操作系统交付时需要做哪些安全检查项

缺乏、安全感 2021-11-17 15:20 222阅读 0赞

操作系统的很多默认配置项，之所以这样设置是有原因的，稍微不慎，有可能会引起系统的安全问题。

[https://wenku.baidu.com/view/47e8ec0c86c24028915f804d2b160b4e767f81f2.html?re=view][https_wenku.baidu.com_view_47e8ec0c86c24028915f804d2b160b4e767f81f2.html_re_view]

这里有一个文档，是华为的《linux安全应用指导》，列举了很多系统安全需要注意的事项。另外还有一些安全检查项，我们需要注意：

1、遵循最小化安装原则，只安装业务需要的软件包与服务组件，减少系统漏洞，降低系统操作攻击风险；

2、系统中不允许存在如下开发工具和编译工具，make，cpp,gcc,lex,ld,gdm,rpcgen,gmake;

3、不允许存在网络嗅探类工具，如tcpdump，ethereal，wireshark；

4、如果telnet、FTP服务不是必须的，应默认关闭，由于telnet是采用铭文传输，存在密码和数据被嗅探的风险，所以仅在必要时使用，推荐使用SSH，FTPS或SFTP来代替；

5、需要关闭rsh服务，并移除rsh客户端，rsh是远程服务，这些服务存在安全风险，推荐关闭这些服务。

6、以下服务如果不是必须的，应默认关闭，DHCP，daytime，echo,echo-udp, talk, xinetd, NFS, SNMP, autofs,

7、应对SSH服务进行加固，如下链接可以参考[https://www.zfl9.com/ssh-security.html][https_www.zfl9.com_ssh-security.html]

8、应对系统中使用的不安全服务进行加固，对于系统中的不安全服务如NFS、FTP、RPC、squid等需进行加固，因为服务本身就存在安全问题，加固后可将风险降低。[https://www.alibabacloud.com/help/zh/faq-detail/49809.htm][https_www.alibabacloud.com_help_zh_faq-detail_49809.htm]

9、系统目录必须是安全可靠的，所有文件的权限需要严格审查，保障系统目录的安全和可靠性，

[https://www.cnblogs.com/sun-sunshine123/p/7119472.html][https_www.cnblogs.com_sun-sunshine123_p_7119472.html]

10、禁止使用setuid或者setgid的shell脚本；特殊权限的脚本有可能被恶意使用，给系统带来巨大的威胁，如非必要，建议禁止使用SUID、SGID脚本。

11、系统中不允许存在无属主的文件，系统中不允许存在无属主的文件，如发现无属主的文件，建议删除或者改变文件的权限。

12、系统中不允许存在无指向的空链接，查找系统中的空链接，并删除。

13、对于不需要SUID/SGID的分区必须以nosuid方式挂载。

……还是不过多列举了太多了，大家还是参考[https://wenku.baidu.com/view/47e8ec0c86c24028915f804d2b160b4e767f81f2.html?re=view][https_wenku.baidu.com_view_47e8ec0c86c24028915f804d2b160b4e767f81f2.html_re_view] 这个文档吧，里面讲的很详细。

另外，在版本发布时，我们还要对系统做CVE漏洞分析检查，检查工具可以参考[https://cloud.tencent.com/developer/article/1079377][https_cloud.tencent.com_developer_article_1079377]，我们最好每次将CVE漏洞检查都列举出一个表格来，下次只需要做增量分析和检查就可以了，对于是否已经修复的漏洞，或者有无patch，我们都做上标记，不然下次分析起来又要做重复的事情。

我们给客户提供的安全资料应该有哪些呢？

1、系统所有的对外通信连接必须是系统运行和维护必需的，对使用到的通信端口在产品通信矩阵文档中说明，动态侦听端口必须限定确定的合理的范围。通过端口扫描工具验证，未在通信矩阵中列出的端口必须关闭。参考[http://www.ha97.com/5520.html][http_www.ha97.com_5520.html] 协议与接口防攻击；

2、安全技术，告知用户，我们使用了哪些安全技术，有哪些安全维度（如访问控制，认证，不可否认性，数据机密性），安全准则（适度安全，最小授权），系统安全层（身份标识与鉴别，安全协议，自主访问控制，安全审计，主机防火墙，libvirt鉴权机制， grub加密）

3、安全加固策略，系统服务（ssh服务），文件权限，内核参数，授权认证（设置网络远程登录的警告信息，机制通过CTRL+ALT+DEL键重启系统， 设置终端 的自动退出时间，用户默认umask值为077，设置grub2加密口令，设置远程调用白名单），账户口令（屏蔽系统账户，设置口令复杂度、有效期、加密算法等），目录路径（删除无效路径）

4、服务清单，告知用户，系统中都存在哪些服务，服务的用户，相关联的信息等；进程清单，列出系统中的所有服务；个人数据说明；文件和目录权限含义；内核协议说明；安全检查扫描结果（即文章最开始提到的linux安全应用指导）

转载于:https://www.cnblogs.com/xingmuxin/p/11255797.html

[https_wenku.baidu.com_view_47e8ec0c86c24028915f804d2b160b4e767f81f2.html_re_view]: https://wenku.baidu.com/view/47e8ec0c86c24028915f804d2b160b4e767f81f2.html?re=view
[https_www.zfl9.com_ssh-security.html]: https://www.zfl9.com/ssh-security.html
[https_www.alibabacloud.com_help_zh_faq-detail_49809.htm]: https://www.alibabacloud.com/help/zh/faq-detail/49809.htm
[https_www.cnblogs.com_sun-sunshine123_p_7119472.html]: https://www.cnblogs.com/sun-sunshine123/p/7119472.html
[https_cloud.tencent.com_developer_article_1079377]: https://cloud.tencent.com/developer/article/1079377
[http_www.ha97.com_5520.html]: http://www.ha97.com/5520.html