Linux系統加固：限制用戶對資源的使用禁止IP源路由更改主機解析地址的順序設置umask值

Linux系統加固：限制用戶對資源的使用&禁止IP源路由&更改主機解析地址的順序&設置umask值

    • 1.1 限制用戶對資源的使用
    • 1.2 禁止IP源路由
    • 1.3 更改主機解析地址的順序
    • 1.4 禁止ip路由轉發
    • 1.5 設置umask值


💖The Begin💖點點關注，收藏不迷路💖

1.1 限制用戶對資源的使用

/etc/security/limits.conf是Linux系統中用來配置用戶資源限制的文件。通過編輯這個文件，您可以為特定用戶或用戶組設置各種資源限制，如最大打開文件數、最大CPU時間、最大內存限制等。

在/etc/security/limits.conf文件中，每行包含以下字段：

domain：指定要應用限制的用戶或用戶組名。設置需要被限制的用戶名，組名前面加@和用戶名區別。也可以用通配符*來做所有用戶的限制。取值可以是：

1、用戶名
2、組名（組名前面加’@'以區別用戶名）
3、*（表示所有用戶）

type：指定要限制的資源類型，如soft（軟限制）和hard（硬限制）。

1、soft 表示警告的設定，可以超過這個設定值，但是超過會有警告信息
2、hard 表示嚴格的設定，必定不能超過這個設定的值

item：指定要限制的資源類型，如：

core：限制內核文件的大小
data：最大數據大小
fsize：最大文件大小
memlock：最大鎖定內存地址空間
nofile：打開文件的最大數目
rss：最大持久設置大小
stack：最大棧大小
cpu：以分鐘為單位的最多CPU時間
nproc：進程的最大數目
as：地址空間限制

value：指定資源的具體限制值。

語法：<domain> <type> <item> <value>

加固方案：

1、編輯/etc/security/limits.conf文件

vi /etc/security/limits.conf

2、添加如下類似配置，參數根據你實際需求自己設置：

# 示例配置# 設置用戶`mfs`的最大打開文件數為10000
mfs soft nofile 10000
mfs hard nofile 10000# 設置用戶組`@group01`的最大CPU時間為1小時
@group01 soft cpu 60
@group01 hard cpu 60# 設置所有用戶的最大棧大小為8MB，進程的最大持久設置大小2M
* soft stack 8192
* hard stack 8192* soft rss 2048
* hard rss 2048# 設置用戶`zyl`的最大鎖定內存地址空間為256MB
zyl soft memlock 262144
zyl hard memlock 262144# 設置所有用戶的nproc（進程數）的軟限制為4096，硬限制為8192。
* soft nproc 4096
* hard nproc 8192

這個示例展示了如何在/etc/security/limits.conf文件中配置不同用戶和用戶組的資源限制。你可以根據需要添加或修改其他限制項和數值。

在修改完/etc/security/limits.conf文件后，需要重新登錄用戶或重啟系統才能使更改生效。

1.2 禁止IP源路由

禁止IP源路由是一種網絡安全措施，旨在防止特定類型的網絡攻擊，主要包括源路由攻擊。以下是禁止IP源路由的原因：

1、源路由攻擊防范： 源路由攻擊是一種網絡攻擊手法，攻擊者可以通過在IP數據包的選項字段中設置源路由信息，強制數據包按照指定的路徑傳輸，繞過網絡中的安全控制點。禁止IP源路由可以有效防止這種攻擊。

2、防止IP地址欺騙： 通過源路由，攻擊者可以偽造源IP地址，使得數據包似乎來自于一個信任的主機或網絡。禁止IP源路由可以減少IP地址欺騙的可能性，提高網絡的安全性。

3、減少網絡風險： 啟用IP源路由可能會增加網絡的復雜性和風險，因為數據包可以繞過正常的路由路徑，導致網絡不穩定或容易受到攻擊。禁止IP源路由可以降低這種風險。

加固步驟：

1、執行以下命令查看參數accept_source_route的值。

cat /proc/sys/net/ipv4/conf/*/accept_source_route

在這里插入圖片描述

判定依據：accept_source_route的值為0則合規，否則為不合規。

2、如果此項檢查失敗,請執行以下命令進行修復：

for f in /proc/sys/net/ipv4/conf/*/accept_source_route
doecho 0 > $f
done

3、驗證結果：

cat /proc/sys/net/ipv4/conf/*/accept_source_route

在這里插入圖片描述

請注意，這個設置在系統重啟后會失效。如果想要永久禁止IP源路由，可以編輯/etc/sysctl.conf文件并添加以下行：

net.ipv4.conf.all.accept_source_route = 0

在這里插入圖片描述

保存文件后，使更改生效。

sysctl -p

補充：/etc/sysctl.conf文件參數解釋：

#禁用包過濾功能
net.ipv4.ip_forward = 0 
#啟用源路由核查功能
net.ipv4.conf.default.rp_filter = 1 
#禁用所有IP源路由
net.ipv4.conf.default.accept_source_route = 0 
#使用sysrq組合鍵是了解系統目前運行情況，為安全起見設為0關閉
kernel.sysrq = 0 
#控制core文件的文件名是否添加pid作為擴展
kernel.core_uses_pid = 1 
#開啟SYN Cookies，當出現SYN等待隊列溢出時，啟用cookies來處理
net.ipv4.tcp_syncookies = 1 
#每個消息隊列的大小（單位：字節）限制
kernel.msgmnb = 65536 
#整個系統最大消息隊列數量限制
kernel.msgmax = 65536 
#單個共享內存段的大小（單位：字節）限制，計算公式64G*1024*1024*1024(字節)
kernel.shmmax = 68719476736 
#所有內存大小（單位：頁，1頁 = 4Kb），計算公式16G*1024*1024*1024/4KB(頁)
kernel.shmall = 4294967296 
#timewait的數量，默認是180000
net.ipv4.tcp_max_tw_buckets = 6000 
#開啟有選擇的應答
net.ipv4.tcp_sack = 1 
#支持更大的TCP窗口. 如果TCP窗口最大超過65535(64K), 必須設置該數值為1
net.ipv4.tcp_window_scaling = 1 
#TCP讀buffer
net.ipv4.tcp_rmem = 4096 131072 1048576
#TCP寫buffer
net.ipv4.tcp_wmem = 4096 131072 1048576  
#為TCP socket預留用于發送緩沖的內存默認值（單位：字節）
net.core.wmem_default = 8388608
#為TCP socket預留用于發送緩沖的內存最大值（單位：字節）
net.core.wmem_max = 16777216 
#為TCP socket預留用于接收緩沖的內存默認值（單位：字節） 
net.core.rmem_default = 8388608
#為TCP socket預留用于接收緩沖的內存最大值（單位：字節）
net.core.rmem_max = 16777216
#每個網絡接口接收數據包的速率比內核處理這些包的速率快時，允許送到隊列的數據包的最大數目
net.core.netdev_max_backlog = 262144 
#web應用中listen函數的backlog默認會給我們內核參數的net.core.somaxconn限制到128，而nginx定義的NGX_LISTEN_BACKLOG默認為511，所以有必要調整這個值
net.core.somaxconn = 262144 
#系統中最多有多少個TCP套接字不被關聯到任何一個用戶文件句柄上。這個限制僅僅是為了防止簡單的DoS攻擊，不能過分依靠它或者人為地減小這個值，更應該增加這個值(如果增加了內存之后)
net.ipv4.tcp_max_orphans = 3276800 
#記錄的那些尚未收到客戶端確認信息的連接請求的最大值。對于有128M內存的系統而言，缺省值是1024，小內存的系統則是128
net.ipv4.tcp_max_syn_backlog = 262144 
#時間戳可以避免序列號的卷繞。一個1Gbps的鏈路肯定會遇到以前用過的序列號。時間戳能夠讓內核接受這種“異常”的數據包。這里需要將其關掉
net.ipv4.tcp_timestamps = 0 
#為了打開對端的連接，內核需要發送一個SYN并附帶一個回應前面一個SYN的ACK。也就是所謂三次握手中的第二次握手。這個設置決定了內核放棄連接之前發送SYN+ACK包的數量
net.ipv4.tcp_synack_retries = 1 
#在內核放棄建立連接之前發送SYN包的數量
net.ipv4.tcp_syn_retries = 1 
#開啟TCP連接中time_wait sockets的快速回收
net.ipv4.tcp_tw_recycle = 1 
#開啟TCP連接復用功能，允許將time_wait sockets重新用于新的TCP連接（主要針對time_wait連接）
net.ipv4.tcp_tw_reuse = 1 
#1st低于此值,TCP沒有內存壓力,2nd進入內存壓力階段,3rdTCP拒絕分配socket(單位：內存頁)
net.ipv4.tcp_mem = 94500000 915000000 927000000  
#如果套接字由本端要求關閉，這個參數決定了它保持在FIN-WAIT-2狀態的時間。對端可以出錯并永遠不關閉連接，甚至意外當機。缺省值是60 秒。2.2 內核的通常值是180秒，你可以按這個設置，但要記住的是，即使你的機器是一個輕載的WEB服務器，也有因為大量的死套接字而內存溢出的風險，FIN- WAIT-2的危險性比FIN-WAIT-1要小，因為它最多只能吃掉1.5K內存，但是它們的生存期長些。
net.ipv4.tcp_fin_timeout = 15 
#表示當keepalive起用的時候，TCP發送keepalive消息的頻度（單位：秒）
net.ipv4.tcp_keepalive_time = 30 
#對外連接端口范圍
net.ipv4.ip_local_port_range = 2048 65000
#表示文件句柄的最大數量
fs.file-max = 102400# 避免放大攻擊
net.ipv4.icmp_echo_ignore_broadcasts = 1# 開啟惡意icmp錯誤消息保護
net.ipv4.icmp_ignore_bogus_error_responses = 1# 開啟SYN洪水攻擊保護
net.ipv4.tcp_syncookies = 1# 開啟并記錄欺騙，源路由和重定向包
net.ipv4.conf.all.log_martians = 1
net.ipv4.conf.default.log_martians = 1# 處理無源路由的包
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0# 開啟反向路徑過濾
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1# 確保無人能修改路由表
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.conf.default.secure_redirects = 0# 不充當路由器
net.ipv4.ip_forward = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0# 開啟execshild
kernel.exec-shield = 1
kernel.randomize_va_space = 1# IPv6設置
net.ipv6.conf.default.router_solicitations = 0
net.ipv6.conf.default.accept_ra_rtr_pref = 0
net.ipv6.conf.default.accept_ra_pinfo = 0
net.ipv6.conf.default.accept_ra_defrtr = 0
net.ipv6.conf.default.autoconf = 0
net.ipv6.conf.default.dad_transmits = 0
net.ipv6.conf.default.max_addresses = 1# 優化LB使用的端口# 增加系統文件描述符限制
fs.file-max = 65535# 允許更多的PIDs (減少滾動翻轉問題); may break some programs 32768
kernel.pid_max = 65536# 增加系統IP端口限制
net.ipv4.ip_local_port_range = 2000 65000# 增加TCP最大緩沖區大小
net.ipv4.tcp_rmem = 4096 87380 8388608
net.ipv4.tcp_wmem = 4096 87380 8388608# 增加Linux自動調整TCP緩沖區限制
# 最小，默認和最大可使用的字節數
# 最大值不低于4MB，如果你使用非常高的BDP路徑可以設置得更高# Tcp窗口等
net.core.rmem_max = 8388608
net.core.wmem_max = 8388608
net.core.netdev_max_backlog = 5000
net.ipv4.tcp_window_scaling = 1

1.3 更改主機解析地址的順序

編輯文件/etc/host.conf，看是否存在如下內容：如果沒有，在空白處加入下面三行：

order hosts，bind
multi on
nospoof on

參數含義：

1、order hosts，bind ： 設置首先通過DNS解析IP地址，然后通過hosts文件解析。

2、multi on： 設置主機可以擁有多個IP地址(比如有多個以太口網卡)。

3、nospoof on ：設置啟用對本機未經許可的IP欺騙保護。

這個配置指定了主機解析的順序為首先查找/etc/hosts文件，然后再向DNS服務器查詢。multi on表示允許主機名對應多個IP地址，nospoof on表示啟用地址欺騙保護。

判定依據：文件/etc/host.conf存在如上配置則合規，否則不合規。

1.4 禁止ip路由轉發

使用如下命令查看net.ipv4.ip_forward的值：

sysctl -n net.ipv4.ip_forward

在這里插入圖片描述

判定依據：net.ipv4.ip_forward的值為0表示合規，否則不合規。

加固步驟：

1、備份文件：

cp -p /etc/sysctl.conf /etc/sysctl.conf_bak

2、vi /etc/sysctl.conf文件加上

net.ipv4.ip_forward=0

3、使配置文件生效

sysctl -p

在這里插入圖片描述

1.5 設置umask值

設置umask值是為了控制新創建文件和目錄的默認權限。umask值是一個八進制數，用來屏蔽掉文件和目錄的權限位。具體來說，umask值中的每一位代表了對應權限位是否被屏蔽掉。

umask值的作用是確保新創建的文件和目錄不會擁有過于寬松的權限，從而提高系統的安全性。

默認情況下，umask值通常設置為022，即屏蔽掉其他用戶的寫權限，保留所有者和所屬組的讀、寫、執行權限。

檢測方法

查看/etc/profile文件，檢查umask值

cat /etc/profile|egrep -v "^#|\""|grep "umask"|tail -1

判定依據： uamsk值為022則合規；否則不合規。

加固步驟

1、執行備份

 cp /etc/profile /etc/profile.bak

2、編輯/etc/profile文件

vi /etc/profile，添加內容（存在則修改）：

 umask 022

保存退出。

3、立即生效

source /etc/profile

在這里插入圖片描述


💖The End💖點點關注，收藏不迷路💖

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/713194.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/713194.shtml
英文地址，請注明出處：http://en.pswp.cn/news/713194.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

Node 實現身份認證 token 的生成與應用

Node 實現身份認證 token 的生成與應用

前后分離要用jwt進行認證&#xff0c;跨域 前后不分離要用session進行認證&#xff0c;不跨域 安裝 npm init npm install express npm install cors(解決跨域問題 ) npm install jsonwebtoken&#xff08;生成token字符串&#xff09; npm install express-jwt7(反轉成信…
閱讀更多...
數學建模的論文手應該如何準備？

數學建模的論文手應該如何準備？

數學建模的論文手應該如何準備&#xff1f; 寫論文的爭議點論文如何構建1. 文章結構1.1 摘要1.2 問題重述1.3 問題分析1.4 模型假設1.5 符號說明1.6 模型的建立與求解關于模型陳述問題和模型過程中模型求解 1.7 模型的檢驗分析1.8 模型評價和推廣1.9 參考文獻1.10 附錄 2. 常用…
閱讀更多...
AtCoder Beginner Contest 341

AtCoder Beginner Contest 341

C - Takahashi Gets Lost 分析&#xff1a;數據小&#xff0c;暴力沒什么好說的 int h,w,n; string t; char c[505][505]; int dx[4]{1,-1,0,0}; int dy[4]{0,0,1,-1}; int get(char c){if(cL)return 3;if(cU)return 1;if(cR)return 2;return 0; } int check(int x,int y,int …
閱讀更多...
38.云原生之Istio安全-流量鑒權加密

38.云原生之Istio安全-流量鑒權加密

云原生專欄大綱 文章目錄 TLS 和 mTLSTLS 和 mTLS使用場景TLS 加密通信的流程終止 TLS什么時候用 mTLS&#xff1f;什么時候不用 mTLS&#xff1f; 流量加密入口流量加密內部流量加密PeerAuthentication 為工作負載設置 mTLSDestinationRule 為工作負載設置 mTLS 安全最佳實戰…
閱讀更多...
OpenAI 中文文檔

OpenAI 中文文檔

模型&#xff08;Model&#xff09; https://openai.xiniushu.com/docs/modelsOpenAI 中文文檔
閱讀更多...
hive 中少量數據驗證函數的方法-stack

hive 中少量數據驗證函數的方法-stack

可以使用 stack 將少量數據直接寫在sql中,然后用于驗證是否正確 1、每個省累計銷量前1名的城市 t1(pro_name,city_name,sale_num,sale_date&#xff09; 源數據&#xff1a; ‘河北’,‘石家莊’,‘1’,‘2022-01-01’ ,‘河北’,‘石家莊’,‘2’,‘2022-01-02’ ,‘河北’,‘…
閱讀更多...
【vue3 路由使用與講解】vue-router ： 超詳細全面介紹

【vue3 路由使用與講解】vue-router ： 超詳細全面介紹

# 核心內容介紹 路由跳轉有兩種方式&#xff1a; 聲明式導航&#xff1a;<router-link :to"...">編程式導航&#xff1a;router.push(...) 或 router.replace(...) &#xff1b;兩者的規則完全一致。 push(to: RouteLocationRaw): Promise<NavigationFailur…
閱讀更多...
Secure Boot（安全啟動）

Secure Boot（安全啟動）

Secure Boot&#xff08;安全啟動&#xff09;的原理基于鏈式驗證&#xff0c;這是一種確保計算機在啟動過程中只加載和執行經過認證的軟件的機制。這個過程涉及到硬件、固件和操作系統的多個層面。以下是Secure Boot的基本原理&#xff1a; 密鑰和證書&#xff1a;Secure Boot…
閱讀更多...
day07_分類管理EasyExcel品牌管理

day07_分類管理EasyExcel品牌管理

文章目錄 1 分類管理1.1 菜單添加1.2 表結構介紹1.3 頁面制作1.4 列表查詢1.4.1 需求分析1.4.2 后端接口CategoryCategoryControllerCategoryServiceCategoryMapperCategoryMapper.xml 1.4.3 前端對接category.jscategory.vue 2 EasyExcel2.1 數據導入導出意義2.2 EasyExcel簡介…
閱讀更多...
ABAP - SALV教程 01- 開篇：打開SALV的三種方式之一

ABAP - SALV教程 01- 開篇：打開SALV的三種方式之一

關于SALV&#xff0c;這里參考巨佬江正軍的文章講解&#xff0c;在做SAP開發的遇到困難和瓶頸的時候&#xff0c;每每讀到巨佬的文章都會靈感爆發、醍醐灌頂。https://www.cnblogs.com/jiangzhengjun/p/4291387.html 博主由于是由JAVA轉型的ABAP開發&#xff0c;剛接觸ABAP的時…
閱讀更多...
力扣細節題：判斷是否為平衡二叉樹

力扣細節題：判斷是否為平衡二叉樹

經典題&#xff0c;需要記憶&#xff0c;且注意fabs和fmax函數的使用 /*** Definition for a binary tree node.* struct TreeNode {* int val;* struct TreeNode *left;* struct TreeNode *right;* };*/int deep(struct TreeNode*root){if(rootNULL){return 0;}r…
閱讀更多...
Unity3D 渲染隊列 ZTest與ZWrite詳解

Unity3D 渲染隊列 ZTest與ZWrite詳解

前言 在Unity3D中&#xff0c;渲染隊列&#xff08;Rendering Queue&#xff09;是一個非常重要的概念&#xff0c;它決定了游戲中各個物體的渲染順序和優先級。而在渲染隊列中&#xff0c;ZTest和ZWrite又是兩個關鍵的參數&#xff0c;它們決定了物體在渲染的過程中如何處理深…
閱讀更多...
研發效能最佳實踐：持續集成應用實踐丨IDCF

研發效能最佳實踐：持續集成應用實踐丨IDCF

作者&#xff1a;謝帶達 研發效能&#xff08;DevOps&#xff09;工程師&#xff08;中級&#xff09;認證學員 一、DevOps概述 DevOps的發展可以追溯到2009年&#xff0c;當時由Patrick Debois和Andrew Clay Shafer發起了第一次DevOps Days會議。隨后&#xff0c;DevOps開始…
閱讀更多...
【R語言簡介】講解

【R語言簡介】講解

R語言簡介&#xff0c;環境與基礎語法及注釋 1. R語言簡介2. 環境安裝3. 基礎語法3.1 變量賦值3.2 數據結構3.3 函數調用3.4 控制流3.5 注釋 4. 基本的數據操作和函數 1. R語言簡介 R語言是一種專為統計分析、數據挖掘和圖形展示而設計的編程語言和軟件環境&#xff0c;它由統…
閱讀更多...
應用引導頁配置相關 - iOS

應用引導頁配置相關 - iOS

應用引導頁配置相關,通過 ScrollView 滑動至末頁點擊進入主頁,具體實現方式如下,可供參考; /**加載引導頁*/ - (void)loadGuidePage {// 基礎配置self.window [[UIWindow alloc] initWithFrame:SCREEN_RECT];self.window.backgroundColor [UIColor whiteColor];viewControll…
閱讀更多...
永磁同步電機無感FOC（龍伯格觀測器）算法技術總結-實戰篇

永磁同步電機無感FOC（龍伯格觀測器）算法技術總結-實戰篇

文章目錄 1、ST龍伯格算法分析&#xff08;定點數&#xff09;1.1 符號說明1.2 最大感應電動勢計算1.3 系數計算1.4 龍伯格觀測器計算1.5 鎖相環計算1.6 觀測器增益計算1.7 鎖相環PI計算&#xff08;ST&#xff09;1.8 平均速度的用意 2、啟動策略2.1 V/F壓頻比控制2.2 I/F壓頻…
閱讀更多...
qnx shell sh ，linux shell bash

qnx shell sh ，linux shell bash

for i in 1 2 3 4 5 doecho $i doneecho $SHELL Shell腳本的常用執行方式、bash 和 sh 的關系、子shell、Centos 默認的解析器是 bash、Linux 提供的 Shell 解析器、Shell 概述、Shell 腳本入門_centos sh bash-CSDN博客
閱讀更多...
php cli 多進程編程

php cli 多進程編程

前言 php cli 命令模式我想在日常開發中&#xff0c;大家用的都比較少。其實&#xff0c;在某些場景&#xff0c;cli命令真的很有作用&#xff0c; 我舉個例子 在mysql數據庫的某個表tab1中數據量有3000W條數據&#xff0c;現在需要對這張表中的每一條數據做計算處理。將處理…
閱讀更多...
設計模式（含7大原則）面試題

設計模式（含7大原則）面試題

目錄 主要參考文章 設計模式的目的 設計模式的七大原則 設計模式的三大分類及關鍵點 1、創建型模式（用于解耦對象的實例化過程） 2、結構型模式 3、行為型模式 23種設計模式（亂序--現學現寫，不全面--應付面試為主） 單例模式 模板模式 哈哈哈哈哈 聲明 此文只針…
閱讀更多...
策略模式代碼示例(二)

策略模式代碼示例(二)

一、定義 策略模式&#xff0c;針對每一個不同的類型&#xff0c;調用具有共同接口的不同實現類&#xff0c;從而使得它們可以相互替換。 策略模式 &#xff0c;針對實現同一接口的不同的類&#xff0c;采用不同的策略。比如&#xff0c;面對高級會員、初級會員會采用不同的折…
閱讀更多...
最新文章

Copyright @ 2022~2023