ubuntu 服务器安全加固的20条方案

ubuntu 服务器安全加固的20条方案

0. 升级

apt update
apt upgrade

1. 设置密码失效时间 | 身份鉴别

设置密码失效时间，强制定期修改密码，减少密码被泄漏和猜测风险，使用非密码登陆方式(如密钥对)请忽略此项。
加固建议
使用非密码登陆方式如密钥对，请忽略此项。在 /etc/login.defs 中将 PASS_MAX_DAYS 参数设置为 60-180 之间，如:

PASS_MAX_DAYS 90

需同时执行命令设置 roo t密码失效时间：

chage --maxdays 90 root

2. 设置密码修改最小间隔时间 | 身份鉴别

设置密码修改最小间隔时间，限制密码更改过于频繁
加固建议
在 /etc/login.defs 中将 PASS_MIN_DAYS 参数设置为 7-14 之间,建议为 7：

PASS_MIN_DAYS 7

需同时执行命令为 root 用户设置：

chage --mindays 7 root

3. 确保密码到期警告天数为 7 或更多 | 身份鉴别

确保密码到期警告天数为 7 或更多
加固建议
在 /etc/login.defs 中将 PASS_WARN_AGE 参数设置为 7-14 之间，建议为 7：

PASS_WARN_AGE 7

同时执行命令使root用户设置生效：

chage --warndays 7 root

4. 非 wheel 组用户禁用 su | 身份鉴别

普通用户禁用 su，仅特殊的用户组 wheel 下用户才可以使用 su 切换到 root 用户
加固建议
在 /etc/login.defs 中将 SU_WHEEL_ONLY 注释放开，并添加参数 yes：

SU_WHEEL_ONLY yes

修改默认配置文件 /etc/pam.d/su，去掉如下这行注释，并在尾部添加 use_uid：

auth       required   pam_wheel.so use_uid

添加 wheel 组用户

# 添加 wheel 组
groupadd -r wheel
# 创建 hiwb 用户并加入到 wheel 组
useradd -r -m -s /bin/bash -g wheel -r hiwb
# 将 hiwb 添加到 wheel 组
usermod -G wheel hiwb
# 为 hiwb 用户设置密码
passwd hiwb

查看 wheel 组用户

cat /etc/group | grep wheel

5. 密码复杂度检查 | 身份鉴别

检查密码长度和密码是否使用多种字符类型
加固建议
安装 pam 的 cracklib 模块，cracklib 能提供额外的密码检查能力

apt install libpam-cracklib

编辑 /etc/pam.d/common-password 配置文件中包含 password requisite pam_cracklib.so 这一行。配置 minlen（密码最小长度）设置为 9-32 位，ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1，它表示密码必须至少包含一个大写字母(ucredit)，一个小写字母(lcredit)，一个数字(dcredit)和一个标点符号(ocredit)。如

vim /etc/pam.d/common-password

password 	requisite 	pam_cracklib.so retry=3 minlen=11 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1

6. 检查密码重用是否受限制 | 身份鉴别

强制用户不重用最近使用的密码，降低密码猜测攻击风险
加固建议
在 /etc/pam.d/common-password 中 password [success=1 default=ignore] pam_unix.so 这行的末尾配置 remember 参数为 5-24 之间，原来的内容不用更改，只在末尾加了 remember=5。

password        [success=1 default=ignore]      pam_unix.so obscure use_authtok try_first_pass sha512 remember=5

7. 确保 SSH MaxAuthTries 设置为 3 到 6 之间 | SSH 服务配置

设置较低的 Max AuthTrimes 参数将降低 SSH 服务器被暴力攻击成功的风险
加固建议
在 /etc/ssh/sshd_config 中取消 MaxAuthTries 注释符号 #，设置最大密码尝试失败次数 3-6，建议为 4：

MaxAuthTries 4

8. 设置 SSH 空闲超时退出时间 | SSH 服务配置

设置 SSH 空闲超时退出时间，可降低未授权用户访问其他用户 ssh 会话的风险
加固建议
编辑 /etc/ssh/sshd_config，将 ClientAliveInterval 设置为 300 到 900，即 5-15 分钟，将 ClientAliveCountMax 设置为 0-3 之间。

ClientAliveInterval 600
ClientAliveCountMax 2

9. 确保 SSH LogLevel 设置为 INFO | SSH 服务配置

确保 SSH LogLevel 设置为 INFO，记录登录和注销活动
加固建议
编辑 /etc/ssh/sshd_config 文件以按如下方式设置参数(取消注释):

LogLevel INFO

10. 检查系统空密码账户 | 身份鉴别

检查系统空密码账户
加固建议
为用户设置一个非空密码，或者执行 passwd -l 锁定用户

11. 禁止 SSH 空密码用户登录 | SSH 服务配置

禁止 SSH 空密码用户登录
加固建议
编辑文件 /etc/ssh/sshd_config，将 PermitEmptyPasswords 配置为 no:

PermitEmptyPasswords no

12. SSHD 强制使用 V2 安全协议 | SSH 服务配置

SSHD 强制使用V2安全协议
加固建议
编辑 /etc/ssh/sshd_config 文件，在 #ListenAddress :: 下方式设置参数：

#ListenAddress ::
Protocol 2

13. SSHD 修改端口号 | SSH 服务配置

SSHD 修改远程访问端口
加固建议
编辑 /etc/ssh/sshd_config 文件，设置参数：

Port 8379

14. 确保rsyslog服务已启用 | 安全审计

确保 rsyslog 服务已启用，记录日志用于审计
加固建议
运行以下命令启用 rsyslog：

systemctl enable rsyslog.service

15. 访问控制配置文件的权限设置 | 文件权限

访问控制配置文件的权限设置
加固建议
运行以下 4 条命令：

chown root:root /etc/hosts.allow
chown root:root /etc/hosts.deny
chmod 644 /etc/hosts.allow
chmod 644 /etc/hosts.deny

16. 设置用户权限配置文件的权限 | 文件权限

设置用户权限配置文件的权限
加固建议
执行以下 5 条命令

chown root:root /etc/group /etc/passwd /etc/shadow /etc/gshadow
chmod 644 /etc/group /etc/passwd /etc/shadow /etc/gshadow

17. 服务器禁 ping | 入侵防范

禁止通过 ping ip 来访问服务器，其实没必要禁止 ping，为了减少大流量的 ping 包对网络设备 CPU 资源的影响，会采用 CoPP (Control Plane Policy) 限速机制来限制 ICMP 发送速率。比如限制 ICMP rate 为 1 秒一个，这样的速率既便于排错又可以避免通过 ICMP 的网络攻击
加固建议
在 /etc/sysctl.conf 文件最后一行追加 ：

net.ipv4.icmp_echo_ignore_all = 1

18. 开启地址空间布局随机化 | 入侵防范

它将进程的内存空间地址随机化来增大入侵者预测目的地址难度，从而降低进程被成功入侵的风险
加固建议
在 /etc/sysctl.conf 或 /etc/sysctl.d/* 文件中设置以下参数： kernel.randomize_va_space = 2 执行命令：

sysctl -w kernel.randomize_va_space=2

执行命令 (配置文件才能生效)：

sysctl -p

19. 确保 root 是唯一的 UID 为 0 的帐户 | 身份鉴别

除 root 以外其他 UID 为 0 的用户都应该删除，或者为其分配新的 UID
加固建议
除 root 以外其他 UID 为 0 的用户(查看命令 cat /etc/passwd | awk -F: '($3 == 0) { print $1 }'|grep -v '^root$' 都应该删除，或者为其分配新的 UID

20. 禁用邮件服务 | 服务配置

禁止非必要的服务
加固建议

systemctl disable postfix