path -p permission -k key_name
        path为需要审计的文件或目录
        权限可以是r，w，x，a（文件或目录的属性发生变化）
        key_name为可选项，方便识别哪些规则生成特定的日志项
[root@web100 ~]# auditctl -w /etc/passwd -p wa -k passwd_change      ==>>设置规则所有对passwd文件的写，属性修改操作都会被记录审计日志
[root@web100 ~]# auditctl -w /etc/selinux/ -p wa -k selinux_change  ==>>设置规则，监控/etc/selinux目录
[root@web100 ~]# auditctl -w /usr/sbin/fdisk -p x -k disk_partition  ==>>设置规则，监控fdisk程序

6.定义永久规则
    写入配置文件/etc/audit/rules.d/audit.rules 
[root@web100 ~]# vim /etc/audit/rules.d/audit.rules 
 10 -w /etc/passwd -p wa -k passwd_change

7.查看日志
    type为类型 
    msg为（time_stamp:ID）,时间是date+%s
    arch=c000003e，代表x86_64（16进制）
    success=yes/no，事件是否成功
    a0-a3是程序调用时前四个参数，16禁止编码了
    ppid父进程ID，如bash，pid进程ID，如cat命令
    auid是审核用户的id，su - test，依然可以追踪su前的账户
    uid，gid用户与组
    tty从哪个终端执行的命令
    comm=用户在命令行执行的命令
    exe=”/bin/cat“  实际程序的路径
    key=”sshd_config“ 管理员定义的策略关键字key
    type=CWD 用来记录当前工作目录
        cwd=”/home/username“
    type=PATH
        ouid（owner's user id）  对象所有者id 
        guid（owner's groupid）  对象所有组id 
[root@web100 ~]# auditctl -w /etc/ssh/sshd_config -p rwxa -k sshd_config
[root@web100 ~]# tailf /var/log/audit/audit.log 
type=CRED_ACQ msg=audit(1595559661.970:520): pid=20038 uid=0 auid=4294967295 ses=4294967295 msg='op=PAM:setcred grantors=pam_env,pam_unix acct="root" exe="/usr/sbin/crond" hostname=? addr=? terminal=cron res=success'

8.搜索日志
    系统提供的ausearch命令可以方便的搜索特定日志
        默认搜索/var/log/audit/audit.log
        ausearch options -if file_name可以指定文件名
[root@web100 ~]# ausearch -k sshd_config
[root@web100 ~]# ausearch -k sshd_config -i

二、服务安全
1）Nginx安全
1.删除不需要的模块
    Nginx是模块化设计
        需要的模块使用--with加载模块
        不需要的模块使用--without禁用模块
    最小化安装永远是对的
[root@web100 ~]# /usr/local/nginx/sbin/nginx -V
nginx version: nginx/1.12.2
built by gcc 4.8.5 20150623 (Red Hat 4.8.5-39) (GCC) 
configure arguments: --without-http_autoindex_module --without-http_ssi_module
[root@web100 nginx-1.12.2]# ./configure --without-http_autoindex_module --without-http_ssi_module
[root@web100 nginx-1.12.2]# make && make install
[root@web100 nginx-1.12.2]# vim /usr/local/nginx/conf/nginx.conf
server{
        #autoindex on;
}
     
2.修改版本信息
    修改源码
    隐藏版本号信息（server_tokens off）
[root@web100 nginx-1.12.2]# vim +48 src/http/ngx_http_header_filter_module.c 
 49 static u_char ngx_http_server_string[] = "Server: Jacob" CRLF;
 50 static u_char ngx_http_server_full_string[] = "Server: Jacob"CRLF;
 51 static u_char ngx_http_server_build_string[] = "Server: Jacob"CRLF;

3.限制并发
[root@web100 ~]# vim /usr/local/nginx/conf/nginx.conf
 17 http {
 18 limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
 37     server {
 38         listen       80;
 39         server_name  localhost;
 40         limit_req zone=one burst=5;
----------------------------------------------------------------------------
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
limit_req zone=one burst=5;
语法：limit_req_zone key zone=name:size rate=rate;
将客户端IP信息存储名称为one的共享内存，空间为10M
1M可以存储8千个IP的信息，10M存8万个主机状态
每秒仅接受1个请求，多余的放入漏斗
漏斗超过5个则报错
----------------------------------------------------------------------------

4.拒绝非法请求
    常见HTTP请求方法
        GET   请求指定的页面信息，并返回实体主体
        HEAD  类似于get请求，只不过返回的响应中没有具体的内容，用于获取报头
        POST  向指定资源提交数据进行处理请求（例如提交表单或者上传文件）
        DELETE  请求服务器删除指定的页面
        PUT   向服务器特定位置上传资料
        ...   .....
[root@web100 ~]# vim /usr/local/nginx/conf/nginx.conf
 37     server {
 38         listen       80;
 39         if ($request_method !~ ^(GET|POST)$) {
 40               return 444;
 41         }
[root@web100 ~]# /usr/local/nginx/sbin/nginx -t
[root@web100 ~]# /usr/local/nginx/sbin/nginx -s reload
[root@web100 ~]# curl -i -X GET "http://192.168.4.241"
HTTP/1.1 200 OK
Server: nginx/1.12.2
[root@web100 ~]# curl -i -X HEAD "http://localhost"
curl: (52) Empty reply from server

5.防止buffer溢出
    防止客户端请求数据溢出
    有效降低机器Dos攻击风险
[root@web100 ~]# vim /usr/local/nginx/conf/nginx.conf
 17 http {
 18     client_body_buffer_size 1K;
 19     client_header_buffer_size 1k;
 20     client_max_body_size 16k;
 21     large_client_header_buffers 4 4k;
 22 #limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s;
[root@web100 ~]# /usr/local/nginx/sbin/nginx -t
[root@web100 ~]# /usr/local/nginx/sbin/nginx -s reload

2）数据库安全
1.初始化安全脚本
    输入旧密码，配置新root密码
    Remove anonymous users（删除匿名账户）
    Disallow root login remotely（禁止root远程登录）
    Remove test database（删除测试数据库）
    Reload privilege（刷新权限）
[root@web100 ~]# systemctl status mariadb

2.密码安全
    binlog日志里有明文密码（5.6版本以后修复了）
    解决
        管理好自己的历史，不使用明文登录，选择合适的版本
        日志，行为审计
        防火墙从TCP层设置ACL（禁止外网接触数据库）
        
3.数据备份与还原
    备份
    还原
    
4.数据安全
    创建可以远程登录的账户
    使用tcpdump抓包
    客户端远程登录数据库，查看抓包数据
    使用SSL和SSH加密数据传输
    
3）Tomcat安全（java）
1.隐藏版本信息
    修改tomcat著配置文件
[root@web100 lib]# cd /usr/local/tomcat/
[root@web100 tomcat]# cd lib/
[root@web100 lib]# yum -y install java-1.8.0-openjdk-devel
[root@web100 lib]# jar -xf catalina.jar     
[root@web100 lib]# vim org/apache/catalina/util/ServerInfo.properties 
 16 server.info=nginx/2.5.56
 17 server.number=8.5.56.0
 18 server.built=Jun 3 2020 20:18:30 UTC
[root@web100 lib]# vim +69 /usr/local/tomcat/conf/server.xml
 69      70                connectionTimeout="20000"
 71                redirectPort="8443" server="IIS" />
[root@web100 lib]# /usr/local/tomcat/bin/shutdown.sh 
[root@web100 lib]# /usr/local/tomcat/bin/startup.sh 

2.降权启动
    使用非root启动tomcat服务
    开机启动
[root@web100 ~]# chown -R tomcat:tomcat /usr/local/tomcat/
[root@web100 ~]# su -c /usr/local/tomcat/bin/startup.sh tomcat
[root@web100 ~]# vim /etc/rc.local 
su -c /usr/local/tomcat/bin/startup.sh tomcat    
[root@web100 ~]# chmod +x /etc/rc.local

3.删除默认的测试页面
[root@web100 ~]# rm -fr /usr/local/tomcat/webapps/*

三、Linux安全之打补丁
1.diff逐行比较
    diff的原则是：告诉我们怎么修改第一个文件后能得到第二个文件
    选项：
        -u  输出统一内容的头部信息（打补丁使用）
        -r  递归对比目录中的所有资源（可以对比目录）
        -a  所有文件视为文本（包括二进制程序）
        -N  无文件视为空文件（空文件怎么变成第二个文件）
    注意：
        A目录下没有txt文件，B目录下有txt文件
        diff比较两个目录时，默认会提示txt尽在B目录有（无法根据补丁修复A缺失的文件）
        diff比较时使用N选项，则diff会拿B下的txt与A下的空文件对比
        补丁虚拟系会明确说明如何从空文件修改后变成txt文件，打补丁即可成功
[root@web100 ~]# cat test1.sh test2.sh 
#!/bin/bash
echo "hello wrld"
#!/bin/bash
echo "hello world"
echo "test file"

2.diff文件对比
    仅对文件对比
[root@web100 ~]# diff -u test1.sh test2.sh 
--- test1.sh    2020-07-25 09:26:00.332441774 +0800
+++ test2.sh    2020-07-25 09:26:39.571643834 +0800
@@ -1,2 +1,3 @@
 #!/bin/bash
-echo "hello wrld"
+echo "hello world"
+echo "test file"

3.diff目录对比
    对比差异
[root@web100 ~]# mkdir demo
[root@web100 ~]# cd demo/
[root@web100 demo]# mkdir {source1,source2}
[root@web100 demo]# echo "hello world" > source1/test.sh
[root@web100 demo]# echo "hello the world" > source2/test.sh
[root@web100 demo]# echo "teset" >source2/tmp.txt
[root@web100 demo]# cp /bin/find source1/
[root@web100 demo]# cp /bin/find source2/
[root@web100 demo]# echo "1" >>source2/find 
[root@web100 demo]# diff -u source1/ source2/
Binary files source1/find and source2/find differ
diff -u source1/test.sh source2/test.sh
--- source1/test.sh    2020-07-25 09:30:57.328585381 +0800
+++ source2/test.sh    2020-07-25 09:31:05.693615935 +0800
@@ -1 +1 @@
-hello world
+hello the world
只在 source2/ 存在：tmp.txt
[root@web100 demo]# diff -Nu source1/ source2/
Binary files source1/find and source2/find differ
diff -Nu source1/test.sh source2/test.sh
--- source1/test.sh    2020-07-25 09:30:57.328585381 +0800
+++ source2/test.sh    2020-07-25 09:31:05.693615935 +0800
@@ -1 +1 @@
-hello world
+hello the world
diff -Nu source1/tmp.txt source2/tmp.txt
--- source1/tmp.txt    1970-01-01 08:00:00.000000000 +0800
+++ source2/tmp.txt    2020-07-25 09:31:58.000807007 +0800
@@ -0,0 +1 @@
+teset
[root@web100 demo]# diff -Nua source1/ source2/

4.给文件生成补丁
    对旧版本的代码，使用补丁即可更新，不需要下载完成的新代码（往往完整的程序很大）
    patch -pnum 指定删除补丁文件中多少层路径前缀
    如原始有效路径为a/b/c/d/e
    -p0 则整个路径不变
    -p1  修改路径为a/b/c/d/e
    -p4  修改路径为d/e
    —R（reverse）反向修复，-E修复后如果文件为空，则删除该文件
[root@web100 ~]# diff -Nua test1.sh test2.sh >test.patch
[root@web100 ~]# yum install -y patch
[root@web100 ~]# patch -p0 patching file test1.sh
[root@web100 ~]# cat test1.sh 
#!/bin/bash
echo "hello world"
echo "test file"
[root@web100 ~]# patch -RE >还原旧版本，反向修复
patching file test1.sh
[root@web100 ~]# cat test1.sh 
#!/bin/bash
echo "hello wrld"

5.给目录生成补丁
[root@web100 ~]# cd /
[root@web100 /]# diff -Nua /root/test1.sh /root/test2.sh >test.patch
[root@web100 /]# cat test.patch 
--- /root/test1.sh    2020-07-25 09:40:48.414623206 +0800
+++ /root/test2.sh    2020-07-25 09:26:39.571643834 +0800
@@ -1,2 +1,3 @@
 #!/bin/bash
-echo "hello wrld"
+echo "hello world"
+echo "test file"
[root@web100 /]# patch -p0 < test.patch    ==>>在root外打补丁
patching file /root/test1.sh
[root@web100 /]# patch -p1 < ../test.patch   ==>>在root内打补丁
patching file root/test1.sh