Linux/unix安全優(yōu)化的討論與案例分享（獲獎名單已公布）

king_819

回復(fù) 17# dooros

弱口令是大忌，這個必須引起重視，至于系統(tǒng)層的漏洞溢出、提權(quán)事件也時有發(fā)生，所以要引起我們的注意，防患于未然


   

king_819

回復(fù) 18# dooros


   安全是相對的，還得看實際的需求，安全級別要達到什么程度，在我們實際生產(chǎn)環(huán)境中，對freebsd系統(tǒng)內(nèi)核 進行優(yōu)化后，性能、安全性上有很大的提升

king_819

回復(fù) 19# gilet


    sudo對于權(quán)限的分配要合理，不然會給后期的維護帶來很多麻煩

gilet

回復(fù) 23# king_819


    我不用sudo，也不建議我的同事用，這是個怪東西

dooros

sudo這東西，我在服務(wù)器上也沒用。

king_819

iptables防護腳本，編譯內(nèi)核的時候要加上iptables的相關(guān)模塊，如connlimit、recent

1. #echo "Starting kerryhu-iptables rules..."
   
2. #!/bin/bash
   
3. #this is a common firewall created by 2010-3-27
   
4. 
   
5. #define some variable
   
6. IPT=/sbin/iptables
   
7. CONNECTION_TRACKING="1"
   
8. INTERNET="eth0"
   
9. CLASS_A="10.0.0.0/8"
   
10. CLASS_B="172.16.0.0/12"
    
11. CLASS_C="192.168.0.0/16"
    
12. CLASS_D_MULTICAST="224.0.0.0/4"
    
13. CLASS_E_RESERVED_NET="240.0.0.0/5"
    
14. BROADCAST_SRC="0.0.0.0"
    
15. BROADCAST_DEST="255.255.255.255"
    
16. LOOPBACK_INTERFACE="lo"
    
17. 
    
18. #Remove any existing rules
    
19. $IPT -F
    
20. $IPT -X
    
21. 
    
22. #setting default firewall policy
    
23. $IPT --policy OUTPUT ACCEPT
    
24. $IPT --policy FORWARD DROP
    
25. $IPT -P INPUT DROP
    
26. 
    
27. 
    
28. #stop firewall
    
29. if [ "$1" = "stop" ]
    
30. then
    
31. echo "Filewall completely stopped!no firewall running!"
    
32. exit 0
    
33. fi
    
34. 
    
35. #setting for loopback interface
    
36. $IPT -A INPUT -i lo -j ACCEPT
    
37. $IPT -A OUTPUT -o lo -j ACCEPT
    
38. 
    
39. # Stealth Scans and TCP State Flags
    
40. # All of the bits are cleared
    
41. $IPT -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
    
42. # SYN and FIN are both set
    
43. $IPT -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP
    
44. # SYN and RST are both set
    
45. $IPT -A INPUT -p tcp --tcp-flags SYN,RST SYN,RST -j DROP
    
46. # FIN and RST are both set
    
47. $IPT -A INPUT -p tcp --tcp-flags FIN,RST FIN,RST -j DROP
    
48. # FIN is the only bit set, without the expected accompanying ACK
    
49. $IPT -A INPUT -p tcp --tcp-flags ACK,FIN FIN -j DROP
    
50. # PSH is the only bit set, without the expected accompanying ACK
    
51. $IPT -A INPUT -p tcp --tcp-flags ACK,PSH PSH -j DROP
    
52. # URG is the only bit set, without the expected accompanying ACK
    
53. $IPT -A INPUT -p tcp --tcp-flags ACK,URG URG -j DROP
    
54. 
    
55. # Using Connection State to By-pass Rule Checking
    
56. if [ "$CONNECTION_TRACKING" = "1" ]; then
    
57.     $IPT -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
    
58.     $IPT -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
    
59.     $IPT -A INPUT -m state --state INVALID -j DROP
    
60.     $IPT -A OUTPUT -m state --state INVALID -j DROP
    
61. fi
    
62. 
    
63. ##################################################################
    
64. # Source Address Spoofing and Other Bad Addresses
    
65. 
    
66. # Refuse spoofed packets pretending to be from
    
67. # the external interface.s IP address
    
68. 
    
69. # Refuse packets claiming to be from a Class A private network
    
70. $IPT -A INPUT  -i $INTERNET -s $CLASS_A -j DROP
    
71. 
    
72. # Refuse packets claiming to be from a Class B private network
    
73. $IPT -A INPUT  -i $INTERNET -s $CLASS_B -j DROP
    
74. 
    
75. # Refuse packets claiming to be from a Class C private network
    
76. $IPT -A INPUT  -i $INTERNET -s $CLASS_C -j DROP
    
77. 
    
78. $IPT -A INPUT -i $INTERNET -s 0.0.0.0/8 -j DROP
    
79. $IPT -A INPUT -i $INTERNET -s 169.254.0.0/16 -j DROP
    
80. $IPT -A INPUT -i $INTERNET -s 192.0.2.0/24 -j DROP
    
81. ###################################################################
    
82. #setting access rules
    
83. 
    
84. #也可以對出站的詛求做一些嚴(yán)格的控制
    
85. #時鐘同步
    
86. #$IPT -A OUTPUT -d 192.43.244.18 -j ACCEPT
    
87. #允許ping出
    
88. #$IPT -A OUTPUT -p icmp -j ACCEPT
    
89. #$IPT -A OUTPUT -o $INTERNET -p udp  --dport 53 -j ACCEPT
    
90. #$IPT -A OUTPUT -o $INTERNET -p tcp  --dport 80 -j ACCEPT
    
91. #$IPT -A INPUT -i $INTERNET -p tcp -m mac --mac-source 00:02:3F:EB:E2:01  --dport 22 -j ACCEPT
    
92. $IPT -A INPUT -i $INTERNET -p tcp -s 192.168.9.201 --dport 65535 -j ACCEPT
    
93. $IPT -A INPUT -i $INTERNET -p tcp  --dport 443 -j ACCEPT
    
94. $IPT -A INPUT -i $INTERNET -p tcp  --dport 80 -j ACCEPT
    
95. #限制連往本機的web服務(wù)，單個IP的并發(fā)連接不超過30個，超過的被拒絕
    
96. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m connlimit --connlimit-above 30 -j REJECT
    
97. #限制連往本機的web服務(wù)，單個IP在60秒內(nèi)只允許最多新建30個連接，超過的被拒絕
    
98. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT
    
99. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT
    
100. #限制連往本機的web服務(wù)，1個C段的IP的并發(fā)連接不超過100個，超過的被拒絕
     
101. #$IPT -A INPUT -i $INTERNET -p tcp --dport 80 -m iplimit --iplimit-above 100 --iplimit-mask 24 -j REJECT   
     
102. #$IPT -A INPUT -i $INTERNET -p tcp -s 127.0.0.1 --dport 3306 -j ACCEPT
     
103. #$IPT -A INPUT -i $INTERNET -p udp  --dport 123 -j ACCEPT

復(fù)制代碼

藍(lán)色蟲

原來我一直用debian和freeBSD

做好后還要挨個檢查各tcp和udp端口，效率較低，不合當(dāng)前的客戶公司安全規(guī)程

當(dāng)然，我又換了一個系統(tǒng)，需要什么端口就開，不費什么心，也不怕黑客來黑網(wǎng)絡(luò)

king_819

藍(lán)色蟲 發(fā)表于 2012-03-08 18:19
原來我一直用debian和freeBSD

做好后還要挨個檢查各tcp和udp端口，效率較低，不合當(dāng)前的客戶公司安全規(guī)程 ...

挨個檢查各tcp和udp端口？？？

king_819

暈哦，網(wǎng)絡(luò)太慢，刷新了幾下就發(fā)了多條，不是故意刷屏的哈   :wink:

love4u

樓主的方法對防止來自網(wǎng)絡(luò)層的攻擊來說，是一個比較好的思路。