SECURITY-上课记录6.3

原创

jxwpx 2019-06-03 11:47:55 博主文章分类：安全防火墙 ©著作权

©著作权归作者所有：来自51CTO博客作者jxwpx的原创作品，请联系作者获取转载授权，否则将追究法律责任

查看指定时间的日志

$ journalctl --since="2012-10-30 18:17:16" $ journalctl --since "20 min ago" $ journalctl --since yesterday $ journalctl --since "2015-01-10" --until "2015-01-11 03:00" $ journalctl --since 09:00 --until "1 hour ago"

显示尾部的最新10行日志

$ journalctl -n

显示尾部指定行数的日志 $ journalctl -n 20

实时滚动显示最新日志 $ journalctl -f

查看指定服务的日志 $ journalctl /usr/lib/systemd/systemd

查看指定进程的日志 $ journalctl _PID=1

查看某个路径的脚本的日志 $ journalctl /usr/bin/bash

查看指定用户的日志

$ journalctl _UID=33 --since today

查看某个 Unit 的日志

$ journalctl -u nginx.service $ journalctl -u nginx.service --since today

实时滚动显示某个 Unit 的最新日志

$ journalctl -u nginx.service -f

合并显示多个 Unit 的日志

$ journalctl -u nginx.service -u php-fpm.service --since today

查看指定优先级（及其以上级别）的日志，共有8级

0: emerg # 1: alert # 2: crit # 3: err # 4: warning # 5: notice # 6: info # 7: debug

$ journalctl -p err -b

日志默认分页输出，--no-pager 改为正常的标准输出

$ journalctl --no-pager

以 JSON 格式（单行）输出

$ journalctl -b -u nginx.service -o json

以 JSON 格式（多行）输出，可读性更好

$ journalctl -b -u nginx.service -o json-pretty

显示日志占据的硬盘空间

$ journalctl --disk-usage

指定日志文件占据的最大空间

$ journalctl --vacuum-size=1G

指定日志文件保存多久

$ journalctl --vacuum-time=1years

审计日志 auditctl -l auditctl -w /etc/passwd -p rxwa vi /etc/audit/audit.rules ausearch -f /etc/passwd|grep useradd aureport

一、整理列表100多项；二、写成脚本，自动化批处理功能；三、自动化运维工具(ansible、puppet、saltstack、cf)

在文件/etc/login.defs中设置 PASS_MAX_DAYS 不大于标准值在文件/etc/login.defs中设置 PASS_MIN_DAYS 不小于标准值在文件/etc/login.defs中设置 PASS_MIN_LEN 不小于标准值在文件/etc/login.defs中设置 PASS_WARN_AGE 不小于标准值 awk -F: '$3==0 {print $1}' /etc/passwd 文件/etc/passwd中除root所在行外所有行第二个与第三个冒号之间UID不应设置为0 "Redhat系统：修改/etc/pam.d/system-auth文件, Suse9：修改/etc/pam.d/passwd文件， Suse10,Suse11：修改/etc/pam.d/common-password文件，在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 选3种，追加到password requisite pam_cracklib.so后面，添加到配置文件中。例如：password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1 注：ucredit：大写字母个数；lcredit：小写字母个数；dcredit：数字个数；ocredit：特殊字符个数" "Redhat系统：修改/etc/pam.d/system-auth文件, Suse9：修改/etc/pam.d/passwd文件， Suse10,Suse11：修改/etc/pam.d/common-password文件，在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 选3种，追加到password requisite pam_cracklib.so后面，添加到配置文件中。例如：password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1 注：ucredit：大写字母个数；lcredit：小写字母个数；dcredit：数字个数；ocredit：特殊字符个数" "Redhat系统：修改/etc/pam.d/system-auth文件, Suse9：修改/etc/pam.d/passwd文件， Suse10,Suse11：修改/etc/pam.d/common-password文件，在ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 选3种，追加到password requisite pam_cracklib.so后面，添加到配置文件中。例如：password requisite pam_cracklib.so ucredit=-1 lcredit=-1 dcredit=-1 注：ucredit：大写字母个数；lcredit：小写字母个数；dcredit：数字个数；ocredit：特殊字符个数" "参考配置操作： (1) 设置用户目录默认权限，执行命令vi /etc/login.defs，编辑文件； (2) 在文件中设置umask 027或UMASK 027，将缺省访问权限设置为750。，如果文件中含有umask参数，则需要在最前面设置该参数" chmod 644 /etc/passwd chmod 750 /etc/rc.d/init.d/ chmod 750 /tmp chmod 600 /etc/xinetd.conf?补充说明：低版本的Linux系统采用inetd.conf配置文件，执行命令:chmod 600 /etc/inetd.conf chmod 750 /etc/rc5.d/ chmod 750 /etc/rc4.d chmod 750 /etc/ chmod 600 /etc/security chmod 400 /etc/shadow "如果/etc/grub.conf文件存在，且非链接文件，则执行chmod 600 /etc/grub.conf;?如果/boot/grub/grub.conf文件存在，则执行chmod 600 /boot/grub/grub.conf; 如果/etc/lilo.conf文件存在，则执行chmod 600 /etc/lilo.conf。?" chmod 644 /etc/services chmod 750 /etc/rc0.d/ chmod 750 /etc/rc6.d chmod 750 /etc/rc2.d/ chmod 644 /etc/group chmod 750 /etc/rc1.d/ chmod 750 /etc/rc3.d 在文件/etc/csh.cshrc中设置 umask 077或UMASK 077 检查文件/etc/bashrc（或/etc/bash.bashrc）中设置 umask 077或UMASK 077 在文件/etc/csh.login中设置 umask 077或UMASK 077 在文件/etc/profile中设置umask 077或UMASK 077 "执行chattr +i /etc/gshadow? 如果不支持chattr,编辑/etc/fstab? 在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项，然后重启主机。" "执行chattr +i /etc/shadow? 如果不支持chattr,编辑/etc/fstab? 在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项，然后重启主机。" "执行chattr +i /etc/group? 如果不支持chattr,编辑/etc/fstab? 在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项，然后重启主机。" "执行chattr +i /etc/passwd? 如果不支持chattr,编辑/etc/fstab? 在相应的reiserfs系统的选项中添加""user_xattr,attrs""这两个选项，然后重启主机。" "1. 执行如下命令创建ssh banner信息文件： #touch /etc/ssh_banner #chown bin:bin /etc/ssh_banner #chmod 644 /etc/ssh_banner #echo "" Authorized only. All activity will be monitored and reported "" > /etc/ssh_banner 可根据实际需要修改该文件的内容。 2. 修改/etc/ssh/sshd_config文件，添加如下行： Banner /etc/ssh_banner 3.重启sshd服务： #/etc/init.d/sshd restart" "登录日志文件为/var/log/wtmp,/var/log/utmp.这2个文件中记录着所有登录过主机的用户，时间，来源等内容，这个文件不具可读性，可用last命令来看。如果命令无结果，请联系管理员。" "编辑/etc/rsyslog.conf文件，配置： cron.* /var/log/cron ，其中/var/log/cron为日志文件。如果该文件不存在，则创建该文件，命令为： touch /var/log/cron，并修改权限为775.命令为：chmod 775 /var/log/cron." "修改配置文件vi /etc/rsyslog.conf，加上这一行： . @192.168.0.1 可以将"".""替换为你实际需要的日志信息。比如：kern.* ; mail.* 等等。可以将此处192.168.0.1替换为实际的IP或域名(域名格式形如：www.nsfocus.com,根据具体情况填写)。 " 执行命令：chmod 775 /var/log/mail 执行命令：chmod 775 /var/log/boot.log 执行命令：chmod 775 /var/log/localmessages 执行命令：chmod 775 /var/log/secure 执行命令：chmod 755 /var/log/messages 执行命令：chmod 775 /var/log/cron 执行命令：chmod 775 /var/log/spooler 执行命令：chmod 775 /var/log/maillog "1. Redhat5.x之前(包括5.x):编辑/etc/syslog.conf, Redhat 6.x:编辑/etc/rsyslog.conf, Suse 9:编辑/etc/syslog.conf, 配置: authpriv.* /var/log/secure 2. Suse10, 11: 编辑:/etc/syslog-ng/syslog-ng.conf。配置: filter f_secure { facility(authpriv); }; destination priverr { file(""/var/log/secure""); }; log { source(src); filter(f_secure); destination(priverr); }; 3. 创建/var/log/secure文件 touch /var/log/secure 4. 重启syslog服务 #/etc/init.d/syslog restart" "通过设置日志文件可以对每个用户的每一条命令进行记录，这一功能默认是不开放的，为了打开它，需要安装pacct工具，并执行以下命令： #touch /var/log/pacct #accton /var/log/pacct 执行读取命令lastcomm [user name] –f /var/log/pacct " "编辑/etc/rsyslog.conf 配置： .err;kern.debug;daemon.notice /var/adm/messages 其中/var/adm/messages为日志文件。如果该文件不存在，则创建该文件，命令为： touch /var/adm/messages，并修改权限为666.命令为：chmod 666 /var/adm/messages. 重启日志服务： #/etc/init.d/rsyslog restart" 在网站上免费获取OpenSSH http://www.openssh.com/,并根据安装文件说明执行安装步骤在/etc/services文件中，注释掉 telnet 23/tcp 一行(如不生效重启telnetd服务或xinetd服务或系统，例如，Red Hat 上重启xinetd：service xinetd restart，根据实际情况操作) 编辑 /etc/pam.d/login文件，配置auth required pam_securetty.so 修改/etc/ssh/sshd_config文件,配置PermitRootLogin no。重启服务，/etc/init.d/sshd restart。编辑/etc/vsftpd.conf(或/etc/vsftpd/vsftpd.conf)文件，设置：anonymous_enable=NO 在/etc/passwd文件中，删除ftp用户 "1.编辑/etc/ftpusers(或/etc/vsftpd/ftpusers)文件 2.添加root" "在/etc/ftpusers文件中加入下列行 root" "1.确保/etc/ssh/sshd_config或/etc/ssh2/sshd2_config文件存在。如果不存在，则忽略下面配置步骤。 2.在sshd_config或sshd2_config中配置：Protocol 2 3.在sshd_config或sshd2_config中配置：PermitRootLogin no或PermitRootLogin NO" 如果系统未安装snmp服务，则认为合规。编辑/etc/snmp/snmpd.conf，修改private默认团体字为用户自定义团体字。如果系统安装了snmp服务，请确保该文件存在。如果不存在，则在/etc/snmp/目录下创建该文件。编辑/etc/snmp/snmpd.conf，修改public默认团体字为用户自定义团体字。以root账户执行，vi /etc/profile,增加 export TMOUT=600(单位：秒，可根据具体情况设定超时退出时间，要求不小于600秒),注销用户，再用该用户登录激活该功能 "1.执行命令find / -maxdepth 3 -name .netrc 2>/dev/null 2.进入到.netrc文件存在的目录 3.执行命令：mv .netrc .netrc.bak" "1.执行命令find / -maxdepth 3 -name hosts.equiv 2>/dev/null 2.进入到hosts.equiv文件存在的目录 3.执行命令：mv hosts.equiv hosts.equiv.bak" "1.执行命令find / -maxdepth 3 -name .rhosts 2>/dev/null 2.进入到.rhosts文件存在的目录 3.执行命令：mv .rhosts .rhosts.bak" "1.执行命令find / -maxdepth 2 -name hosts.equiv 2.进入到. hosts.equiv文件存在的目录 3.执行命令：mv hosts.equiv hosts.equiv.bak" "1.执行命令find / -maxdepth 3 -type f -name .rhosts 2>/dev/null 2.进入到.rhosts文件存在的目录 3.执行命令：mv .rhosts .rhosts.bak" "chkconfig [--level levels] xxx off 注:levels为运行级别,需要重启机器" "编辑su文件(vi /etc/pam.d/su)，在开头添加下面两行： auth sufficient pam_rootok.so 和 auth required pam_wheel.so group=wheel 这表明只有wheel组的成员可以使用su命令成为root用户。你可以把用户添加到wheel组，以使它可以使用su命令成为root用户。添加方法为：usermod –G wheel username" 编辑/etc/inittab，注释如下行ca::ctrlaltdel:/sbin/shutdown**，之后重启系统。 "在文件/etc/security/limits.conf中配置* soft core 0 在文件/etc/security/limits.conf中配置* hard core 0" "1.备份配置文件 #cp -p /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts.bak 2.执行命令 #sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=""1"" 并修改/proc/sys/net/ipv4/icmp_echo_ignore_broadcasts的值为1 注：修改只能当次生效，重启系统需重新修改" "1.备份配置文件 #cp -p /proc/sys/net/ipv4/conf/all/accept_redirects /proc/sys/net/ipv4/conf/all/accept_redirects.bak 2.执行命令 #sysctl -w net.ipv4.conf.all.accept_redirects=""0"" 并修改/proc/sys/net/ipv4/conf/all/accept_redirects的值为0 注：修改只能当次生效，重启系统需重新修改" "1.备份配置文件 #cp -p /proc/sys/net/ipv4/conf/all/send_redirects /proc/sys/net/ipv4/conf/all/send_redirects.bak 2.执行命令 #sysctl -w net.ipv4.conf.all.send_redirects=""0"" 并修改/proc/sys/net/ipv4/conf/all/send_redirects的值为0 注：修改只能当次生效，重启系统需重新修改 " "1.备份配置文件 #cp -p /proc/sys/net/ipv4/ip_forward /proc/sys/net/ipv4/ip_forward.bak 2.执行命令 #sysctl -w net.ipv4.ip_forward=""0"" 并修改/proc/sys/net/ipv4/ip_forward的值为0 注：修改只能当次生效，重启系统需重新修改" "1.备份配置文件 #cp -p /proc/sys/net/ipv4/conf/all/accept_source_route/proc/sys/net/ipv4/conf/all/accept_source_route.bak 2.执行命令 #sysctl -w net.ipv4.conf.all.accept_source_route=""0"" 并修改/proc/sys/net/ipv4/conf/all/accept_source_route的值为0 注：修改只能当次生效，重启系统需重新修改" "Redhat:编辑/etc/pam.d/system-auth文件， Suse9:编辑/etc/pam.d/passwd文件， Suse10,Suse11:编辑/etc/pam.d/common-password文件，修改设置如下 password sufficient pam_unix.so md5 shadow nullok try_first_pass use_authtok remember=5 补充操作说明只需在password sufficient这一行加上remember=5即可 NIS系统无法生效，非NIS系统或NIS+系统能够生效。 " chmod 644 /etc/passwd chmod 644 /etc/group chmod 600 /etc/shadow "找出系统中所有含有“s”属性的文件，把不必要的“s”属性去掉，或者把不用的直接删除。

find /usr/bin -type f ( -perm -04000 -o -perm -02000 ) -exec ls -lg {} ;

chmod a-s filename"

"如果系统使用vsftp：修改/etc/vsftpd.conf（或者为/etc/vsftpd/vsftpd.conf）

vi /etc/vsftpd.conf

确保以下行未被注释掉，如果没有该行，请添加： write_enable=YES //允许上传。如果不需要上传权限，此项可不进行更改。 ls_recurse_enable=YES local_umask=022 //设置用户上传文件的属性为755 anon_umask=022 //匿名用户上传文件(包括目录)的 umask 重启网络服务

/etc/init.d/vsftpd restart

如果系统使用pure-ftp 修改/etc/pure-ftpd/pure-ftpd.conf

vi /etc/pure-ftpd/pure-ftpd.conf

确保以下行未被注释掉，如果没有该行，请添加： Umask 177:077 重启ftp服务 #/etc/init.d/pure-ftpd restart " "1.请确认系统引导器的类型为grub,如果不为grub,则忽略此检查点。 2.如果/boot/grub/menu.lst文件存在，编辑/boot/grub/menu.lst文件,设置password=*（*为需要设置的密码。 3.如果不存在，请检查grub是否正确安装，或/boot/grub/menu.lst文件是否被更名" "为用户创建账号： #useradd username #创建账号 #passwd username #设置密码修改权限： #chmod 750 directory #其中755为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录) 使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。" "编辑文件/etc/profile，配置 HISTFILESIZE=5" "1.修改文件/etc/motd的内容，如没有该文件，则创建它。 #echo ""Login success. All activity will be monitored and reported "" > /etc/motd根据实际需要修改该文件的内容" "1.vsftp 修改/etc/vsftpd.conf(或者/etc/vsfptd/vsftpd.conf) #vi /etc/vsftpd.conf 确保以下行未被注释掉，如果没有该行，请添加： chroot_local_user=YES 重启网络服务 #/etc/init.d/vsftpd restart

2.pure-ftp 修改/etc/pure-ftpd/pure-ftpd.conf #vi /etc/pure-ftpd/pure-ftpd.conf 确保以下行未被注释掉（并且值为以下值），如果没有该行，请添加： ChrootEveryone yes AllowUserFXP no AllowAnonymousFXP no 重启ftp服务 #/etc/init.d/pure-ftpd restart" "参考配置操作编辑别名文件vi /etc/aliases，删除或注释掉下面的行 #games: root #ingres: root #system: root #toor: root #uucp: root #manager: root #dumper: root #operator: root #decode: root #root: marc 补充操作说明更新后运行/usr/bin/newaliases，使改变生效 " "1.编辑别名文件vi /etc/mail/aliases，删除或注释掉下面的行 #games: root #ingres: root #system: root #toor: root #uucp: root #manager: root #dumper: root #operator: root #decode: root #root: marc 2.修改后运行命令：/usr/bin/newaliases，使改变生效 " "1.修改telnet回显信息修改文件/etc/issue 和/etc/issue.net中的内容： #echo "" Authorized users only. All activity may be monitored and reported "" > /etc/issue #echo "" Authorized users only. All activity may be monitored and reported "" > /etc/issue.net 可根据实际需要修改该文件的内容,但是不要出现系统敏感信息,如redhat,suse等。 2.重启服务：

/etc/init.d/xinetd restart"

"编辑/etc/hosts.deny 增加一行 all:all 重启进程： #/etc/init.d/xinetd restart " "编辑/etc/hosts.allow 增加一行 <service>: 允许访问的IP；举例如下： all:192.168.4.44:allow #允许单个IP； sshd:192.168.1.:allow #允许192.168.1的整个网段的PC通过SSH来访问本机重启进程： #/etc/init.d/xinetd restart" "删除用户:#userdel username; 锁定用户： #usermod -L username 只有具备超级用户权限的使用者方可使用. #usermod –U username可以解锁。补充操作说明需要锁定的用户：adm,lp,mail,uucp,operator,games,gopher,ftp,nobody,nobody4,noaccess,listen,webservd,rpm,dbus,avahi,mailnull,smmsp,nscd,vcsa,rpc,rpcuser,nfs,sshd,pcap,ntp,haldaemon,distcache,apache,webalizer,squid,xfs,gdm,sabayon,named。" "执行命令passwd -l adm，锁定adm账户。若adm账户不存在，检查项也合规。补充说明：需要锁定账户有adm、daemon,bin,sys、lp、uucp、nuucp、smmsp。" "1.执行备份： #cp -p /etc/group /etc/group.bak 2.创建新的用户组 #groupadd 组名 #usermod -g 组名 -d 用户目录 -m 用户名把用户添加进入某个组(s)或参考usermod --help说明进行设置" "Redhat: 编辑/etc/pam.d/system-auth文件配置: auth required pam_tally.so deny=5 unlock_time=600 account required pam_tally.so

Suse9: 编辑/etc/pam.d/passwd文件配置: auth required pam_tally.so deny=5 unlock_time=600 account required pam_tally.so

Suse10，Suse11: 编辑/etc/pam.d/common-auth文件配置:auth required pam_tally.so deny=5 unlock_time=600 no_lock_time 编辑/etc/pam.d/common-account文件配置:account required pam_tally.so

参数说明： deny #连续认证失败次数超过的次数 unlock_time #锁定的时间，单位为秒" "编辑/etc/pam.d/sshd文件在auth行下方添加： auth required pam_tally.so deny=5 unlock_time=600 no_lock_time 在account行下方添加： account required pam_tally.so 参数说明： deny #连续认证失败次数超过的次数 unlock_time #锁定的时间，单位为秒" "执行命令: find /usr/bin/chage /usr/bin/gpasswd /usr/bin/wall /usr/bin/chfn /usr/bin/chsh /usr/bin/newgrp /usr/bin/write /usr/sbin/usernetctl /usr/sbin/traceroute /bin/mount /bin/umount /bin/ping /sbin/netreport -type f -perm +6000 2>/dev/null 如果存在输出结果，则使用chmod 755 文件名命令修改文件的权限。例如：chmod a-s /usr/bin/chage" "编辑ntp 的配置文件：? #vi /etc/ntp.conf,? 配置：server IP地址（提供ntp服务的机器）? 如：server 192.168.1.1? 开启ntp服务：? redhat为：/etc/init.d/ntpd start? suse9为：/etc/init.d/xntpd start? suse10,11为：/etc/init.d/ntp start" "如果ntp服务未开启，开启ntp服务： redhat为：/etc/init.d/ntpd start suse9为：/etc/init.d/xntpd start suse10,11为：/etc/init.d/ntp start" "Redhat 默认已经关闭了数据包转发功能。可通过以下命令来查看数据包转发功能是否关闭：

cat /proc/sys/net/ipv4/ip_forward

如果返回值为0，说明数据包转发功能已经关闭，为1则开启。关闭数据包转发功能：命令： #sysctl -w net.ipv4.ip_forward=0 " "限制能够访问NFS服务的IP范围：编辑文件：vi /etc/hosts.allow 增加一行:portmap: 允许访问的IP" "编辑/etc/host.conf文件： multi off #关闭多IP绑定补充操作说明 Redhat 默认没有/etc/host.conf文件，要先新建一个host.conf文件 " "编辑/etc/host.conf文件： nospoof on #关闭IP伪装补充操作说明 Redhat 默认没有/etc/host.conf文件，要先新建一个host.conf文件 "

#! /bin/bash #vesion 1.1 20190505 #author by (jxwpx)

ipadd=ifconfig -a | grep Bcast | awk -F "[ :]+" '{print $4}' | tr "\n" "_" cat <<EOF

***** linux基线检查脚本 ***** ***** Author(jxwpx) *****

***** linux基线配置规范设计 ***** ***** 输出结果"/tmp/${ipadd}_checkResult.txt" *****

EOF

echo "IP: ${ipadd}" >> "/tmp/${ipadd}_checkResult.txt"

user_id=whoami echo "当前扫描用户：${user_id}" >> "/tmp/${ipadd}_checkResult.txt"

scanner_time=date '+%Y-%m-%d %H:%M:%S' echo "当前扫描时间：${scanner_time}" >> "/tmp/${ipadd}_checkResult.txt"

echo "***************************" echo "账号策略检查中..." echo "***************************"

#编号：GOOANN-Linux-02-01-01 #项目：帐号与口令-用户口令设置 #合格：Y;不合格：N #不合格地方

passmax=cat /etc/login.defs | grep PASS_MAX_DAYS | grep -v ^# | awk '{print $2}' passmin=cat /etc/login.defs | grep PASS_MIN_DAYS | grep -v ^# | awk '{print $2}' passlen=cat /etc/login.defs | grep PASS_MIN_LEN | grep -v ^# | awk '{print $2}' passage=cat /etc/login.defs | grep PASS_WARN_AGE | grep -v ^# | awk '{print $2}'

echo "GOOANN-Linux-02-01-01:" >> "/tmp/${ipadd}_checkResult.txt" if [ $passmax -le 90 -a $passmax -gt 0 ];then echo "Y:口令生存周期为${passmax}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令生存周期为${passmax}天，不符合要求,建议设置不大于90天" >> "/tmp/${ipadd}_checkResult.txt" fi

if [ $passmin -ge 6 ];then echo "Y:口令更改最小时间间隔为${passmin}天，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令更改最小时间间隔为${passmin}天，不符合要求，建议设置大于等于6天" >> "/tmp/${ipadd}_checkResult.txt" fi

if [ $passlen -ge 8 ];then echo "Y:口令最小长度为${passlen},符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令最小长度为${passlen},不符合要求，建议设置最小长度大于等于8" >> "/tmp/${ipadd}_checkResult.txt" fi

if [ $passage -ge 30 -a $passage -lt $passmax ];then echo "Y:口令过期警告时间天数为${passage},符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:口令过期警告时间天数为${passage},不符合要求，建议设置大于等于30并小于口令生存周期" >> /"/tmp/${ipadd}_checkResult.txt" fi

echo "***************************" echo "账号是否会主动注销检查中..." echo "***************************" checkTimeout=$(cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}') if [ $? -eq 0 ];then TMOUT=cat /etc/profile | grep TMOUT | awk -F[=] '{print $2}' if [ $TMOUT -le 600 -a $TMOUT -ge 10 ];then echo "Y:账号超时时间${TMOUT}秒,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:账号超时时间${TMOUT}秒,不符合要求，建议设置小于600秒" >> "/tmp/${ipadd}_checkResult.txt" fi else echo "N:账号超时不存在自动注销,不符合要求，建议设置小于600秒" >> "/tmp/${ipadd}_checkResult.txt" fi

#编号：GOOANN-Linux-02-01-02 #项目：帐号与口令-root用户远程登录限制 #合格：Y;不合格：N #不合格地方

echo "***************************" echo "检查root用户是否能远程登录限制..." echo "***************************"

echo "GOOANN-Linux-02-01-02:" >> "/tmp/${ipadd}_checkResult.txt" remoteLogin=$(cat /etc/ssh/sshd_config | grep -v ^# |grep "PermitRootLogin no") if [ $? -eq 0 ];then echo "Y:已经设置远程root不能登陆，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:已经设置远程root能登陆，不符合要求，建议/etc/ssh/sshd_config添加PermitRootLogin no" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-01-03 #项目：帐号与口令-检查是否存在除root之外UID为0的用户 #合格：Y;不合格：N #不合格地方 #查找非root账号UID为0的账号 echo "GOOANN-Linux-02-01-03:" >> "/tmp/${ipadd}_checkResult.txt" UIDS=awk -F[:] 'NR!=1{print $3}' /etc/passwd flag=0 for i in $UIDS do if [ $i = 0 ];then echo "N:存在非root账号的账号UID为0，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" else flag=1 fi done if [ $flag = 1 ];then echo "Y:不存在非root账号的账号UID为0，符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-01-04 #项目：帐号与口令-检查telnet服务是否开启 #合格：Y;不合格：N #不合格地方 #检查telnet是否开启 echo "GOOANN-Linux-02-01-04:" >> "/tmp/${ipadd}_checkResult.txt" telnetd=cat /etc/xinetd.d/telnet | grep disable | awk '{print $3}' if [ "$telnetd"x = "yes"x ]; then echo "N:检测到telnet服务开启，不符合要求，建议关闭telnet" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-01-05 #项目：帐号与口令-root用户环境变量的安全性 #合格：Y;不合格：N #不合格地方 #检查目录权限是否为777 echo "GOOANN-Linux-02-01-05:" >> "/tmp/${ipadd}_checkResult.txt" dirPri=$(find $(echo $PATH | tr ':' ' ') -type d ( -perm -0777 ) 2> /dev/null) if [ -z "$dirPri" ] then echo "Y:目录权限无777的,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:文件${dirPri}目录权限为777的，不符合要求。" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-01-06 #项目：帐号与口令-远程连接的安全性配置 #合格：Y;不合格：N #不合格地方 echo "GOOANN-Linux-02-01-06:" >> "/tmp/${ipadd}_checkResult.txt" fileNetrc=find / -xdev -mount -name .netrc -print 2> /dev/null if [ -z "${fileNetrc}" ];then echo "Y:不存在.netrc文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:存在.netrc文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi fileRhosts=find / -xdev -mount -name .rhosts -print 2> /dev/null if [ -z "$fileRhosts" ];then echo "Y:不存在.rhosts文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:存在.rhosts文件，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-01-07 #项目：帐号与口令-用户的umask安全配置 #合格：Y;不合格：N #不合格地方 #检查umask设置 echo "GOOANN-Linux-02-01-07:" >> "/tmp/${ipadd}_checkResult.txt" umask1=cat /etc/profile | grep umask | grep -v ^# | awk '{print $2}' umask2=cat /etc/csh.cshrc | grep umask | grep -v ^# | awk '{print $2}' umask3=cat /etc/bashrc | grep umask | grep -v ^# | awk 'NR!=1{print $2}' flags=0 for i in $umask1 do if [ $i != "027" ];then echo "N:/etc/profile文件中所所设置的umask为${i},不符合要求，建议设置为027" >> "/tmp/${ipadd}_checkResult.txt" flags=1 break fi done if [ $flags == 0 ];then echo "Y:/etc/profile文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi flags=0 for i in $umask2 do if [ $i != "027" ];then echo "N:/etc/csh.cshrc文件中所所设置的umask为${i},不符合要求，建议设置为027" >> "/tmp/${ipadd}_checkResult.txt" flags=1 break fi done
if [ $flags == 0 ];then echo "Y:/etc/csh.cshrc文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi flags=0 for i in $umask3 do if [ $i != "027" ];then echo "N:/etc/bashrc文件中所设置的umask为${i},不符合要求，建议设置为027" >> "/tmp/${ipadd}_checkResult.txt" flags=1 break fi done if [ $flags == 0 ];then echo "Y:/etc/bashrc文件中所设置的umask为${i},符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-01-08 #项目：帐号与口令-grub和lilo密码是否设置检查 #合格：Y;不合格：N #不合格地方 #grub和lilo密码是否设置检查 echo "GOOANN-Linux-02-01-08:" >> "/tmp/${ipadd}_checkResult.txt" grubfile=$(cat /etc/grub.conf | grep password) if [ $? -eq 0 ];then echo "Y:已设置grub密码,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:没有设置grub密码，不符合要求,建议设置grub密码" >> "/tmp/${ipadd}_checkResult.txt" fi lilo=$(cat /etc/lilo.conf | grep password) if [ $? -eq 0 ];then echo "Y:已设置lilo密码,符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:没有设置lilo密码，不符合要求,建议设置lilo密码" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-02-01 #项目：文件系统-重要目录和文件的权限设置 #合格：Y;不合格：N #不合格地方 echo "GOOANN-Linux-02-02-01:" >> "/tmp/${ipadd}_checkResult.txt" echo "***************************" echo "检查重要文件权限中..." echo "***************************" file1=ls -l /etc/passwd | awk '{print $1}' file2=ls -l /etc/shadow | awk '{print $1}' file3=ls -l /etc/group | awk '{print $1}' file4=ls -l /etc/securetty | awk '{print $1}' file5=ls -l /etc/services | awk '{print $1}' file6=ls -l /etc/xinetd.conf | awk '{print $1}' file7=ls -l /etc/grub.conf | awk '{print $1}' file8=ls -l /etc/lilo.conf | awk '{print $1}' #检测文件权限为400的文件 if [ $file2 = "-r--------" ];then echo "Y:/etc/shadow文件权限为400，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/shadow文件权限不为400，不符合要求，建议设置权限为400" >> "/tmp/${ipadd}_checkResult.txt" fi #检测文件权限为600的文件 if [ $file4 = "-rw-------" ];then echo "Y:/etc/security文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/security文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file6 = "-rw-------" ];then echo "Y:/etc/xinetd.conf文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/xinetd.conf文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file7 = "-rw-------" ];then echo "Y:/etc/grub.conf文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/grub.conf文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt" fi if [ -f /etc/lilo.conf ];then if [ $file8 = "-rw-------" ];then echo "Y:/etc/lilo.conf文件权限为600，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/lilo.conf文件权限不为600，不符合要求，建议设置权限为600" >> "/tmp/${ipadd}_checkResult.txt" fi

else echo "N:/etc/lilo.conf文件夹不存在" fi #检测文件权限为644的文件 if [ $file1 = "-rw-r--r--" ];then echo "Y:/etc/passwd文件权限为644，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/passwd文件权限不为644，不符合要求，建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file5 = "-rw-r--r--" ];then echo "Y:/etc/services文件权限为644，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/services文件权限不为644，不符合要求，建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $file3 = "-rw-r--r--" ];then echo "Y:/etc/group文件权限为644，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:/etc/group文件权限不为644，不符合要求，建议设置权限为644" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-02-02-02 #项目：文件系统-查找未授权的SUID/SGID文件 #合格：Y;不合格：N #不合格地方 echo "GOOANN-Linux-02-02-02:" >> "/tmp/${ipadd}_checkResult.txt" unauthorizedfile=find / $ -perm -04000 -o -perm -02000 $ -type f echo "C:文件${unauthorizedfile}设置了SUID/SGID，请检查是否授权" >> "/tmp/${ipadd}_checkResult.txt" #编号：GOOANN-Linux-02-02-03 #项目：文件系统-检查任何人都有写权限的目录 #合格：Y;不合格：N;检查：C #不合格地方 echo "GOOANN-Linux-02-02-03:" >> "/tmp/${ipadd}_checkResult.txt" checkWriteDre=$(find / -xdev -mount -type d ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null) if [ -z "${checkWriteDre}" ];then echo "Y:不存在任何人都有写权限的目录，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:${checkWriteDre}目录任何人都可以写，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi
#编号：GOOANN-Linux-02-02-04 #项目：文件系统-检查任何人都有写权限的文件 #合格：Y;不合格：N;检查：C #不合格地方 echo "GOOANN-Linux-02-02-04:" >> "/tmp/${ipadd}_checkResult.txt" checkWriteFile=$(find / -xdev -mount -type f ( -perm -0002 -a ! -perm -1000 ) 2> /dev/null) if [ -z "${checkWriteFile}" ];then echo "Y:不存在任何人都有写权限的目录，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:${checkWriteFile}目录任何人都可以写，不符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi
#编号：GOOANN-Linux-02-02-05 #项目：文件系统-检查异常隐含文件 #合格：Y;不合格：N;检查：C #不合格地方 echo "GOOANN-Linux-02-02-05:" >> "/tmp/${ipadd}_checkResult.txt" hideFile=$(find / -xdev -mount ( -name ".." -o -name "..." ) 2> /dev/null) if [ -z "${hideFile}" ];then echo "Y:不存在隐藏文件，符合要求" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:${hideFile}是隐藏文件，建议审视" >> "/tmp/${ipadd}_checkResult.txt" fi
#编号：GOOANN-Linux-03-01-01 #项目：日志审计-syslog登录事件记录 #合格：Y;不合格：N;检查：C #不合格地方 echo "GOOANN-Linux-03-01-01:" >> "/tmp/${ipadd}_checkResult.txt" recodeFile=$(cat /etc/syslog.conf) if [ ! -z "${recodeFile}" ];then logFile=$(cat /etc/syslog.conf | grep -V ^# | grep authpriv.) if [ ! -z "${logFile}" ];then echo "Y:存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt" else echo "N:不存在保存authpirv的日志文件" >> "/tmp/${ipadd}_checkResult.txt" fi else echo "N:不存在／etc/syslog.conf文件，建议对所有登录事件都记录" >> "/tmp/${ipadd}_checkResult.txt" fi
#编号：GOOANN-Linux-03-01-02 #项目：系统文件-检查日志审核功能是否开启 #合格：Y;不合格：N;检查：C echo "GOOANN-Linux-03-01-02:" >> "/tmp/${ipadd}_checkResult.txt" auditdStatus=$(service auditd status 2> /dev/null) if [ $? = 0 ];then echo "Y:系统日志审核功能已开启，符合要求" >> "/tmp/${ipadd}_checkResult.txt" fi if [ $? = 3 ];then echo "N:系统日志审核功能已关闭，不符合要求，建议service auditd start开启" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-04-01-01 #项目：系统文件-系统core dump状态 #合格：Y;不合格：N;检查：C echo "GOOANN-Linux-04-01-01:" >> "/tmp/${ipadd}_checkResult.txt" limitsFile=$(cat /etc/security/limits.conf | grep -V ^# | grep core) if [ $? -eq 0 ];then soft=cat /etc/security/limits.conf | grep -V ^# | grep core | awk {print $2} for i in $soft do if [ "$i"x = "soft"x ];then echo "Y: soft core 0 已经设置" >> "/tmp/${ipadd}_checkResult.txt" fi if [ "$i"x = "hard"x ];then echo "Y:* hard core 0 已经设置" >> "/tmp/${ipadd}_checkResult.txt" fi done else echo "N:没有设置core，建议在/etc/security/limits.conf中添加* soft core 0和* hard core 0" >> "/tmp/${ipadd}_checkResult.txt" fi #编号：GOOANN-Linux-04-01-02 #项目：系统文件-检查磁盘动态空间，是否大于等于80% #合格：Y;不合格：N;检查：C

echo "GOOANN-Linux-04-01-02:" >> "/tmp/${ipadd}_checkResult.txt" space=$(df -h | awk -F "[ %]+" 'NR!=1{print $5}') for i in $space do if [ $i -ge 80 ];then echo "C:警告！磁盘存储容量大于80%,建议扩充磁盘容量或者删除垃圾文件" >> "/tmp/${ipadd}_checkResult.txt" fi

Ansible/Saltstack(master->minion)

Ansible软件特点 1.ansible不需要单独安装客户端，SSH相当于ansible客户端。 2.ansible不需要启动任何服务，仅需安装对应工具即可。 3.ansible依赖大量的python模块来实现批量管理。 4.ansible配置文件/etc/ansible/ansible.cfg

实现从管理机man01到其他机器的密钥认证

0.ansible借助公钥批量管理 #利用非交换式工具实现批量分发公钥与批量管理服务器 [root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.31 [root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.41 [root@man01 ~]# ssh-copy-id -i ~/.ssh/id_rsa.pub root@192.168.1.7

1.安装ansible [root@man01 ~]# yum install ansible -y

2.配置ansible [root@man01 ~]# vim /etc/ansible/hosts [jxwpx] 192.168.1.31 192.168.1.41

3.验证ansible

ansible是通过ssh端口探测通信

[root@man01 ~]# ansible jxwpx -m ping 192.168.1.7 | SUCCESS => { "changed": false, "ping": "pong" } 192.168.1.31 | SUCCESS => { "changed": false, "ping": "pong" } 192.168.1.41 | SUCCESS => { "changed": false, "ping": "pong" }

#批量执行命令 [root@man01 ~]# ansible jxwpx -m command -a "df -h"

#2.如果没有给对应的主机下发公钥，可以使用密码的方式进行添加 192.168.1.41 ansible_ssh_user='root' ansible_ssh_pass='1' ansible_ssh_port='22'

3.定义主机清单 [web] 192.168.1.7

[nfs] 192.168.1.31

[backup] 192.168.1.41

[jxwpx:children] web nfs backup

[root@man01 ~]# ansible web --list-hosts #web hosts (1): 192.168.1.7 [root@man01 ~]# ansible nfs --list-hosts #nfs hosts (1): 192.168.1.31 [root@man01 ~]# ansible backup --list-hosts #rsync hosts (1): 192.168.1.41 [root@man01 ~]# ansible jxwpx --list-hosts #集中所有的小组，用于执行一些基础的配置 hosts (3): 192.168.1.31 192.168.1.41 192.168.1.7

1、命令 -> 文件 = 脚本 2、模块 -> 文件 = 剧本安装配置启动

1.command 执行命令 2.shell 执行命令 3.yum 安装软件模块 4.copy 配置模块 5.service 启动服务模块 6.user 用户管理 7.file 创建目录，创建文件，往文件写内容 8.cron 定时任务 9.mount 挂载

1.command命令模块

默认模块, 执行命令

[root@man01 ~]# ansible jxwpx -a "hostname"

如果需要一些管道操作，则使用shell

[root@man01 ~]# ansible jxwpx -m shell -a "ifconfig|grep eth0" -f 50

-f =forks /etc/ansible/ansible.cfg #结果返回的数量

2.yum安装模块 #推送脚本文件至远程，远程执行脚本文件

[root@man01 ~]# ansible jxwpx -m yum -a "name=httpd state=installed" name ---指定要安装的软件包名称 state ---指定使用yum的方法 installed，present ---安装软件包 removed，absent ---移除软件包 latest ---安装最新软件包

3.copy模块

推送文件模块

[root@man01 ~]# ansible jxwpx -m copy -a "src=/etc/hosts dest=/tmp/test.txt owner=www group=www mode=0600"

在推送覆盖远程端文件前，对远端已有文件进行备份，按照时间信息备份

[root@man01 ~]# ansible jxwpx -m copy -a "src=/etc/hosts dest=/tmp/test.txt backup=yes"

直接向远端文件内写入数据信息，并且会覆盖远端文件内原有数据信息

[root@man01 ~]# ansible jxwpx -m copy -a "content='bgx' dest=/tmp/jxwpx"

src --- 推送数据的源文件信息 dest --- 推送数据的目标路径 backup --- 对推送传输过去的文件，进行备份 content --- 直接批量在被管理端文件中添加内容 group --- 将本地文件推送到远端，指定文件属组信息 owner --- 将本地文件推送到远端，指定文件属主信息 mode --- 将本地文件推送到远端，指定文件权限信息

4.service服务模块 [root@man01 ~]# ansible jxwpx -m service -a "name=crond state=stopped enabled=yes" name --- 定义要启动服务的名称 state --- 指定服务状态是停止或是运行 started --- 启动 stopped --- 停止 restarted --- 重启 reloaded --- 重载 enabled --- 是否让服务开启自启动

1.安装 [root@man01 ~]# ansible web -m yum -a "name=httpd state=installed" 2.配置 [root@man01 ~]# ansible web -m copy -a "content='This is Ansible' dest=/var/www/html/index.html" 3.启动 [root@man01 ~]# ansible web -m service -a "name=httpd state=started"

yum copy service mount cron user file 1.机器还原快照（firewalld、selinux、配置好仓库） 2.推送你的公钥 3.指定backup安装rsync、配置、启动、创建目录、创建用户、准备密码文件、权限 4.指定nfs安装nfs、配置、启动 5.web挂载nfs 6.web执行脚本推送数据至bakcup，加入定时任务